Cyber Security Academy · Lektion

Finjustering och driftsättning

Placera sensorer och minska brus.

Lektion 4 av 413 steg

Finjustering och driftsättning är en gratis lektion i Cyber Security Academy på CoddyKit. Detta är lektion 4 av 4. Du kan läsa vilka 3 lektioner som helst i den här lärvägen kostnadsfritt i sin helhet – därefter låser CoddyKit PRO upp alla lektioner, plus praktisk övning med en inbyggd kodredigerare och en AI-lärare dygnet runt. Den ingår i lärvägen för Cyber Security Academy, och Era framsteg synkroniseras mellan webben och CoddyKit-appen. Kursen i Cyber Security Academy innehåller totalt 4 lektioner.

Placeringen är avgörande

En sensor ser bara den trafik som når den. Var du placerar IDS-/IPS-sensorer avgör vad du kan upptäcka, så sensorplacering är det första beslutet vid en driftsättning.

Planera placeringen utifrån nätverkets flaskhalsar och tillitsgränser: internetperimetern, mellan säkerhetszoner, framför särskilt skyddsvärda tillgångar och vid utgångspunkter där exfiltrering lämnar nätverket.

Nord-syd kontra öst-väst

Två trafikaxlar behöver övervakas:

Nord-syd — trafik som passerar perimetern (in i eller ut ur internet). Klassiska perimetersensorer täcker detta.
Öst-väst — trafik mellan interna värdar. Det är här sidledsförflyttning sker, och denna trafik övervakas ofta inte.

Angripare som tar sig in rör sig öst-väst. En driftsättning som endast täcker perimetern ser dem inte, så interna avlyssningspunkter och segmentsensorer är avgörande för modern detektering.

TAP kontra SPAN i stor skala

Valet av hur trafiken fångas påverkar återgivningstrogenheten:

SPAN-/mirrorportar är kostnadsfria men delar switchens resurser och tappar paket under belastning, precis när de behövs som mest.
Hårdvaru-TAP-enheter kopierar trafiken utan paketförlust och fortsätter fungera vid enhetsfel, men kostar pengar och portplatser.

För länkar med hög genomströmning eller höga krav på regelefterlevnad bör du föredra TAP-enheter. Aggregerande TAP-enheter och network packet brokers kan mata flera verktyg från en enda fångstpunkt.

Kapacitet och genomströmning

En överbelastad sensor tappar paket i tysthet, vilket skapar detekteringsluckor som ser ut som ren trafik. Dimensionera sensorerna efter länken.

Övervaka motorstatistiken för capture.kernel_drops och paketförluster. Om antalet tappade paket ökar behöver du mer CPU, justeringar av RAFL/AF_PACKET, ändringar av NIC-offload eller en snabbare sensor. Kontrollera att sensorn klarar toppbelastningen, inte bara den genomsnittliga genomströmningen.

# Suricata stats to watch
# capture.kernel_packets
# capture.kernel_drops   <- should stay near zero
# decoder.invalid

Hantering av regeluppsättningar

Att köra varje tillgänglig regel leder till brus och försämrad prestanda. Kurera regeluppsättningen.

Aktivera regelkategorier som är relevanta för din miljö och dina tillgångar
Inaktivera regler för programvara som du inte använder
Använd en hanterare som suricata-update för att hämta, slå samman och versionshantera regelkällor
Följ upp regelkällor (ET Open, ET Pro, anpassade) och uppdatera enligt ett schema

suricata-update enable-source et/open
suricata-update
suricatasc -c reload-rules

Dämpning och tröskelvärden för brus

I stället för att redigera uppströmsregler kan du kontrollera bruset med en threshold/suppression-konfiguration. Undertryck ett brusigt sid för en känd legitim källa och sätt tröskelvärden för andra för att begränsa larmfrekvensen.

På så sätt kan tredjepartsregler fortsätta att uppdateras samtidigt som falsklarm som är specifika för ditt nätverk tystas.

# threshold.config
suppress gen_id 1, sig_id 2013028, track by_src, ip 10.0.5.20
threshold gen_id 1, sig_id 2001219, type limit, track by_src, count 1, seconds 300

Finjustera först i alert-läge

Distribuera aldrig en ny eller obekant regel direkt i drop-läge. Kör den först i alert-läge (IDS-läge), observera vad den fångar under dagar eller veckor och bekräfta att andelen falsklarm är acceptabel.

Först när en regel har visat sig vara tillförlitlig bör du aktivera inline-blockering. Detta stegvisa arbetssätt förhindrar att en enda dålig regel orsakar ett driftavbrott.

HOME_NET och variabler

Att definiera $HOME_NET och andra variabler korrekt är grundläggande. Många regler utlöses beroende på riktning (externt till internt kontra internt till externt), så ett felaktigt $HOME_NET bryter i tysthet mot detekteringslogiken.

Definiera dina interna intervall, servergrupper och betrodda nät exakt. Håll dem uppdaterade när nätverket förändras och granska dem när detekteringar beter sig oväntat.

