Regras de assinatura com Snort e Suricata

Snort e Suricata são os dois principais mecanismos de IDS/IPS de código aberto. Eles compartilham uma linguagem de regras amplamente compatível, portanto uma regra escrita para um geralmente funciona no outro.

O Suricata acrescenta processamento paralelo, analisadores nativos de protocolos, extração de arquivos e registros detalhados (EVE JSON); o Snort 3 também modernizou seu próprio mecanismo. Aprender a sintaxe das regras uma única vez permite trabalhar com os dois.

Toda regra tem duas partes: um cabeçalho e um corpo de opções entre parênteses. O cabeçalho define a ação, o protocolo e a direção do tráfego; o corpo define o que deve ser correspondido e como relatar o resultado.

O cabeçalho é lido da esquerda para a direita:

• ação — alertar, descartar, rejeitar, permitir
• protocolo — tcp, udp, icmp, ip (ou protocolos de aplicação no Suricata: http, dns, tls)
• IP/porta de origem e IP/porta de destino
• direção — -> unidirecional ou <> bidirecional

Variáveis como $HOME_NET e $EXTERNAL_NET vêm da sua configuração para que as regras permaneçam portáveis entre diferentes ambientes.

A ação determina o comportamento de IDS ou IPS para essa regra:

• alert — registrar e notificar, sem interromper o tráfego (IDS)
• drop — descartar o pacote silenciosamente (IPS, somente em linha)
• reject — descartar e enviar uma reinicialização TCP ou uma mensagem ICMP de destino inalcançável
• pass — permitir explicitamente, ignorando as regras posteriores

O mesmo mecanismo se torna IDS ou IPS dependendo de ser implantado em linha e das ações utilizadas.

A palavra-chave content corresponde a um padrão de bytes na carga útil. O texto fica entre aspas; os dados binários ficam entre barras verticais, em hexadecimal.

As palavras-chave de ancoragem tornam as correspondências mais precisas: offset, depth, distance e within restringem onde o padrão pode aparecer, melhorando tanto a precisão quanto o desempenho.

As regras modernas fazem correspondências em buffers específicos do protocolo, em vez de usarem o fluxo bruto. Depois de uma palavra-chave de buffer, as correspondências subsequentes de content se aplicam àquela parte do protocolo analisado.

• http_uri — o URI da requisição
• http_header — cabeçalhos de requisição e resposta
• http_user_agent — o agente do usuário
• tls_sni / dns_query — nome do servidor TLS / consulta DNS

Isso é muito mais confiável do que pesquisar uma sequência parcial no pacote inteiro.

Quando strings fixas não são suficientes, pcre fornece expressões regulares compatíveis com Perl. Combine um pré-filtro barato de content com um pcre para que a expressão regular seja executada apenas em pacotes candidatos, preservando o desempenho.

O modificador nocase torna uma correspondência de conteúdo insensível a maiúsculas e minúsculas, algo importante para cabeçalhos e campos controlados pelo usuário que os invasores podem variar.

A opção flow restringe uma regra ao estado e à direção da conexão, reduzindo falsos positivos e o custo de processamento.

• established — somente em sessões TCP concluídas
• to_server / to_client — direção da requisição versus da resposta

Fazer correspondências apenas com respostas do servidor quando a conexão está estabelecida e na direção do cliente evita disparos causados por pacotes avulsos ou falsificados.

Opções de controle mantêm um conjunto de regras fácil de manter:

• sid — ID exclusivo da assinatura (use 1000000+ para regras locais)
• rev — número de revisão; incremente-o a cada edição
• msg — o texto do alerta visto pelos analistas
• classtype — categoria que define a prioridade
• reference — link para CVE ou um comunicado

Identificadores de assinatura estáveis e números de revisão incrementados permitem acompanhar e atualizar as regras sem quebrar painéis nem supressões.

Embora sejam compatíveis no nível das regras, os mecanismos diferem em recursos:

• Suricata usa vários threads, analisa nativamente protocolos de aplicação, extrai arquivos, calcula JA3 e emite JSON EVE
• Snort 3 reescreveu seu mecanismo para melhorar o desempenho e oferecer um sistema modular de plug-ins

Algumas palavras-chave são específicas de cada mecanismo. O Suricata adiciona palavras-chave da camada de aplicação (tls.sni, dns.query, http.method) e recursos de conjuntos de dados e bits de fluxo. Ao compartilhar regras, direcione-as ao menor denominador comum ou mantenha conjuntos de regras específicos para cada mecanismo.

Para impedir que uma regra inunde o console, aplique limiares. detection_filter dispara somente após N eventos em uma janela; threshold com limit limita o volume de alertas.

Isso é essencial para detecções de força bruta e de varredura, nas quais um único evento não significa nada, mas uma rajada é o sinal relevante.

Leia uma regra e preveja seu comportamento.

Agora você pode ler e escrever assinaturas do Snort/Suricata:

• Uma regra = cabeçalho (ação, protocolo, origem/destino, direção) + opções do corpo
• A ação define IDS ou IPS: alert, drop, reject, pass
• content com deslocamento/profundidade e correspondência hexadecimal encontra bytes da carga útil
• Buffers persistentes (http.uri, tls.sni, dns.query) fazem correspondências em campos analisados do protocolo
• pcre e nocase lidam com padrões variáveis
• flow restringe a correspondência ao estado e à direção
• sid/rev/msg/reference mantêm as regras fáceis de administrar
• Os limiares controlam o ruído de força bruta e de varredura

A seguir: detecção de ameaças sem nenhuma assinatura.