Ajuste e implantação

Um sensor só vê o tráfego que chega até ele. O local onde você posiciona os sensores de IDS/IPS determina o que pode ser detectado, portanto o posicionamento dos sensores é a primeira decisão da implantação.

Planeje o posicionamento em torno dos gargalos e limites de confiança da sua rede: o perímetro da internet, entre zonas de segurança, diante de ativos críticos e em pontos de saída por onde a exfiltração deixa a rede.

Dois eixos de tráfego precisam ser monitorados:

• Norte-sul — tráfego que atravessa o perímetro (entrando ou saindo da internet). Os sensores tradicionais do perímetro cobrem esse tráfego.
• Leste-oeste — tráfego entre hosts internos. É onde ocorre a movimentação lateral e esse tráfego costuma não ser monitorado.

Os invasores que conseguem entrar na rede se movimentam de leste a oeste. Uma implantação apenas no perímetro não consegue vê-los, por isso pontos de captura internos e sensores de segmento são essenciais para a detecção moderna.

A escolha de como capturar o tráfego afeta a fidelidade:

• SPAN/portas espelhadas não têm custo, mas compartilham recursos do comutador e descartam pacotes sob carga, justamente quando você mais precisa deles.
• TAPs de hardware copiam o tráfego sem perdas e resistem à falha do dispositivo, mas exigem investimento e portas.

Para enlaces de alta taxa de transferência ou críticos para conformidade, prefira TAPs. TAPs de agregação e corretores de pacotes de rede podem alimentar várias ferramentas a partir de um único ponto de captura.

Um sensor sobrecarregado descarta pacotes silenciosamente, criando lacunas na detecção que parecem tráfego limpo. Dimensione os sensores de acordo com o enlace.

Observe as estatísticas do mecanismo em busca de capture.kernel_drops e perdas de pacotes. Se as perdas aumentarem, você precisará de mais CPU, ajustes de RAFL/AF_PACKET, alterações na descarga da NIC ou de um sensor mais rápido. Valide se o sensor suporta a taxa de transferência máxima, não a média.

Executar todas as regras disponíveis é uma receita para ruído e perda de desempenho. Selecione criteriosamente o conjunto de regras.

• Ative as categorias de regras relevantes para seu ambiente e seus ativos
• Desative as regras para programas que você não executa
• Use um gerenciador como o suricata-update para obter, mesclar e versionar fontes de regras
• Acompanhe as fontes de regras (ET Open, ET Pro, personalizadas) e atualize-as regularmente

Em vez de editar as regras de origem, controle o ruído com uma configuração de limiar/supressão. Suprima um sid ruidoso de uma origem conhecida como legítima; aplique limiares às demais para limitar a taxa de alertas.

Isso mantém as regras de terceiros atualizáveis e, ao mesmo tempo, silencia os falsos positivos específicos da sua rede.

Nunca implante uma regra nova ou desconhecida diretamente em drop. Execute-a primeiro no modo de alerta (IDS), observe o que ela captura durante dias ou semanas e confirme se a taxa de falsos positivos é aceitável.

Somente depois que uma regra se mostrar confiável você deverá promovê-la ao bloqueio em linha. Essa abordagem gradual impede que uma única regra problemática cause uma interrupção.

Definir corretamente $HOME_NET e as demais variáveis é fundamental. Muitas regras são acionadas com base na direção (do externo para a rede interna versus da rede interna para o externo); portanto, um $HOME_NET incorreto rompe silenciosamente a lógica de detecção.

Defina com precisão seus intervalos internos, grupos de servidores e redes confiáveis. Mantenha-os atualizados conforme a rede muda e revise-os quando as detecções se comportarem de modo inesperado.

Os sensores só são úteis se a saída deles chegar aos analistas. Envie alertas e metadados para um SIEM para correlação, enriquecimento e retenção.

O EVE JSON do Suricata emite eventos estruturados (alertas, fluxos, HTTP, DNS, TLS, hashes de arquivos) que são facilmente encaminhados para um SIEM. Combine o IDS com a captura completa de pacotes para que os analistas possam recuperar o tráfego real por trás de um alerta durante a investigação.

Um IPS em linha está no caminho crítico; portanto, sua falha é uma falha de rede. Planeje para obter resiliência.

• NICs com desvio de hardware/abertura em caso de falha mantêm o tráfego fluindo se o mecanismo parar (quando a disponibilidade é mais importante que a segurança)
• Sensores redundantes em pares ativo/em espera ou em cluster
• Os sensores IDS fora de banda também precisam de redundância, ou você terá pontos cegos silenciosos

Decida entre abertura e fechamento em caso de falha para cada enlace, com base no risco empresarial, e teste a comutação antes de depender dela.

Um sensor implantado pode se degradar silenciosamente: uma alteração de configuração, um redirecionamento de SPAN ou um pico de carga pode deixá-lo cego. Verifique se ele continua funcionando.

• Execute periodicamente tráfego de teste seguro que as regras conhecidas deveriam capturar
• Gere um alerta quando as detecções esperadas deixarem de aparecer
• Monitore a integridade do sensor (perdas, CPU, tempo de atividade) com o mesmo cuidado dedicado aos alertas
• Use emulação de adversário para confirmar a cobertura de ponta a ponta

Uma detecção que nunca é testada é uma detecção em que você não pode confiar.

Diagnostique uma lacuna real na implantação.

Uma implantação eficaz de IDS/IPS trata de visibilidade e disciplina:

• O posicionamento determina o que você pode ver; cubra o perímetro e os segmentos internos
• Monitore o tráfego leste-oeste, não apenas o tráfego norte-sul, para detectar movimentação lateral
• Prefira TAPs a SPAN para obter captura sem perdas em alta taxa de transferência
• Dimensione os sensores para que as perdas de pacotes permaneçam próximas de zero
• Selecione criteriosamente os conjuntos de regras com o suricata-update; suprima ou limite o ruído por meio da configuração
• Ajuste primeiro no modo de alerta e depois promova ao bloqueio
• Defina HOME_NET corretamente
• Envie o EVE JSON para um SIEM e mantenha a captura de pacotes para investigação
• Valide continuamente a detecção e a integridade do sensor

Você concluiu o curso de Monitoramento da Segurança de Redes.