Aqui está uma quebra das principais etapas de configuração para configurar um sensor de IDs de rede de snort para monitorar uma sub-rede, juntamente com considerações essenciais para gerenciá-lo por meio de um console baseado na Web:
1. Hardware e configuração de rede: *
Snort Sensor Hardware: * Escolha uma plataforma de hardware dedicada ou máquina virtual com potência e memória de processamento suficientes para Snort.
* Verifique se o sensor possui interfaces de rede capazes de monitorar o tráfego de sub -rede.
*
Conectividade de rede: * O sensor de bufo deve ser colocado estrategicamente dentro da rede para ver o tráfego que você deseja monitorar.
* Considere uma "porta de span" em um interruptor para refletir o tráfego para o sensor sem interromper o fluxo de rede principal.
* Se você possui uma rede de "gerenciamento" dedicada, verifique se o sensor tem acesso a ele para configuração e atualizações.
2. Instalação e configuração do bufo: *
Instalação de bufo: * Faça o download e instale o pacote Snort IDS (geralmente no site do Snort.org) para o seu sistema operacional.
* Escolha a versão apropriada para suas necessidades.
*
Configuração: *
Configuração da interface: Defina a interface de rede na qual o Snort ouvirá o tráfego.
*
Opções de pré -processamento: Decida como o Snort deve pré-processar pacotes de entrada (por exemplo, para pedidos de bytes, verificação do número de sequência TCP).
*
Conjuntos de regra: Escolha os conjuntos de regras apropriados para o seu ambiente.
*
Regras pré-embaladas de Snort: O Snort vem com conjuntos de regras como "Comunidade" (um conjunto de fins gerais) e "emergente" (para ameaças mais recentes).
*
Regras personalizadas: Você pode criar suas próprias regras para detectar vulnerabilidades específicas ou padrões de comportamento de rede.
*
Métodos de saída: Configure como os relatórios do Snort estão alertas, como:
*
Console: Exibindo alertas no console do sensor.
*
log: Escrevendo alertas em um arquivo.
*
Sistemas de alerta: Integração com ferramentas externas, como servidores de email, servidores syslog ou SIEMs.
3. Interface de console baseada na Web (gerenciamento) *
Snort Web Interface (Opcional): *
interface embutida do Snort: Algumas versões do Snort incluem uma interface da Web básica.
*
Ferramentas de terceiros: Muitas ferramentas de gerenciamento de código aberto e de código aberto fornecem integração do Snort:
*
código aberto: *
cebola de segurança: Uma distribuição de segurança completa com Snort, Suricata e outras ferramentas de segurança.
*
elsa (Elasticsearch, Logstash, Snort e Alerting): Usa o Elasticsearch e o Logstash para uma coleta e análise de eventos eficientes.
*
Comercial: *
alienvault ossim: Oferece uma plataforma de segurança unificada com IDs, SIEM e outras ferramentas de segurança.
*
ibm qradar: Um sistema abrangente de gerenciamento de SIEM e ameaças.
4. Gerenciamento de regras e ajuste *
Atualizações de regra: Mantenha os conjuntos de regras do Snort atualizados.
*
ajuste de regra: *
falsos positivos: Reduza os falsos positivos (alertas que não são ameaças reais) ajustando as regras ou adicionando contexto a eles.
*
falsos negativos: Minimize falsos negativos (faltando ameaças reais), garantindo que você tenha os conjuntos de regras apropriados.
*
Análise de alerta: Investigue alertas para determinar sua gravidade e impacto potencial em sua rede.
5. Monitoramento e relatório *
Análise de log: Analise os registros do bufo regularmente para identificar tendências, padrões e ameaças em potencial.
* Painels
: Visualize dados do SNORT usando painéis para monitorar a saúde da rede e os possíveis incidentes de segurança.
Exemplo de configuração: *
Arquivo de configuração do Snort (Snort.conf): `` `
# Interface para monitorar
# Isso pressupõe que você tenha um interruptor com uma porta de span configurada
# e o sensor de bufo está conectado a essa porta de span
Interface de entrada 0 Eth1
# Opções de pré -processamento (pode ser necessário ajustá -las)
Motor pré -processador PPS
Ordem de byte do motor pré-processador
Fragmento do motor pré -processador
# Conjuntos de regras
# Use conjuntos apropriados para o seu ambiente
RULEPATH/ETC/SNORT/REGRAS
# Conjuntos de regras padrão incluídas no snort
var regra_path/etc/snort/regras
Inclua $ regra_path/Community.Rules
Inclua $ regra_path/emerging.Rules
# Configuração de saída
Syslog de saída de log
`` `
Considerações importantes: *
Desempenho de rede: Verifique se o sensor não afeta negativamente o desempenho da sua rede, configurando corretamente sua capacidade de processamento.
*
falsos positivos: Espere um certo número de falsos positivos e tenha um plano para reduzi -los.
*
Manuseio de alerta: Tenha um processo definido para lidar e investigar alertas.
*
Segurança do sensor: Prenda o próprio sensor de bufo contra ataques (por exemplo, use senhas fortes, mantenha-o atualizado e use firewalls).
Lembre -se: Esta é uma visão geral de alto nível. As etapas e opções específicas de configuração que você faz dependerão do ambiente de rede, das necessidades de segurança e da versão do Snort que você está usando. É crucial pesquisar e testar sua configuração minuciosamente antes de implantar o Snort em um ambiente de produção.
