Сигнатурные правила для Snort и Suricata

Snort и Suricata — два ведущих механизма IDS/IPS с открытым исходным кодом. Они используют в основном совместимый язык правил, поэтому правило, написанное для одного механизма, обычно работает и в другом.

Suricata добавляет многопоточность, встроенные анализаторы протоколов, извлечение файлов и подробное журналирование (EVE JSON); Snort 3 аналогично модернизировал собственный механизм. Освоив синтаксис правил один раз, вы сможете эффективно работать с обоими механизмами.

У каждого правила есть две части: заголовок и заключённое в скобки тело с параметрами. Заголовок задаёт действие, протокол и направление трафика, а тело определяет, что сопоставлять и как формировать отчёт.

Заголовок читается слева направо:

• действие — оповещение, отбрасывание, отклонение, разрешение
• протокол — tcp, udp, icmp, ip (или протоколы приложений в Suricata: http, dns, tls)
• исходный IP/порт и IP/порт назначения
• направление — -> одностороннее или <> двустороннее

Переменные вроде $HOME_NET и $EXTERNAL_NET берутся из конфигурации, поэтому правила остаются переносимыми между разными сетями.

Действие определяет, будет ли это правило работать в режиме IDS или IPS:

• alert — вести журнал и отправлять уведомление, но не останавливать трафик (IDS)
• drop — молча отбрасывать пакет (IPS, только во встроенном режиме)
• reject — отбрасывать пакет и отправлять сброс TCP-соединения или сообщение ICMP о недоступности
• pass — явно разрешать трафик, пропуская последующие правила

Один и тот же движок работает как IDS или IPS в зависимости от того, развёрнут ли он во встроенном режиме и какие действия используются.

Ключевое слово content сопоставляет последовательность байтов с полезной нагрузкой. Текст заключают в кавычки, а двоичные данные записывают в вертикальных чертах в шестнадцатеричном виде.

Ключевые слова привязки уточняют сопоставление: offset, depth, distance и within ограничивают место появления последовательности, что повышает точность и производительность.

Современные правила сопоставляют данные с буферами с учётом протокола, а не с необработанным потоком. После ключевого слова буфера последующие сопоставления content применяются к соответствующей части разобранного протокола.

• http_uri — URI запроса
• http_header — заголовки запроса и ответа
• http_user_agent — агент пользователя
• tls_sni / dns_query — имя сервера TLS / запрос DNS

Это гораздо надёжнее, чем искать подстроку во всём пакете.

Если фиксированных строк недостаточно, pcre добавляет регулярные выражения, совместимые с Perl. Сочетайте недорогой предварительный фильтр content с pcre, чтобы регулярное выражение запускалось только для подходящих пакетов и не снижало производительность.

Модификатор nocase делает сопоставление содержимого нечувствительным к регистру. Это важно для заголовков и полей, управляемых пользователем и изменяемых злоумышленниками.

Параметр flow ограничивает область действия правила состоянием и направлением соединения, уменьшая число ложных срабатываний и затраты ресурсов.

• established — только для завершённых TCP-сеансов
• to_server / to_client — направление запроса или ответа

Сопоставление ответов сервера только для установленных соединений и направления к клиенту предотвращает срабатывания на случайных или поддельных пакетах.

Служебные параметры помогают поддерживать правила в рабочем состоянии:

• sid — уникальный ID сигнатуры (для локальных правил используйте значения от 1000000)
• rev — номер ревизии, увеличиваемый после каждого изменения
• msg — текст оповещения, который видят аналитики
• classtype — категория, определяющая приоритет
• reference — ссылка на CVE или рекомендацию по безопасности

Стабильные идентификаторы и возрастающие номера ревизий позволяют отслеживать и обновлять правила, не нарушая работу панелей мониторинга и исключений.

Хотя правила этих движков совместимы, их возможности различаются:

• Suricata поддерживает многопоточность, самостоятельно разбирает протоколы приложений, извлекает файлы, вычисляет JA3 и формирует данные EVE в формате JSON
• Snort 3 переписал свой движок для повышения производительности и добавил модульную систему подключаемых компонентов

Некоторые ключевые слова зависят от конкретного движка. Suricata добавляет ключевые слова уровня приложений (tls.sni, dns.query, http.method), а также возможности работы с наборами данных и битами состояния потока. При совместном использовании правил ориентируйтесь на минимальный общий набор возможностей или поддерживайте отдельные наборы правил для каждого движка.

Чтобы правило не переполняло консоль, применяйте пороги. detection_filter срабатывает только после N событий за заданный интервал, а threshold с limit ограничивает количество оповещений.

Это особенно важно для обнаружения перебора паролей и сканирования, где одно событие ничего не значит, а сигналом является всплеск активности.

Прочитайте правило и спрогнозируйте его поведение.

Теперь Вы умеете читать и создавать сигнатуры Snort/Suricata:

• Правило = заголовок (действие, протокол, источник и назначение, направление) + параметры тела
• Действие определяет режим IDS или IPS: alert, drop, reject, pass
• content с ограничениями смещения и глубины сопоставляет байты полезной нагрузки, в том числе в шестнадцатеричном виде
• Буферы с фиксацией (http.uri, tls.sni, dns.query) сопоставляют разобранные поля протокола
• pcre и nocase обрабатывают переменные последовательности
• flow ограничивает область действия состоянием и направлением
• sid/rev/msg/reference упрощают сопровождение правил
• Пороги уменьшают шум от перебора и сканирования

Далее: обнаружение угроз без каких-либо сигнатур.