Intrusion detection system IDS Erik Taavila 0210501 TITE III.

Esitys aiheesta: "Intrusion detection system IDS Erik Taavila 0210501 TITE III."— Esityksen transkriptio:

1 Intrusion detection system IDS Erik Taavila 0210501 TITE III

2 IDS Tietoturva Tietoturva Monia eri osia Monia eri osia Tietomurto Tietomurto Ei lopullista turvaa kenelläkään Ei lopullista turvaa kenelläkään

3 IDS Tietoturvaa voidaan edistää Tietoturvaa voidaan edistää palomuuri palomuuri reitittimien access-listat reitittimien access-listat verkon rajaaminen verkon rajaaminen tiedostojen varmuuskopiointi tiedostojen varmuuskopiointi NIPS NIPS

4 IDS Tietomurtoja voidaan havainnoida Tietomurtoja voidaan havainnoida NIDS NIDS HIDS HIDS Tripwire Tripwire System logit System logit (remote logging utilities) (remote logging utilities) Hunajapurkki Hunajapurkki

5 IDS

6 IDS Snort IDS Snort IDS Asennus helppoa, konfigurointi vie paljon aikaa Asennus helppoa, konfigurointi vie paljon aikaa asennetaan komennolla: asennetaan komennolla: #apt-get install snort tai hakemalla kolme pakettia; itse snort, libpcap ja libpcre ja tekemälle näille: tai hakemalla kolme pakettia; itse snort, libpcap ja libpcre ja tekemälle näille:#configure#make #make install

7 IDS Snort IDS Snort IDS Konfigurointi Konfigurointi 1. /usr/bin/snort-2.2.0/etc/snort.conf 1. /usr/bin/snort-2.2.0/etc/snort.conf 2. /usr/bin/snort-2.2.0/rules/local.rules 2. /usr/bin/snort-2.2.0/rules/local.rules 3. cp S99snort /etc/init.d/S99snort 3. cp S99snort /etc/init.d/S99snort 4. snort –D –i eth0 –c /usr/bin/snort- 2.2.0/etc/snort.conf 4. snort –D –i eth0 –c /usr/bin/snort- 2.2.0/etc/snort.conf

8 IDS Sääntöjen konfigurointi Sääntöjen konfigurointi alert tcp 157.24.52.251 any -> any 80 (msg:"HTTP Traffic!!";) alert tcp 157.24.52.251 any -> any 80 (msg:"HTTP Traffic!!";) alert icmp $EXTERNAL_NET any -> 157.24.52.251 any (msg:"External requests";) alert icmp $EXTERNAL_NET any -> 157.24.52.251 any (msg:"External requests";) alert tcp $EXTERNAL_NET any -> 157.24.52.251 !22 (msg:"SSH allowed";) alert tcp $EXTERNAL_NET any -> 157.24.52.251 !22 (msg:"SSH allowed";) Hälytykset loggautuvat tiedostoon Hälytykset loggautuvat tiedostoon /var/log/snort/alert /var/log/snort/alert Esim. Esim. [**] [1:0:0] External requests [**] [Priority: 0] 01/27-04:58:55.541714 157.24.54.9 -> 157.24.52.251 ICMP TTL:64 TOS:0x0 ID:0 IpLen:20 DgmLen:84 DF Type:8 Code:0 ID:26425 Seq:3328 ECHO

9 IDS Ongelmakohtia Ongelmakohtia Sääntöjen päivitys Sääntöjen päivitys Sensorien sijoitus Sensorien sijoitus Kaikki liikenne vai tärkeä kohde Kaikki liikenne vai tärkeä kohde Hunajapurnukoiden ja IDS-sensorien yhteistyö Hunajapurnukoiden ja IDS-sensorien yhteistyö Nopean verkon kaiken liikenteen seuraaminen Nopean verkon kaiken liikenteen seuraaminen

10 IDS HARJOITELLAAN: HARJOITELLAAN: Koneeseen lahiverkot1 on asennettu nmap- porttiskanneri Koneeseen lahiverkot1 on asennettu nmap- porttiskanneri Koneeseen lahiverkot7 on asennettu snort Koneeseen lahiverkot7 on asennettu snort katsotaan konfiguraatio, jolla saamme selville ”verkkoa terrorisoivan” porttiskannerin katsotaan konfiguraatio, jolla saamme selville ”verkkoa terrorisoivan” porttiskannerin tehdään oma sääntö snorttiin tehdään oma sääntö snorttiin