การปรับแต่งและการนำไปใช้งาน

เซนเซอร์จะเห็นเฉพาะการรับส่งข้อมูลที่มาถึงเซนเซอร์นั้น ตำแหน่งที่คุณติดตั้งเซนเซอร์ IDS/IPS จึงเป็นตัวกำหนดสิ่งที่ตรวจจับได้ และการเลือกตำแหน่งเซนเซอร์คือการตัดสินใจแรกของการติดตั้ง

วางแผนตำแหน่งโดยอิงจากจุดคอขวดและขอบเขตความน่าเชื่อถือของเครือข่าย เช่น ขอบเขตอินเทอร์เน็ต ระหว่างโซนความปลอดภัย ด้านหน้าทรัพย์สินสำคัญที่สุด และจุดทางออกที่ข้อมูลถูกลักลอบนำออก

ต้องตรวจสอบแกนการรับส่งข้อมูลสองแบบ:

• เหนือ-ใต้ — การรับส่งข้อมูลที่ข้ามขอบเขตเครือข่าย (เข้าและออกจากอินเทอร์เน็ต) เซนเซอร์แบบขอบเขตทั่วไปจะครอบคลุมส่วนนี้
• ตะวันออก-ตะวันตก — การรับส่งข้อมูลระหว่างโฮสต์ภายใน ซึ่งเป็นบริเวณที่เกิดการเคลื่อนที่ด้านข้างและมักไม่มีการตรวจสอบ

ผู้โจมตีที่เข้ามาอยู่ภายในจะเคลื่อนที่ในแนวตะวันออก-ตะวันตก การติดตั้งเฉพาะที่ขอบเขตจึงมองไม่เห็นผู้โจมตีเหล่านี้ ดังนั้นจุดดักรับข้อมูลภายในและเซนเซอร์ตามเซกเมนต์จึงจำเป็นต่อการตรวจจับสมัยใหม่

การเลือกวิธีดักจับการรับส่งข้อมูลส่งผลต่อความครบถ้วนของข้อมูล:

• พอร์ต SPAN/มิเรอร์ ไม่มีค่าใช้จ่าย แต่ใช้ทรัพยากรของสวิตช์ร่วมกับส่วนอื่น และ ทำแพ็กเก็ตตกหล่นเมื่อมีโหลดสูง ซึ่งเป็นช่วงที่คุณต้องการข้อมูลเหล่านี้มากที่สุดพอดี
• อุปกรณ์ TAP แบบฮาร์ดแวร์ คัดลอกการรับส่งข้อมูลโดยไม่สูญเสีย และยังทำงานได้เมื่ออุปกรณ์ขัดข้อง แต่มีค่าใช้จ่ายและใช้พอร์ต

สำหรับลิงก์ที่มีปริมาณข้อมูลสูงหรือมีความสำคัญต่อการปฏิบัติตามข้อกำหนด ให้เลือก TAP เป็นหลัก อุปกรณ์ TAP รวมสัญญาณและนายหน้าการรับส่งแพ็กเก็ตเครือข่ายสามารถส่งข้อมูลให้เครื่องมือหลายตัวจากจุดดักจับเดียว

เซนเซอร์ที่ทำงานเกินกำลังจะ ทำแพ็กเก็ตตกหล่น โดยไม่มีสัญญาณเตือน ทำให้เกิดช่องว่างในการตรวจจับที่ดูเหมือนการรับส่งข้อมูลสะอาด จึงต้องกำหนดขนาดเซนเซอร์ให้เหมาะกับลิงก์

ตรวจดูสถิติของกลไกประมวลผลสำหรับ capture.kernel_drops และการสูญเสียแพ็กเก็ต หากแพ็กเก็ตตกหล่นเพิ่มขึ้น คุณอาจต้องเพิ่ม CPU ปรับแต่ง RAFL/กลไกการรับแพ็กเก็ตระดับซ็อกเก็ต ปรับการถ่ายภาระของ NIC หรือใช้เซนเซอร์ที่เร็วขึ้น ตรวจสอบให้แน่ใจว่าเซนเซอร์รองรับปริมาณข้อมูลสูงสุด ไม่ใช่เพียงค่าเฉลี่ย

