सिस्को राउटर पर हनीपोट को लागू करें

यह सिस्को राउटर पर बनाने के लिए मेरे साथ हुआ, जो कि केवल राउटर का उपयोग करते हुए, जाने-माने असफल 2ban पैकेज का कुछ अंश है।

यह इस तरह काम करता है। ट्रैप नियम बॉर्डर इंटरनेट राउटर के इंटरफेस से जुड़ी एक्सेस लिस्ट में बनाए गए हैं। जब कोई नियम ट्रिगर होता है, तो एक ईवेंट लॉग होता है। इस तरह की घटना की प्रत्येक पंक्ति में एक विशेष लेबल होता है जिससे इसे चुनना आसान हो जाता है। लॉग का विश्लेषण किया जाता है, और सभी आईपी पते जो जाल में आते हैं, उन्हें एक विशेष ऑब्जेक्ट समूह में दर्ज किया जाता है। इस समूह का उपयोग उसी पहुंच सूची में किया जा सकता है, जो हमारे नेटवर्क के सभी आईपी पते और बंदरगाहों पर हमलावरों की पहुंच पर प्रतिबंध लगाती है।

इस लेख को समझने के लिए, आपको यह जानना होगा कि एक्सेस लिस्ट क्या हैं और वे किस लिए हैं, और यह भी जानना है कि एक्सेस लिस्ट में ऑब्जेक्ट-ग्रुप का उपयोग कैसे करें।

पहुंच सूची जाल

उदाहरण के लिए, हम एक आने वाली एक्सेस सूची के लिए एक नियम लिखते हैं, जिसके तहत इंटरनेट गिरने से हमारे उपकरणों के टेलनेट पोर्ट में आने का सभी प्रयास करते हैं। कृपया ध्यान दें कि नियम के अंत में, एक अनूठा लेबल "हनीपोट्टि" चिपका हुआ है। फिर हम लॉग में इसके लिए खोज करेंगे।

ip access-list extended acl-WAN-In … deny tcp any any eq telnet log HONEYPOT001 … 

जाल के लिए सही मानदंड चुनना महत्वपूर्ण है।

पोर्ट 23 (टेलनेट) के माध्यम से बाहर से जुड़ने के प्रयास शायद सबसे आम हैं। इस स्थिति में, ऑब्जेक्ट समूह तुरंत पूरे इंटरनेट से बॉट के आईपी पते से भर जाएगा, और एक्सेस सूचियों के लिए आवंटित मेमोरी बस समाप्त हो जाएगी।

आप पोर्ट 22 (ssh) पर अपने उपकरणों से जुड़ने के प्रयास को पकड़ सकते हैं। वे टेलनेट से कम परिमाण का एक क्रम हैं। आप अपने किसी भी डिवाइस को एक्सेस करने के प्रयास पकड़ सकते हैं।

पोर्ट 7547 पर बड़ी संख्या में बॉट्स क्रॉल करते हैं, सीपीई वान प्रबंधन प्रोटोकॉल का उपयोग करके कनेक्ट करने की कोशिश कर रहे हैं।

एक और विकल्प पोर्ट 4786 पर सक्षम स्मार्ट इंस्टॉल क्लाइंट का उपयोग करने के प्रयासों को पकड़ना होगा।

आप एक आईपी पते का चयन करके पोर्ट 80 पर एक जाल भी सेट कर सकते हैं, जिस पर आपके पास वेब सर्वर नहीं है। यहां मुख्य बात यह है कि खोज इंजन रोबोट इसमें नहीं आते हैं।

यहां IP पते पर एक जाल का एक उदाहरण है [192.0.2.10]।

 ip access-list extended acl-WAN-In … deny tcp any host 192.0.2.10 eq www log HONEYPOT002 … 

लॉग विश्लेषण

राउटर पर लॉगिंग, ज़ाहिर है, पहले से चालू होना चाहिए, फिर ऐसा कुछ लॉग में हो जाता है:

