Snort ve Suricata ile İmza Kuralları

Snort ve Suricata, açık kaynaklı iki baskın IDS/IPS motorudur. Büyük ölçüde uyumlu bir kural dilini paylaşırlar; bu nedenle biri için yazılan bir kural genellikle diğerinde de çalışır.

Suricata çoklu iş parçacığı, yerel protokol ayrıştırıcıları, dosya çıkarma ve zengin günlükleme (EVE JSON) özellikleri ekler; Snort 3 de kendi motorunu benzer şekilde modernleştirmiştir. Kural söz dizimini bir kez öğrenmek, her iki motor üzerinde de yetkinlik kazanmanızı sağlar.

Her kuralın iki bölümü vardır: bir başlık ve seçeneklerden oluşan parantez içindeki bir gövde. Başlık eylemi, protokolü ve trafik yönünü belirler; gövde ise neyin eşleştirileceğini ve nasıl raporlanacağını tanımlar.

Başlık soldan sağa okunur:

• eylem — uyarı, bırakma, reddetme, geçirme
• protokol — tcp, udp, icmp, ip (veya Suricata'daki uygulama protokolleri: http, dns, tls)
• kaynak IP/bağlantı noktası ve hedef IP/bağlantı noktası
• yön — -> tek yönlü veya <> çift yönlü

$HOME_NET ve $EXTERNAL_NET gibi değişkenler yapılandırmanızdan gelir; böylece kurallar farklı sitelerde taşınabilir kalır.

Eylem, ilgili kuralın IDS mi yoksa IPS mi gibi davranacağını belirler:

• alert — günlük kaydı oluşturur ve bildirim gönderir, trafiği durdurmaz (IDS)
• drop — paketi sessizce atar (IPS, yalnızca satır içi dağıtımda)
• reject — paketi atar ve TCP sıfırlama paketi veya ICMP erişilemez bildirimi gönderir
• pass — açıkça izin verir ve sonraki kuralları atlar

Aynı altyapı, satır içinde dağıtılıp dağıtılmadığına ve kullandığınız eylemlere bağlı olarak IDS veya IPS olur.

content anahtar sözcüğü, yük içindeki bir bayt örüntüsüyle eşleşir. Metin tırnak içinde, ikili veri ise onaltılık biçimde dikey çubuklar arasında yazılır.

Konum sabitleme anahtar sözcükleri eşleşmeleri kesinleştirir: offset, depth, distance ve within, örüntünün nerede görünebileceğini sınırlar; bu da hem doğruluğu hem de performansı artırır.

Modern kurallar ham akış yerine protokolü tanıyan arabelleklerle eşleşir. Bir arabellek anahtar sözcüğünden sonra gelen content eşleşmeleri, ayrıştırılmış protokolün ilgili bölümüne uygulanır.

• http_uri — istek URI'si
• http_header — istek/yanıt başlıkları
• http_user_agent — Kullanıcı-Aracısı
• tls_sni / dns_query — TLS sunucu adı / DNS sorgusu

Bu yaklaşım, paketin tamamında bir alt dize aramaktan çok daha güvenilirdir.

Sabit dizeler yeterli olmadığında pcre, Perl uyumlu düzenli ifadeleri kullanıma sunar. Ucuz bir content ön filtresini pcre ile birlikte kullanarak düzenli ifadenin yalnızca aday paketlerde çalışmasını sağlayabilir ve performansı koruyabilirsiniz.

nocase değiştiricisi, içerik eşleşmesini büyük/küçük harfe duyarsız yapar. Bu, saldırganların değiştirebileceği başlıklar ve kullanıcı denetimindeki alanlar için önemlidir.

flow seçeneği, bir kuralı bağlantı durumuna ve yönüne göre sınırlar; böylece yanlış pozitifleri ve maliyeti azaltır.

• established — yalnızca tamamlanmış TCP oturumlarında
• to_server / to_client — istek ve yanıt yönü

Sunucu yanıtlarını yalnızca bağlantı kurulmuş ve istemciye yönelmişken eşleştirmek, başıboş veya sahte paketlerde kuralın tetiklenmesini önler.

Kayıt tutma seçenekleri, kural kümesinin bakımını kolaylaştırır:

• sid — benzersiz imza kimliği (yerel kurallar için 1000000 ve üzerini kullanın)
• rev — revizyon numarası; her düzenlemede artırın
• msg — çözümleyicilerin gördüğü uyarı metni
• classtype — önceliği belirleyen kategori
• reference — CVE veya güvenlik duyurusuna bağlantı

Sabit sid değerleri ve artan rev değerleri, panoları ve bastırma ayarlarını bozmadan kuralları izlemenize ve güncellemenize olanak tanır.

Kurallar uyumlu olsa da altyapıların yetenekleri farklıdır:

• Suricata çok iş parçacıklıdır, uygulama protokollerini yerel olarak ayrıştırır, dosyaları çıkarır, JA3 hesaplar ve EVE JSON üretir
• Snort 3, altyapısını performans ve modüler bir eklenti sistemi için yeniden yazmıştır

Bazı anahtar sözcükler altyapıya özeldir. Suricata, uygulama katmanı anahtar sözcükleri (tls.sni, dns.query, http.method) ile veri kümesi ve flowbits özelliklerini ekler. Kuralları paylaşırken en düşük ortak paydayı hedefleyin veya altyapıya özel kural kümelerini ayrı tutun.

Bir kuralın konsolu uyarılarla doldurmasını önlemek için eşikler uygulayın. detection_filter, bir zaman aralığında N olaydan sonra çalışır; limit ile birlikte kullanılan threshold ise uyarı hacmini sınırlar.

Bu, tek bir olayın anlamsız olduğu ancak kısa süredeki yoğunluğun sinyal oluşturduğu kaba kuvvet ve tarama tespitleri için zorunludur.

Bir kuralı okuyun ve davranışını tahmin edin.

Artık Snort/Suricata imzalarını okuyup yazabilirsiniz:

• Bir kural = başlık (eylem, protokol, kaynak/hedef, yön) + gövde seçenekleri
• Eylem IDS ile IPS arasındaki farkı belirler: alert, drop, reject, pass
• content, offset/depth ve onaltılık eşleşmelerle yük baytlarını denetler
• Yapışkan arabellekler (http.uri, tls.sni, dns.query), ayrıştırılmış protokol alanlarıyla eşleşir
• pcre ve nocase, değişken örüntüleri ele alır
• flow, eşleşmeyi durum ve yönle sınırlar
• sid/rev/msg/reference, kuralların bakımını kolaylaştırır
• Eşikler, kaba kuvvet ve tarama gürültüsünü azaltır

Sıradaki konu: hiçbir imzası olmayan tehditleri tespit etmek.