एक परीक्षक का इकबालिया बयान: मैंने एक प्रतियोगी आईडीएस में कैसे अफवाह उड़ाई

कोई भी स्वाभिमानी UTM नेटवर्क सुरक्षा प्रवेश द्वार एक घुसपैठ जांच प्रणाली (IDS) के बिना नहीं कर सकता। एक और बात यह है कि प्रतियोगियों द्वारा टिक बनाए रखने के लिए निर्माता द्वारा अक्सर विकल्प का संकेत दिया जाता है। मैं एक परीक्षक के रूप में अपने अनुभव से जानता हूं कि यह कैसे होता है - आईडीएस लगता है, लेकिन वास्तव में यह अच्छा नहीं है। इसीलिए, जब मुझे अपेक्षाकृत सस्ते UTM- हार्डवेयर के टुकड़े का परीक्षण करने की पेशकश की गई, तो मैंने सबसे पहले सुझाव दिया कि इसके OWL को "बाहर निकालो"।


UTM- ट्रैफ़िक इंस्पेक्टर की अगली पीढ़ी S100 और सिस्को 2960G स्विच


यदि आपके पास आईडीएस के साथ काम करने का अनुभव है, तो लेख में टिप्पणियों में इसके बारे में पढ़ना दिलचस्प है। यह उचित है - महंगे हार्डवेयर के बारे में नहीं (यह स्पष्ट है कि एक मिलियन के लिए कुछ सिस्को एनजीएफडब्ल्यू ठीक कर रहा है), लेकिन उन समाधानों के बारे में जो अधिक किफायती हैं। मुझे लगता है कि नेटवर्क गेटवे के लोकालाका प्रशासक और संभावित उपयोगकर्ता इस बात पर चर्चा करने के लिए उत्सुक होंगे कि कौन आईडीएस के साथ काम करता है और क्या यह उच्च मूल्य पर खरीदने के लायक है, जब आप कर सकते हैं, एक टैबूरीन के साथ नृत्य करने के बाद, कम पैसे के लिए समान प्राप्त करें।

इस परीक्षण में, हम S100 मॉडल के बारे में बात कर रहे हैं - ट्रैफिक इंस्पेक्टर नेक्स्ट जनरेशन लाइन में सबसे सस्ती कीमत (संख्या का मतलब है कि यह 100 ग्राहकों के लिए डिज़ाइन किया गया है)। यहाँ उसका वर्णन आधिकारिक वेबसाइट >>> पर है । संक्षेप में, हार्डवेयर में, उदाहरण के लिए, एक नेटवर्क फ़िल्टर, एक वीपीएन, एक संसाधन अवरोधक और, ज़ाहिर है, आईडीएस।

मैं एक साधारण परीक्षण पद्धति का प्रस्ताव करता हूं - हम थ्रूपुट की जांच करते हैं, और 50, 100, 150 और 200 एमबी / एस के वेतन वृद्धि में यातायात की तीव्रता पर गिराए गए पैकेटों की संख्या की निर्भरता का निर्माण करते हैं। हम ऐसे अंतराल क्यों लेते हैं? हम 100 एमबी / एस से शुरू करते हैं - सबसे लोकप्रिय ग्राहक अनुरोध, और अधिक या कम लोड किए गए मोड में, साथ ही चरम मोड 200 एमबी / एस में क्या होता है, यह देखने के लिए प्लस और माइनस को बंद कर दिया।

जीवन का अनुभव मुझे बताता है कि सभी सक्रिय नियमों के साथ, S100 खींच नहीं सकता है, इसलिए मैं वर्णित प्रक्रिया को तीन मोड में करने का सुझाव देता हूं: पहले जब सभी नियम सक्रिय हों, तब नियमों के भाग के साथ (चलो इसे ग्रुप नंबर 1 कहते हैं), अंत में, केवल तभी जब यह सक्रिय हो। बस कुछ नियम (चलो इसे ग्रुप नंबर 2 कहते हैं)। हम निम्नलिखित नियम समूह बनाते हैं:

