Reguły sygnaturowe w Snort i Suricata

Snort i Suricata to dwa najważniejsze silniki IDS/IPS o otwartym kodzie źródłowym. Korzystają w dużej mierze z kompatybilnego języka reguł, dlatego reguła napisana dla jednego z nich zwykle działa również w drugim.

Suricata oferuje wielowątkowość, wbudowane parsery protokołów, ekstrakcję plików i rozbudowane logowanie (EVE JSON); Snort 3 podobnie unowocześnił własny silnik. Jednorazowa nauka składni reguł pozwala sprawnie pracować z oboma rozwiązaniami.

Każda reguła składa się z dwóch części: nagłówka i ujętego w nawiasy ciała zawierającego opcje. Nagłówek określa działanie, protokół i kierunek ruchu, a ciało definiuje, co należy dopasować i jak zgłosić wynik.

Nagłówek jest odczytywany od lewej do prawej:

• action — alert, drop, reject, pass
• protocol — tcp, udp, icmp, ip (lub protokoły aplikacyjne w Suricata: http, dns, tls)
• source IP/port i destination IP/port
• direction — -> jednokierunkowy lub <> dwukierunkowy

Zmienne takie jak $HOME_NET i $EXTERNAL_NET pochodzą z konfiguracji, dzięki czemu reguły pozostają przenośne między lokalizacjami.

Akcja określa sposób działania IDS lub IPS dla danej reguły:

• alert — rejestruje zdarzenie i wysyła powiadomienie, ale nie zatrzymuje ruchu (IDS)
• drop — po cichu odrzuca pakiet (IPS, tylko w trybie inline)
• reject — odrzuca pakiet i wysyła reset TCP lub komunikat ICMP o nieosiągalności
• pass — jawnie zezwala na ruch, pomijając późniejsze reguły

Ten sam silnik działa jako IDS lub IPS w zależności od tego, czy został wdrożony w trybie inline oraz jakich akcji Państwo używają.

Słowo kluczowe content dopasowuje wzorzec bajtów w ładunku. Tekst umieszcza się w cudzysłowie, a dane binarne zapisuje w potokach w postaci szesnastkowej.

Słowa kluczowe kotwiczące dopasowanie zwiększają jego precyzję: offset, depth, distance i within ograniczają miejsce, w którym może pojawić się wzorzec, co poprawia zarówno dokładność, jak i wydajność.

Nowoczesne reguły dopasowują wzorce do buforów uwzględniających protokół, a nie do surowego strumienia. Po użyciu słowa kluczowego bufora kolejne dopasowania content dotyczą tej części przeanalizowanego protokołu.

• http_uri — URI żądania
• http_header — nagłówki żądania lub odpowiedzi
• http_user_agent — User-Agent
• tls_sni / dns_query — nazwa serwera TLS / zapytanie DNS

Jest to znacznie bardziej niezawodne niż wyszukiwanie podciągu w całym pakiecie.

Gdy stałe ciągi znaków nie wystarczają, pcre udostępnia wyrażenia regularne zgodne z Perlem. Warto połączyć tani obliczeniowo filtr wstępny content z pcre, aby wyrażenie regularne było uruchamiane wyłącznie dla pakietów spełniających wstępne kryteria, co pozwala zachować wydajność.

Modyfikator nocase sprawia, że dopasowanie content nie uwzględnia wielkości liter. Jest to ważne w przypadku nagłówków i pól kontrolowanych przez użytkownika, których wartości napastnicy mogą dowolnie zmieniać.

Opcja flow ogranicza działanie reguły do określonego stanu i kierunku połączenia, zmniejszając liczbę fałszywych alarmów oraz koszt obliczeniowy.

• established — tylko w ustanowionych sesjach TCP
• to_server / to_client — kierunek żądania lub odpowiedzi

Dopasowywanie odpowiedzi serwera wyłącznie dla ustanowionych połączeń i w kierunku to_client zapobiega reagowaniu na przypadkowe lub sfałszowane pakiety.

Opcje porządkowe ułatwiają utrzymanie zestawu reguł:

• sid — unikalny identyfikator sygnatury (dla reguł lokalnych należy używać wartości 1000000+)
• rev — numer wersji, zwiększany przy każdej edycji
• msg — treść alertu wyświetlana analitykom
• classtype — kategoria wpływająca na priorytet
• reference — odnośnik do CVE lub biuletynu bezpieczeństwa

Stałe wartości sid i zwiększane numery rev pozwalają śledzić reguły i je aktualizować bez zakłócania działania pulpitów nawigacyjnych oraz wyciszeń.

Choć reguły są ze sobą kompatybilne, silniki różnią się możliwościami:

• Suricata jest wielowątkowa, natywnie analizuje protokoły aplikacyjne, wyodrębnia pliki, oblicza JA3 i generuje dane EVE JSON
• Snort 3 ma przepisany silnik zoptymalizowany pod kątem wydajności oraz modularnego systemu wtyczek

Niektóre słowa kluczowe są specyficzne dla danego silnika. Suricata dodaje słowa kluczowe warstwy aplikacji (tls.sni, dns.query, http.method) oraz funkcje dataset/flowbits. Udostępniając reguły między silnikami, należy kierować się ich najniższym wspólnym mianownikiem albo utrzymywać osobne zestawy reguł dla każdego silnika.

Aby reguła nie zalewała konsoli alertami, należy zastosować progi. detection_filter zadziała dopiero po wystąpieniu N zdarzeń w określonym oknie czasowym, a threshold z opcją limit ogranicza liczbę alertów.

Jest to niezbędne przy wykrywaniu ataków brute-force i skanowania, gdy pojedyncze zdarzenie nic nie znaczy, lecz seria zdarzeń stanowi sygnał.

Proszę przeczytać regułę i przewidzieć jej działanie.

Potrafią już Państwo odczytywać i tworzyć sygnatury Snort/Suricata:

• Reguła składa się z nagłówka (akcja, protokół, źródło/cel, kierunek) oraz opcji treści
• Akcja określa działanie IDS lub IPS: alert, drop, reject, pass
• content wraz z offset/depth oraz dopasowaniem szesnastkowym wyszukuje bajty w ładunku
• Bufory sticky (http.uri, tls.sni, dns.query) dopasowują pola przeanalizowanego protokołu
• pcre i nocase obsługują zmienne wzorce
• flow ogranicza regułę do określonego stanu i kierunku
• sid/rev/msg/reference ułatwiają utrzymanie reguł
• Progi ograniczają szum powodowany przez ataki brute-force i skanowanie

Następnie: wykrywanie zagrożeń bez żadnej sygnatury.