# suricata.yaml vars
HOME_NET: "[10.0.0.0/8,192.168.0.0/16]"
EXTERNAL_NET: "!$HOME_NET"
HTTP_SERVERS: "[10.0.5.0/24]"
DNS_SERVERS: "[10.0.1.10,10.0.1.11]"

Loggning och integration

Sensorer är bara användbara om deras utdata når analytikerna. Skicka larm och metadata till ett SIEM för korrelation, berikning och lagring.

Suricatas EVE JSON genererar strukturerade händelser (larm, flöden, HTTP, DNS, TLS och filhashar) som enkelt kan skickas till ett SIEM. Kombinera IDS med fullständig paketfångst så att analytiker kan hämta den faktiska trafiken bakom ett larm under en utredning.

# suricata.yaml
outputs:
  - eve-log:
      enabled: yes
      filetype: regular
      filename: eve.json
      types: [alert, dns, tls, http, flow]

Hög tillgänglighet och redundans

Ett inline-IPS ingår i den kritiska trafikvägen, så ett fel i det innebär ett nätverksfel. Utforma lösningen för motståndskraft.

NIC:ar med hårdvarubypass/fail-open håller trafiken igång om motorn slutar fungera (när tillgänglighet väger tyngre än säkerhet)
Redundanta sensorer i aktiva/passiva eller klustrade par
IDS-sensorer utanför trafikvägen behöver också redundans, annars uppstår tysta blinda fläckar

Avgör per länk om fail-open eller fail-closed ska gälla utifrån verksamhetsrisken och testa redundansväxlingen innan du förlitar dig på den.

Validera detektering kontinuerligt

En driftsatt sensor kan försämras i tysthet: en konfigurationsändring, en omdirigering av SPAN-trafik eller en belastningstopp kan göra den blind. Kontrollera att den fortfarande fungerar.

Kör regelbundet säker testtrafik som kända regler ska fånga
Skapa larm när förväntade detekteringar slutar dyka upp
Övervaka sensorernas hälsa (tappade paket, CPU och drifttid) lika noggrant som larmen
Använd adversariemulering för att bekräfta täckningen från början till slut

Detektering som aldrig testas går inte att lita på.

Snabbkontroll

Diagnostisera en verklig lucka i driftsättningen.

Besvara frågan i den interaktiva lektionen

Sammanfattning

En effektiv IDS/IPS-driftsättning handlar om insyn och disciplin:

Placeringen avgör vad du kan se; täck perimetern och interna segment
Övervaka öst-väst-trafik, inte bara nord-syd-trafik, för att upptäcka lateral förflyttning
Föredra TAP-enheter framför SPAN för förlustfri fångst med hög genomströmning
Dimensionera sensorerna så att antalet tappade paket hålls nära noll
Kurera regeluppsättningarna med suricata-update och dämpa eller tröskelsätt brus via konfigurationen
Finjustera först i alert-läge och aktivera därefter drop
Definiera HOME_NET korrekt
Skicka EVE JSON till ett SIEM och behåll paketfångst för utredningar
Validera kontinuerligt detekteringen och sensorernas hälsa

Du har slutfört kursen i nätverkssäkerhetsövervakning.

Gratis att börja

Lär dig Cyber Security Academy med en AI-lärare – gratis

Skriv och kör riktig kod i webbläsaren, få omedelbar hjälp av en AI-lärare dygnet runt och fortsätt där du slutade – på webben eller i appen.

Kurser: 76
Lektioner: 303

Börja lära dig gratis Visa hela kursen

Vanliga frågor

Är lektionen ”Finjustering och driftsättning” gratis?

Ja – du kan läsa vilka 3 lektioner som helst i lärvägen Cyber Security Academy, inklusive ”Finjustering och driftsättning”, kostnadsfritt i sin helhet här på webben. Därefter låser CoddyKit PRO upp alla lektioner, plus interaktiv övning med en inbyggd kodredigerare och en AI-lärare dygnet runt. Kursen i Cyber Security Academy innehåller totalt 4 lektioner.

Vad lär jag mig i ”Finjustering och driftsättning”?

Placera sensorer och minska brus. Ni övar på Cyber Security Academy med praktisk kod som körs direkt i webbläsaren, medan en AI-handledare som är tillgänglig dygnet runt svarar på Era frågor under lektionen.

Behöver jag någon erfarenhet för att börja lära mig Cyber Security Academy?

Du behöver inga förkunskaper. Utbildningen i Cyber Security Academy på CoddyKit är upplagd för allt från nybörjare till avancerade elever, så att du kan börja här eller från början och gå fram i din egen takt. Detta är lektion 4 av 4.

Hur lång tid tar lektionen ”Finjustering och driftsättning”?

De flesta CoddyKit-lektioner tar cirka 5–10 minuter. Varje lektion är kort och interaktiv, så att du gör stadiga framsteg och kan fortsätta precis där du slutade – på webben eller i appen.

Kan jag skriva och köra kod i den här Cyber Security Academy-lektionen?

Ja. Varje Cyber Security Academy-lektion innehåller en inbyggd kodredigerare, så att du kan skriva och köra riktig kod direkt i webbläsaren och få omedelbar AI-feedback – utan lokal installation.

Alla lektioner i den här kursen

← Tillbaka till Cyber Security Academy