Настройка и развёртывание

Датчик видит только тот трафик, который до него доходит. От места установки датчиков IDS/IPS зависит, что именно Вы сможете обнаружить, поэтому выбор места установки — первое решение при развёртывании.

Планируйте размещение вокруг узких мест сети и границ доверия: на интернет-периметре, между зонами безопасности, перед критически важными активами и в точках выхода, через которые утекают данные.

Необходимо отслеживать два направления трафика:

• Север—юг — трафик, пересекающий периметр, то есть входящий из интернета или исходящий в интернет. Классические датчики периметра контролируют этот трафик.
• Восток—запад — трафик между внутренними узлами. Именно здесь происходит боковое перемещение, однако такой трафик часто не отслеживается.

Проникнув внутрь сети, злоумышленники перемещаются с востока на запад. Развёртывание только на периметре не позволяет их увидеть, поэтому для современного обнаружения необходимы внутренние точки съёма трафика и датчики сегментов.

Выбор способа захвата трафика влияет на точность наблюдения:

• Порты SPAN/зеркальные порты бесплатны, но используют общие ресурсы коммутатора и отбрасывают пакеты при нагрузке — именно тогда, когда они нужны Вам больше всего.
• Аппаратные TAP копируют трафик без потерь и продолжают работать при отказе устройства, но требуют затрат и занимают порты.

Для каналов с высокой пропускной способностью или критичных с точки зрения соответствия требованиям предпочитайте TAP. Агрегационные TAP и сетевые брокеры пакетов могут передавать данные нескольким инструментам из одной точки захвата.

Перегруженный сенсор незаметно для Вас отбрасывает пакеты, создавая пробелы в обнаружении, которые выглядят как отсутствие подозрительного трафика. Подбирайте размер сенсоров под пропускную способность канала.

Следите в статистике движка за значением capture.kernel_drops и потерями пакетов. Если потери растут, Вам требуется больше ресурсов CPU, настройка RAFL/AF_PACKET, корректировка разгрузки NIC или более быстрый сенсор. Убедитесь, что сенсор справляется с пиковой, а не со средней пропускной способностью.

Запуск всех доступных правил неизбежно приводит к шуму и снижению производительности. Тщательно отбирайте набор правил.

• Включайте категории правил, относящиеся к Вашей среде и активам
• Отключайте правила для программного обеспечения, которое Вы не используете
• Используйте менеджер, например suricata-update, чтобы загружать, объединять и версионировать источники правил
• Отслеживайте источники правил (ET Open, ET Pro, пользовательские) и обновляйте их по расписанию

Вместо редактирования исходных правил контролируйте шум с помощью конфигурации порогов и подавления. Подавляйте шумное правило sid для заведомо безопасного источника, а для остальных задавайте пороги, чтобы ограничить частоту оповещений.

Так сторонние правила можно обновлять, одновременно подавляя ложные срабатывания, характерные именно для Вашей сети.

Никогда не переводите новое или незнакомое правило сразу в режим drop. Сначала запускайте его в режиме оповещений (IDS), наблюдайте в течение дней или недель, что оно обнаруживает, и убедитесь, что частота ложных срабатываний приемлема.

Только после того, как правило подтвердит свою надёжность, переводите его во встроенную блокировку. Такой поэтапный подход не позволит одному ошибочному правилу вызвать отказ сети.

Правильное определение $HOME_NET и других переменных имеет фундаментальное значение. Многие правила срабатывают в зависимости от направления (из внешней сети во внутреннюю и из внутренней сети во внешнюю), поэтому неверное значение $HOME_NET незаметно нарушает логику обнаружения.

Точно задавайте внутренние диапазоны, группы серверов и доверенные сети. Поддерживайте их в актуальном состоянии по мере изменения сети и проверяйте их, если обнаружение начинает работать неожиданно.

Сенсоры полезны только тогда, когда их вывод поступает к аналитикам. Передавайте оповещения и метаданные в SIEM для корреляции, обогащения и хранения.

EVE JSON Suricata формирует структурированные события (оповещения, потоки, HTTP, DNS, TLS, хеши файлов), которые легко передавать в SIEM. Дополняйте IDS захватом всех пакетов, чтобы во время расследования аналитики могли получить фактический трафик, связанный с оповещением.

Встроенная IPS находится на критическом пути, поэтому её отказ означает отказ сети. Проектируйте систему с учётом устойчивости.

• NIC с аппаратным обходом / пропуском трафика при отказе поддерживают прохождение трафика, если движок выходит из строя (когда доступность важнее безопасности)
• Резервные сенсоры в парах активный/резервный или в кластере
• Внеполосным сенсорам IDS также требуется резервирование, иначе возникают незаметные слепые зоны

Определяйте для каждого канала, следует ли при отказе пропускать или блокировать трафик, исходя из бизнес-риска, и проверяйте переключение при отказе до того, как начнёте на него полагаться.

Развёрнутый сенсор может незаметно перестать работать: его ослепляют изменение конфигурации, перенаправление SPAN или скачок нагрузки. Проверяйте, что он по-прежнему работает.

• Периодически запускайте безопасный тестовый трафик, который должны обнаруживать известные правила
• Настройте оповещения о прекращении ожидаемых обнаружений
• Следите за состоянием сенсора (потери, CPU, время работы) так же внимательно, как и за оповещениями
• Используйте имитацию действий противника для проверки покрытия от начала до конца

Обнаружение, которое Вы никогда не проверяете, нельзя считать надёжным.

Разберите реальный пробел в развёртывании.

Эффективное развёртывание IDS/IPS требует наблюдаемости и дисциплины:

• Размещение определяет, что именно Вы можете видеть; охватывайте периметр и внутренние сегменты
• Отслеживайте восточно-западный трафик, а не только трафик с севера на юг, чтобы обнаруживать боковое перемещение
• Предпочитайте TAP технологии SPAN для захвата без потерь на высокой пропускной способности
• Подбирайте размер сенсоров так, чтобы потери пакетов оставались близкими к нулю
• Тщательно отбирайте наборы правил с помощью suricata-update; подавляйте и ограничивайте шум через конфигурацию
• Сначала настраивайте режим оповещений, затем переводите правила в режим drop
• Правильно задавайте HOME_NET
• Передавайте EVE JSON в SIEM и сохраняйте захват пакетов для расследований
• Непрерывно проверяйте обнаружение и состояние сенсоров

Вы завершили курс по мониторингу безопасности сети.