การเปิดใช้กฎที่มีทั้งหมดเป็นสูตรสำเร็จของสัญญาณรบกวนและประสิทธิภาพที่ลดลง คัดเลือกชุดกฎอย่างเหมาะสม

• เปิดใช้หมวดหมู่กฎที่เกี่ยวข้องกับสภาพแวดล้อมและทรัพย์สินของคุณ
• ปิดใช้กฎสำหรับซอฟต์แวร์ที่คุณไม่ได้ใช้งาน
• ใช้เครื่องมือจัดการอย่าง เครื่องมืออัปเดตเซอริคาตา เพื่อดึง รวม และจัดการรุ่นของแหล่งที่มากฎ
• ติดตามแหล่งที่มากฎ (ET แบบเปิด, ET แบบมืออาชีพ, กำหนดเอง) และอัปเดตตามกำหนดเวลา

แทนที่จะแก้ไขกฎต้นทาง ให้ควบคุมสัญญาณรบกวนด้วย การตั้งค่าการกำหนดเกณฑ์/ระงับ ระงับกฎที่มีสัญญาณรบกวนสำหรับแหล่งที่มาที่ทราบว่าปลอดภัย และกำหนดเกณฑ์ให้กฎอื่นเพื่อจำกัดอัตราการแจ้งเตือน

วิธีนี้ช่วยให้ยังอัปเดตกฎจากภายนอกได้ พร้อมกับปิดเสียงผลบวกเท็จที่เกิดขึ้นเฉพาะกับเครือข่ายของคุณ

อย่านำกฎใหม่หรือกฎที่ไม่คุ้นเคยไปใช้งานโดยตรงกับ drop ให้เรียกใช้ใน โหมดแจ้งเตือน (IDS) ก่อน สังเกตสิ่งที่กฎตรวจจับได้เป็นเวลาหลายวันหรือหลายสัปดาห์ และยืนยันว่าอัตราผลบวกเท็จอยู่ในระดับที่ยอมรับได้

หลังจากกฎพิสูจน์แล้วว่าเชื่อถือได้เท่านั้น จึงควรเลื่อนระดับไปเป็นการบล็อกแบบอินไลน์ แนวทางแบบเป็นขั้นตอนนี้ป้องกันไม่ให้กฎที่ผิดพลาดเพียงข้อเดียวทำให้ระบบหยุดให้บริการ

การกำหนด $HOME_NET และตัวแปรอื่น ๆ อย่างถูกต้องเป็นพื้นฐานสำคัญ กฎจำนวนมากทำงานตามทิศทาง (จากภายนอกเข้าสู่ภายใน เทียบกับจากภายในออกสู่ภายนอก) ดังนั้น $HOME_NET ที่กำหนดผิดจะทำให้ตรรกะการตรวจจับเสียหายโดยไม่มีสัญญาณเตือน

กำหนดช่วงเครือข่ายภายใน กลุ่มเซิร์ฟเวอร์ และเครือข่ายที่เชื่อถือได้อย่างแม่นยำ ปรับปรุงข้อมูลให้เป็นปัจจุบันเมื่อเครือข่ายเปลี่ยนแปลง และทบทวนข้อมูลเหล่านี้เมื่อการตรวจจับทำงานผิดปกติอย่างไม่คาดคิด

เซนเซอร์จะมีประโยชน์ก็ต่อเมื่อผลลัพธ์ของเซนเซอร์ไปถึงนักวิเคราะห์ ส่งการแจ้งเตือนและข้อมูลกำกับไปยัง SIEM เพื่อเชื่อมโยงข้อมูล เพิ่มบริบท และเก็บรักษาข้อมูล

เซอริคาตาในรูปแบบ EVE เจสัน สร้างเหตุการณ์ที่มีโครงสร้าง (การแจ้งเตือน การไหลของข้อมูล เว็บ DNS TLS และค่าแฮชของไฟล์) ซึ่งส่งต่อเข้าสู่ SIEM ได้อย่างราบรื่น ใช้ IDS ร่วมกับการดักจับแพ็กเก็ตทั้งหมด เพื่อให้นักวิเคราะห์เรียกดูการรับส่งข้อมูลจริงที่อยู่เบื้องหลังการแจ้งเตือนได้ระหว่างการสอบสวน