 225435: Jan 11 08:57:13.838: %SEC-6-IPACCESSLOGP: list acl-WAN-In denied tcp 123.199.32.7(59472) -> 192.0.2.9(23), 1 packet [HONEYPOT001] 

हम देखते हैं कि बाहरी आईपी पते से हमारे आईपी पते के 23 वें पोर्ट [192.0.2.9] तक पहुँचने का प्रयास किया गया था [123.199.32.7]। लाइन में "HONEYPOT001" लेबल भी मौजूद है। वैसे, [123.199.32.7] एक वास्तविक हमलावर है जो एक लेख लिखते समय पकड़ा गया है।

लॉग को पार्स करने के लिए, हम एंबेडेड इवेंट मैनेजर (ईईएम), एक कार्य स्वचालन और सॉफ्टवेयर व्यवहार ट्यूनिंग टूल का उपयोग सिस्को आईओएस में करेंगे।

राउटर के कॉन्फ़िगरेशन मोड में, एक एप्लेट बनाएं जो लॉग का विश्लेषण करता है और जब लॉग लाइन में "HONEYPOT001" लेबल होता है, तो हमलावर के आईपी पते को काट देता है और इस पते को होस्ट्स ब्लैकलिस्ट ऑब्जेक्ट समूह में जोड़ता है।

 event manager applet honeypot event syslog occurs 1 pattern "HONEYPOT001" action 100 regexp "([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)" "$_syslog_msg" result IP_address action 200 if $_regexp_result eq "1" action 210 cli command "enable" action 220 cli command "conf t" action 230 cli command "object-group network hosts-BlackList" action 240 cli command "h $IP_address" action 250 cli command "end" action 260 syslog msg "IP address $IP_address added to blacklist" action 270 end action 300 cli command "exit" 

• जब अगली पंक्ति लॉग में "HONEYPOT001" लेबल के साथ मिलती है, तो एक घटना होती है;
• इवेंट हैंडलर में, पैटर्न के अनुसार लॉग लाइन से "([0-9] + \। [0-9] + \ _ [0-9] + \। [0-9] +)" हमलावर का आईपी पता कट और असाइन किया गया है। चर IP_address (कार्रवाई 100);
• यदि पता सफलतापूर्वक कट जाता है, और लाइन में पार्स करने के साथ कोई समस्या नहीं होती है (क्रिया 200), तो कंसोल कमांड निष्पादित होते हैं जो आईपी पते को ऑब्जेक्ट समूह में जोड़ते हैं (कार्रवाई 210 - 250);
• जाल के ट्रिगर के बारे में लॉग में एक प्रविष्टि बनाई गई है (कार्रवाई 260)।

पहुंच अवरुद्ध करना

पहली बात यह है कि हमारे नेटवर्क के सभी संसाधनों पर हमलावरों को पूरी तरह से ब्लॉक करने के लिए ऑब्जेक्ट समूह का उपयोग करना है।

अवरुद्ध नियम जाल के साथ नियम से ऊपर पहुंच सूची में होना चाहिए ताकि प्रतिबंधित आईपी पता बार-बार जाल में न जाए।

 ip access-list extended acl-WAN-In … deny ip object-group hosts-BlackList any … deny tcp any any eq telnet log HONEYPOT001 … 

आम माफ़ी

जल्दी या बाद में, ऑब्जेक्ट समूह सभी स्वीकार्य आकारों को पार कर जाएगा, इसलिए आपको पुराने आईपी पते को इससे साफ़ करके एक माफी बनाना होगा। ऐसा करने के लिए, हम एक एप्लेट लिखते हैं जो ऐसा करेगा, उदाहरण के लिए, रविवार को मध्यरात्रि में सप्ताह में एक बार।

लिखने के रास्ते में, हम दो नुकसान से मिलेंगे।

आप पहुँच सूची में उपयोग किए गए ऑब्जेक्ट समूह को हटा नहीं सकते। इसलिए, आपको पहले उस एक्सेस सूची की लाइन संख्या का पता लगाना होगा जिसमें समूह का उपयोग किया गया है। हमारे उदाहरण में, यह रेखा 60 है। हम इस संख्या का उपयोग एक्सेस सूची से समूह के साथ लाइन को हटाने के लिए करेंगे, और फिर इसे अपने पिछले स्थान पर लौटा देंगे।

