Февраль

ХАКЕР.PROСергей «grinder» Яремчук/ grinder@ua.fm /IDSна стражепериметраSnort: мощный инструмент обнаружения сетевых атакЗащита компьютерных сетей, как обычных, так и беспроводных, - тема острая и злободневная.Сегодня информацию с описаниями взломов, а также готовых программ,реализующих их, найти легко, и любой может испытать на тебе весь доступныйарсенал. Чтобы обезопасить себя от неожиданных сюрпризов, следует реализоватьзащиту в комплексе: межсетевой экран, фильтрация MAC-адресов и шифрованиетрафика. Особое место в этом списке занимают системы обнаружения атак, своевременносигнализирующие о появлении хакера. К таким средствам относится сетеваяСОА Snort — мощный инструмент с открытым исходным кодом.Возможности SnortSnort является сетевой системой обнаруженияатак (IDS) с открытым исходным кодом, котораяспособна выполнить в реальном временианализ IP-пакетов, передаваемых на контролируемыхинтерфейсах. Snort обнаруживаетатаки, комбинируя два метода: сигнатурныйи анализ протоколов.Всю собранную информацию детектор Snortпозволяет сохранить в файлах журналов, которыемогут иметь различный формат: обычныйтекстовый ASCII или бинарный, совместимыйс tcpdump. Кроме того, для удобстваанализа информацию можно занести в базуданных: Postgresql, MySQL, unixODBC и некоторыедругие.Система, построенная на Snort, способна собиратьи обрабатывать информацию с несколькихразнесенных датчиков. Все в дело в производительностикомпьютеров, используемыхв качестве сенсоров. Для того чтобы улучшитьпроизводительность, разделяя быструю работуIDS по захвату пакетов и относительно медленнуюпо занесению информации, необходимоиспользовать Barnyard, который доступен настранице закачки проекта Snort. В этом случаеSnort создает специальный двоичный выходной«унифицированный» формат, с которымв дальнейшем и работает Barnyard.Snort and WirelessSnort непосредственно не умеет работать с беспроводнымисетями 802.11, но подключенныйк такому устройству сможет интерпретироватьполученную информацию. Сегодняшний Snort,в принципе, не делает различия в том, с какимтипом сети он имеет дело, никаких специфическихопций при установке также задаватьне надо. Как обычно, указываем интерфейс '-i',и Snort начинает анализ пакетов в режиме rawmonitoring (RFMON), без привязки к специфическойсети, собирая все пакеты, попадающиесяв радиоэфире. Чтобы контролировать толькосвою сеть, необходимо соответствующимобразом настроить Wi-Fi устройство или системуфильтров. Сети IEEE 802.11 используют тривида пакетов: управления, контроля и данных.Чтобы отслеживать первые два типа, необходимодобавить в строку запуска параметр '-w'.Для более эффективной защиты можноиспользовать орудие нападения — Kismet(www.kismetwireless.net), который умеетотлично сканировать эфир, а значит, его можноприменять для поиска посторонних устройств.Анализируя данные с различных точек доступаи Wi-Fi карт в связке с Snort, можно дать отпордаже опытному хакеру.Существует специальное ответвление Snort— Snort-Wireless (snort-wireless.org), как разпредназначенное для обнаружения атак, направленныхна сети стандарта 802.11. Snort-Wirelessобратно совместим с Snort 2.0, при этом содержитнекоторые специфические правила обработкипакетов, настроенных на уязвимости и типичныеатаки беспроводных сетей. Последниеобновления датированы ноябрем 2005 года, насайте доступен патч для Snort 2.4.3 (требующийпри компиляции опции '--enable-wireless'),также имеется и уже патченая версия Snort.Функционально Snort-Wireless мало отличаетсяот Snort, дополнительно в его состав включеннабор правил wifi.rules, содержащий описаниеспецифических уязвимостей и ряд препроцессоров.В настоящее время реализовано пятьпрепроцессоров:1. AntiStumbler (spp_antistumbler) — распознаетрассылку большого количества нулевыхSSID с одного MAC-адреса, что используютNetStumbler и MacStumbler для обнаруженияточек доступа;2. DeauthFlood (spp_deauth_flood) — подсчитываетколичество кадров деаутентификациии при превышении порога поднимает тревогу;3. AuthFlood (spp_auth_flood) — определяет количествопопыток аутентификации, что можетсвидетельствовать о возможной DOS-атаке;4. MacSpoof (spp_macspoof) — отслеживаетпопытки подмены МАС-адреса;5. RogueAP (spp_rogue_ap) — его задача сообщатьо присутствии других точек доступа.В Snort таких препроцессоров нет, поэтомудля защиты беспроводной сети имеет смыслиспользовать именно Snort-Wireless.Установка SnortНа момент написания статьи актуальной былаверсия 2.6.1.2. В репозитарии Ubuntu, которыйиспользовался при написании статьи, — 2.3.3.Хотелось бы отметить, что подкаталог contrib,/ 150xàêåð 02 /98/ 07