IPS แบบอินไลน์อยู่บนเส้นทางสำคัญ ดังนั้นหาก IPS ขัดข้อง เครือข่ายก็ขัดข้องด้วย จึงต้องออกแบบให้ทนทานต่อความล้มเหลว

• การบายพาสฮาร์ดแวร์ / การเปิดเมื่อขัดข้องของ NIC ช่วยให้การรับส่งข้อมูลดำเนินต่อไปได้หากกลไกประมวลผลหยุดทำงาน (ในกรณีที่ความพร้อมใช้งานสำคัญกว่าความปลอดภัย)
• เซนเซอร์สำรองที่ทำงานเป็นคู่หลัก/สำรองหรือเป็นกลุ่ม
• เซนเซอร์ IDSนอกเส้นทางก็ต้องมีความซ้ำซ้อนเช่นกัน มิฉะนั้นจะเกิดจุดบอดที่ไม่มีสัญญาณเตือน

ตัดสินใจว่าจะเปิดหรือปิดเมื่อขัดข้องสำหรับแต่ละลิงก์ โดยพิจารณาจากความเสี่ยงทางธุรกิจ และทดสอบการสลับทำงานก่อนพึ่งพาระบบ

เซนเซอร์ที่นำไปใช้งานแล้วอาจเสื่อมประสิทธิภาพโดยไม่มีสัญญาณเตือน การเปลี่ยนการตั้งค่า การเปลี่ยนเส้นทาง SPAN หรือโหลดที่พุ่งสูงอาจทำให้เซนเซอร์มองไม่เห็นเหตุการณ์ ตรวจสอบว่าเซนเซอร์ยังทำงานได้

• เรียกใช้ การรับส่งข้อมูลทดสอบที่ปลอดภัยเป็นระยะ ซึ่งกฎที่ทราบกันควรตรวจจับได้
• แจ้งเตือนเมื่อการตรวจจับที่คาดว่าจะพบไม่ปรากฏอีกต่อไป
• เฝ้าติดตามสถานะเซนเซอร์ (แพ็กเก็ตตกหล่น CPU และเวลาทำงานต่อเนื่อง) อย่างละเอียดพอ ๆ กับการแจ้งเตือน
• ใช้การจำลองฝ่ายโจมตีเพื่อยืนยันความครอบคลุมตั้งแต่ต้นจนจบ

การตรวจจับที่ไม่เคยทดสอบคือการตรวจจับที่คุณไม่อาจเชื่อถือได้

การนำ IDS/IPS ไปใช้งานอย่างมีประสิทธิผลต้องอาศัยการมองเห็นและวินัย:

• ตำแหน่งติดตั้งเป็นตัวกำหนดสิ่งที่คุณมองเห็นได้ จึงควรครอบคลุมทั้งขอบเขตเครือข่ายและส่วนเครือข่ายภายใน
• เฝ้าติดตาม การรับส่งข้อมูลระหว่างส่วนต่าง ๆ ไม่ใช่เฉพาะการรับส่งข้อมูลเข้าออกขอบเขต เพื่อจับการเคลื่อนที่ภายในเครือข่าย
• เลือกใช้ TAP แทน SPAN สำหรับการดักจับข้อมูลปริมาณสูงโดยไม่สูญเสีย
• กำหนดขนาดเซนเซอร์ให้ แพ็กเก็ตตกหล่นใกล้ศูนย์
• คัดเลือกชุดกฎด้วยเครื่องมืออัปเดตเซอริคาตา และระงับ/กำหนดเกณฑ์สัญญาณรบกวนผ่านการตั้งค่า
• ปรับแต่งใน โหมดแจ้งเตือนก่อน แล้วจึงเลื่อนระดับไปเป็นการทิ้งแพ็กเก็ต
• กำหนด เครือข่ายภายในให้ถูกต้อง
• ส่ง EVE เจสัน ไปยัง SIEM และเก็บการดักจับแพ็กเก็ตไว้สำหรับการสอบสวน
• ตรวจสอบอย่างต่อเนื่องทั้งการตรวจจับและสถานะเซนเซอร์

คุณเรียนจบหลักสูตรการเฝ้าติดตามความปลอดภัยเครือข่ายแล้ว