- ग्रुप नंबर 0: ठीक है, यह समझने योग्य है, बिना किसी अपवाद के सभी नियम।
- ग्रुप नंबर 1: इमर्जिंग थ्रेड्स रूल ग्रुप (मैं उभरते खेल नियमों के अपवाद के साथ आईडीएस स्नॉर्ट के परीक्षण के बाद से नियमों को जानता हूं)।
- ग्रुप नंबर 2: नियमों का एक समूह, जिसे मैं केवल आईडीएस (नीचे देखें) पर बाध्यकारी मानता हूं, जिसमें पी 2 पी नियम शामिल हैं, क्योंकि मेरे अपने अनुभव से मुझे पता है कि बड़ी कंपनियां नकारात्मक रूप से इस तथ्य से संबंधित हैं कि उनके कर्मचारी सक्रिय रूप से कॉर्पोरेट का उपयोग करते हैं अपने पसंदीदा टीवी शो डाउनलोड करने के लिए नेटवर्क।

परीक्षण tcpreplay उपयोगिता का उपयोग कर संभव है । यह उपयोगिता आपको एक विशिष्ट गति से पहले से रिकॉर्ड किए गए नेटवर्क ट्रैफ़िक को वापस चलाने की अनुमति देती है। कमांड: tcpreplay –i <इंटरफ़ेस> -l 0 testTI.pcap । फ़ाइल testTI.pcap में 1 146 313 पैकेट हैं (हम इतनी मात्रा चुनते हैं कि, एक तरफ, अच्छे आँकड़े हैं, दूसरी तरफ, "चलाने" का समय बहुत लंबा नहीं होगा, हमारे मामले में, 15 मिनट से अधिक नहीं)। इसके अलावा, जैसा कि मैंने कहा, हम एक टोरेंट ट्रैकर लॉन्च करते हैं।

परीक्षण बेंच लेआउट:



यदि किसी के पास परीक्षण पद्धति के बारे में प्रश्न हैं, तो मैं टिप्पणियों में उत्तर देने के लिए तैयार हूं।

तो, परिणाम।

समूह ०

एक पूर्ण सेट पर परीक्षण में सभी नियमों को लोड करना शामिल है, और उनमें से 30 305 हैं।

परीक्षण करते समय, हम डिफ़ॉल्ट आईडीएस सेटिंग्स का उपयोग करते हैं:



हम 100 एमबी / एस के साथ परीक्षण शुरू करते हैं और हम समझते हैं कि लोहे का टुकड़ा मुश्किल से खींच सकता है: 114 हजार पैकेटों में से 109 हजार को छोड़ दिया गया है! इसलिए 150 पर परीक्षण करने का कोई मतलब नहीं है और 200 एमबी / से अधिक पर भी। इसके विपरीत, मैं डिवाइस को एक मौका देने और 10 एमबी / एस पर एक अतिरिक्त परीक्षण करने का प्रस्ताव करता हूं। तालिका में परिणाम:



नोट:

कर्नेल_पैकेट - भेजे गए पैकेज;
कर्नेल_ड्रॉप्स - गिराए गए पैकेट। जैसा कि आप देख सकते हैं, डिफ़ॉल्ट सेटिंग्स के साथ और नियमों के एक पूरे सेट के साथ, बड़े पैकेट नुकसान होते हैं (> कर्नेल_पैक के सापेक्ष 30%)। चलो आशा करते हैं कि सेटिंग्स के लिए नियमों का अनुकूलन करने से स्थिति बदल जाएगी;
डिकोडर_पैकेट्स - सिस्टम द्वारा सही तरीके से संसाधित किए गए पैकेजों की संख्या;
detect_alerts - पाए गए हमलों की संख्या। हमलों का बड़ा हिस्सा खंडित पैकेज प्रकार का है, लेकिन टोरेंट ट्रैकर डिटेक्शन हमलों की पहचान भी की गई है।

समूह संख्या 1

जाहिर है, हार्डवेयर एक पूर्ण शक्तिशाली आईडीएस के रूप में काम करने के लिए अनुकूलित नहीं है, लेकिन पैंतरेबाज़ी के लिए जगह है, अर्थात्, मार्गों के लिए खोज तंत्र को बदलने की क्षमता, पैकेज सामग्री (पेलोड) के डाउनलोड को अक्षम करें, और नियमों और संकुल के विशिष्ट समूहों के समूहों को अक्षम करें। सेटिंग्स के साथ थोड़ा सा प्रयोग - और हम उस विकल्प पर आते हैं जो मैं निम्नलिखित आंकड़े में प्रस्तुत करता हूं।