आप एक खाली ऑब्जेक्ट समूह नहीं बना सकते। इसलिए, एक समूह बनाते समय, हम इसमें IP पता [255.255.255.255] जोड़ देंगे। यह पता स्थानीय नेटवर्क को अन्य नेटवर्क से जोड़ने वाले राउटर द्वारा कभी अग्रेषित नहीं किया जाता है, इसलिए हम इससे कनेक्शन की उम्मीद नहीं करते हैं।

 event manager applet DeleteBlackList event timer cron name timer-cron1 cron-entry "@weekly" action 100 cli command "enable" action 200 cli command "conf t" action 210 cli command "ip access-list ext acl-WAN-In" action 215 cli command "no 60" action 220 cli command "exit" action 225 cli command "no object-group net hosts-BlackList" action 230 cli command "object-group net hosts-BlackList " action 240 cli command "host 255.255.255.255" action 245 cli command "exit" action 250 cli command "ip access-list ext acl-WAN-In" action 255 cli command "60 deny ip object-group hosts-BlackList any" action 260 cli command "exit" action 265 cli command "end" action 300 syslog msg "Completed" action 400 cli command "exit" 

• एक्सेस सूची से ऑब्जेक्ट समूह के साथ नियम को हटा दें। (कार्रवाई 210 - 220);
• समूह को ही हटा दें (कार्रवाई 225);
• ऑब्जेक्ट समूह को फिर से बनाएँ, और उसमें प्रसारण आईपी पता डालें। (क्रिया 230 - 245);
• हम एक्सेस लिस्ट में पुराने स्थान पर नियम लौटाते हैं। (कार्रवाई 250 - 260)।

यदि एक्सेस सूची टैग समर्थित नहीं हैं तो क्या करें

कई IOS, इस तथ्य के बावजूद कि "Syslog Correlation ACL" फ़ंक्शन उनमें घोषित किया गया है, एक्सेस सूची स्ट्रिंग्स को टैग करने की अनुमति नहीं देते हैं।

इस स्थिति में, आप तथाकथित उत्पन्न हैश मूल्यों का उपयोग कर सकते हैं। (डिवाइस-जनरेट हैश मान) जो लॉग संदेश लाइनों में जोड़ा जाएगा।

यदि IOS- दोनों विकल्पों का समर्थन नहीं करता है, तो आपको विश्लेषण को थोड़ा जटिल करना होगा।
हम पहुंच सूची में एक जाल के साथ नियम को संशोधित करते हैं। "लॉग" के बजाय हम "लॉग-इनपुट" का उपयोग करेंगे।

 ip access-list extended acl-WAN-In … deny tcp any any eq telnet log-input … 

इस मामले में, भौतिक इंटरफ़ेस के नाम के बारे में जानकारी और, संभवतः, पड़ोसी राउटर के मैक पते के बारे में जो पैकेट को अग्रेषित करेगा, लॉग को प्राप्त करेगा।
उदाहरण के लिए, निम्न संदेश लॉग में जाता है:

 Jan 11 00:20:23 172.25.100.43 2394768: Jan 10 20:20:22.808: %FMANFP-6-IPACCESSLOGP: SIP1: fman_fp_image: list acl-WAN-In denied tcp 123.199.32.7(7537) Port-channel1.88-> 192.0.2.9(23), 1 packet 

तब ईवेंट को सक्रिय करने का नियम निम्नलिखित रूप लेता है:

 event syslog occurs 1 pattern "Port-channel1\.88-> 192\.0\.2\." 

क्या पढ़ना है?

लॉग को संदेश उत्पन्न करने वाले नियमों की अस्पष्ट पहचान के बारे में:
ACL Syslog सहसंबंध

एंबेडेड इवेंट मैनेजर के बारे में:
एंबेडेड इवेंट मैनेजर कॉन्फ़िगरेशन गाइड