Реализация IDS/IPS системы на Mikrotik + Suricata

• Повторение выступления на конференции MikroTik.  

• Обсуждение проактивной системы защиты и DSPs на основе Suricata.  

• Обзор бесплатного решения Suricata и его интеграции с RouterOS.  

• DSPs работают на высоком уровне, анализируя содержимое пакетов.  

• DSPs могут проверять пакеты на наличие негативного поведения.  

• Использование DSPs без Firewall неэффективно и ресурсоемко.  

• DSPs анализируют пакеты и принимают решения о действиях.  

• Обнаружение сетевых атак, повышение привилегий, неавторизованный доступ.  

• DSPs сигнализируют о проблемах, но не всегда могут действовать.  

• RouterOS имеет встроенные фильтры, но их недостаточно для DSPs.  

• Реализация DSPs через R7 Content Filter требует больших трудозатрат.  

• Высокая нагрузка на Firewall при использовании DSPs.  

• Suricata может быть подключена к RouterOS через port mirroring или TCP/IP.  

• Suricata отправляет команды на RouterOS для фильтрации подозрительных устройств.  

• Важно использовать белые списки и тестировать настройки.  

• Port mirroring ресурсоемко, но поддерживается большинством устройств.  

• На устройствах с x86 можно пожертвовать ресурсами для зеркалирования.  

• На RB 2011 зеркалирование возможно через свитч.  

• Suricata - бесплатное решение с открытым исходным кодом GPLv2.  

• Работает в многопоточном режиме и поддерживает ускорение на GPU.  

• Поддерживает IPv6 и множество протоколов без необходимости дополнительных доработок.  

• Suricata использует правила детектирования, созданные на основе сигнатур.  

• Работает под Linux, получает трафик на указанный интерфейс.  

• Конвертирует трафик в обычный формат и обрабатывает его по правилам.  

• После обработки трафика выполняются действия, такие как запись в лог и блокировка.  

• Возможность добавления правил в Firewall ядра Linux.  

• Запись в лог позволяет производить действия на основе детектированных событий.  

• Правила находятся в файле конфигурации и могут быть отредактированы в текстовом формате.  

• Правила включают действия, заголовки и переменные для создания счетчиков.  

• В дефолтном режиме много готовых правил, которые можно использовать.  

• Интеграция возможна через PHP скрипт или базу данных.  

• PHP скрипт позволяет добавлять IP-адреса нарушителей через API.  

• Для среднестатистической компании достаточно PHP скрипта.  

• Возможность приема трафика через port mirroring или этис себе.  

• Этис себе требует виртуального интерфейса и дополнительного ПО.  

• Использование этис себе протокола для отправки трафика на дополнительное ПО.  

• Использование screen для реализации.  

• Настройка порта через интерфейс ethernet switch.  

• Два варианта отправки трафика: sniffer и IP Firewall Mangle.  

• Настройка sniffer: лимит памяти, отправка трафика.  

• Использование IP Firewall Mangle для отправки трафика на Suricata.  

• Проблемы с падением sniffer и их решение с помощью скриптов.  

• Создание виртуального интерфейса и назначение IP-адреса.  

• Использование скрипта для создания интерфейса и настройки IP.  

• Проблемы с неполными пакетами и их решение.  

• Запуск TSP и использование скриптов для сохранения сессии.  

• Проблемы с TSP и использование собранного из исходников решения.  

• Отправка трафика в Suricata и использование скриптов для конвертации.  

• Использование готовых решений для интеграции продуктов.  

• Применение fast Mikrotik PHP для отправки IP-адресов в Mikrotik.  

• Преимущества использования готовых решений и их интеграция.  

• Интерфейс Suricata и его возможности.  

• Дашборды для аналитики трафика и правил.  

• Использование event viewer для анализа правил и пакетов.  

• Источники правил и их подключение.  

• Возможность добавления дополнительных репозиториев.  

• Анализ трафика и правил через VPN и локальные сети.  

• Возможность анализа трафика по типам и источникам.  

• Дополнительные дашборды для мониторинга нагрузки на сеть.  

• Решение позволяет собирать дополнительную статистику и решать вопросы безопасности.  

• Включение дополнительных источников данных.  

• Отображение событий в базе данных.  

• Возможность сортировки и фильтрации событий.  

• Обнаружение пропущенных вирусов и нецелевого использования ресурсов.  

• Блокировка торрентов, TeamViewer и сканеров портов.  

• Оптимизация firewall и блокировка часто срабатывающих правил.  

• Производительность системы при 100 Мбит/с трафика.  

• Рекомендации по настройке системы перед боевым режимом.  

• Важность тестирования и анализа логов перед запуском в боевом режиме.  

• Настройки интерфейса и скрипты для MikroTik.  

• Проверка правильности работы скриптов и интерфейсов.  

• Блокировка трафика и использование роутинга.  

• Отсутствие встроенной отчетности.  

• Возможность выгрузки данных из Kibana и использования запросов.  

• Система работает в режиме реального времени и блокирует определенные виды вложений.  

• Презентация доступна по адресу.  

• Анонс тренингов по защите сети с помощью MikroTik.  

• Вопросы о шифрованных сообщениях и требованиях к системе.  

• Не загружайте работу сразу, сначала проверьте, что заблокировано.  

• Объем логов может достигать 150 ГБ за два месяца при 100 МБит и 200 пользователях.  

• Используйте встроенный скрипт для очистки логов.  

• MikroTik пропускает весь трафик, но не фильтрует его.  

• Срабатывания идут через скрипт на MikroTik, что снижает нагрузку.  

• MikroTik выступает в роли коллектора и анализатора трафика.  

• Рекомендуется использовать два интерфейса: один для внешнего мира, другой для управления.  

• Если нет возможности, можно указать в настройках MikroTik, что определенный порт не детектируется.  

• Проблемы с голосовым Skype, но MikroTik может отправлять пакеты на управление по любому порту.  

• MikroTik x86 с 4 ядрами и 3 ГБ оперативной памяти.  

• Вебинар завершен, благодарность за внимание.  

• Приглашение на курсы, однодневные тренинги и мероприятия.