सक्रिय नियमों की सूची जो हम छोड़ते हैं:



परीक्षा परिणाम:



जैसा कि आप देख सकते हैं, नियमों के इस समूह के साथ तस्वीर में काफी सुधार हुआ (गिरा पैकेट का प्रतिशत कई बार कम हुआ)। "एक धार ट्रैकर का पता लगाने" जैसे एक हमले का सफलतापूर्वक पता लगाया गया ("फ्रैगमेंटेड पैकेट" हमले अब दिखाई नहीं दिए)।

समूह संख्या 2

सेटिंग्स समान हैं। सक्रिय नियमों की सूची:



तालिका में परिणाम:


यहां पैकेजों के प्रसंस्करण की तस्वीर और भी बेहतर है, जो अपेक्षित है।

सारांश

अंतिम परिणाम तालिका, जिसे कर्नेल_पैकेट के सापेक्ष कर्नेल_ड्रॉप्स के प्रतिशत के रूप में व्यक्त किया गया है, नीचे दिखाया गया है:



रेखांकन, परिणाम निम्नानुसार है:



जैसा कि आप देख सकते हैं, सक्रिय नियमों और सेटिंग्स की संख्या सीधे दक्षता को प्रभावित करती है। एक ही समय में अधिकतम और सभी नियमों के लिए सेटिंग्स को चालू करने का कोई मतलब नहीं है - नुकसान तुरंत 10 एमबी / एस से भी बड़े पैमाने पर जाते हैं। अनुकूलित मोड में, हार्डवेयर का टुकड़ा 100 एमबी / एस तक सामान्य लगता है, लेकिन अधिक गहन यातायात पर नुकसान तेजी से बढ़ता है। हालाँकि, "कार्यालय" उपयोग के लिए, 100 एमबी / एस पर्याप्त है। यदि आप इस गति से डिवाइस चलाते हैं और नियमों का चयन करते हैं, तो आप काफी संतोषजनक आईडी प्राप्त कर सकते हैं।

शायद, नियमों के पूर्ण सेट का उपयोग करने के लिए, नेटवर्क इंटरफ़ेस बफर से उपयोगकर्ताओं को एक पैकेट स्थानांतरित करने के लिए एक तंत्र के रूप में pf_ring तंत्र (https://www.ntop.org/products/packet-capture/pf_ring/) का उपयोग करने के लिए सुधार की आवश्यकता है। ऐसा करने के लिए, आपको Suricata के कई उदाहरणों का उपयोग करने की आवश्यकता होगी, जो निश्चित रूप से, अन्य प्रक्रियाओं से संसाधन लेगा, लेकिन शायद खेल मोमबत्ती के लायक होगा।

मैं दोहराता हूं कि, मेरी राय में, परीक्षण किए गए डिवाइस का मुख्य उद्देश्य फ़ायरवॉल है, और आईडीएस विकल्प सहायक है। ईमानदारी से, मैं इस तथ्य के लिए तैयार था कि हार्डवेयर विफल हो जाएगा। यह पता चला कि सिस्टम प्रशासक की एक निश्चित गुट्टा धारणा के साथ, S100 में घुसपैठ का पता लगाने की प्रणाली पूरी तरह से चालू है।

पी एस जैसा कि मैंने ऊपर कहा, मैं पाठकों से आग्रह करता हूं कि वे अपेक्षाकृत सस्ते समाधानों में आईडीएस का उपयोग करने के अपने अनुभव के बारे में लिखें।

PPS टेस्ट निर्माता के खाते में पोस्ट किया जाता है, क्योंकि मैं खुद को "चमकाना" नहीं चाहता। फिर भी, मैं टिप्पणियों में सभी सवालों और बहस का जवाब देने के लिए तैयार हूं, लेकिन, फिर से, अपनी ओर से नहीं :)