Topologies et Outils d Alertesd

Transcription

1 Topologies et Outils d Alertesd IDS / IDP

2 DEFINITIONS IDS : SDI / Système de détection d intrusion IDP : SPI / Système de protection d intrusion

3 IDS / IDP Statfull matriciels

4 ACTIVITE IDP : Coupe circuit IDS : Couplé avec un Pare-feu

5 Fonctions Sniffage de trames Détection de mal formations Stockage de logs Détection d activités Gestion de règles Coupe circuit

6 OPTIONS Evaluation de charges Anti-virus SNMP

7 ARCHITECTURE

8 En parallèle

9 En «Série» Serveur Routeur IDP Commutateur Serveur Serveur

10 DISTRIBUTION Serveur Routeur Commutateur Serveur Machine SNORT Serveur Machine SNORT

11 TYPOLOGIES. Sniffages. Sondes. Agents mobiles

12 Sniffages Serveur Routeur Pare-feu Commutateur Serveur Machine SNORT Serveur

13 Sondes Serveur Routeur Pare-feu Commutateur Serveur Machine SNORT Serveur Machine SNORT

14 Sondes Comportementales Sonde service Serveur Routeur Pare-feu Commutateur Sonde service Serveur Sonde service Machine SNORT Serveur

15 Agents mobiles Agents «dormants» Serveur Routeur Pare-feu Commutateur Agents «dormants» Serveur Agents «dormants» Machine SNORT Service Agents Serveur

16 Gestion et Sécurité Mode Stealth Interface de sonde / Interface d admin Réseau dédié

17 Gestion et Sécurité

18 Topologie d un IDS : Snort

19 SNORT Linux & Windows Open source Sourcefire support Free Project Incorporé dans des produits payants (ISS, Snare, etc.. La Référence

20 SNORT Version payante (V3) Signatures sur abonnements Délais sur signatures gratuites

21 Winpcap Socket standard Langage de programmation (TCPDump)

22 Quatre Tiers Core Snort, rules Sql Server Web server Log viewer (Acid)

23 modes Sniffer Packet Logger NIDS

24 Composants Protocol Flow Analyzer Typage Client / Serveur Classification et subsets (typages protos) Analyse «en profondeur» Règles : définition et pré charge

25 Pré Processeurs Portscan Detector Stream4 Telnet Decode Perf Monitor Etc.

26 Subsets

27 Règles Kit téléchargés (1200) + spécialisées Langage

28 Syntaxe action proto src_ip src_port direction dst_ip dst_port (options) Ex : alert tcp any any -> /24 21 (content: "user root"; \ msg: "FTP root login";) Ex : alert tcp any any -> /24 21 (content: "USER root";\ msg: "FTP root login";)

29 Actions de base 1. alert - generate an alert using the selected alert method, and then log the packet 2. log - log the packet 3. pass - ignore the packet 4. activate - alert and then turn on another dynamic rule 5. dynamic - remain idle until activated by an activate rule, then act as a log rule

30 Priority Classifications

31 High Priority Classifications - Priority 1 Classtype attempted-admin attempted-user shellcode-detect successful-admin successful-user trojan-activity unsuccessful-user web-application-attack Description Attempted Administrator Privilege Gain Attempted User Privilege Gain Executable code was detected Successful Administrator Privilege Gain Successful User Privilege Gain A Network Trojan was detected Unsuccessful User Privilege Gain Web Application Attack

32 Medium Priority Classifications - Priority 2 Classtype Description attempted-dos Attempted Denial of Service attempted-recon Attempted Information Leak bad-unknown Potentially Bad Traffic denial-of-service Detection of a Denial of Service Attack misc-attack Misc Attack non-standard-protocol Detection of a non-standard protocol or event rpc-portmap-decode Decode of an RPC Query successful-dos Denial of Service successful-recon-largescale Large Scale Information Leak successful-recon-limited Information Leak suspicious-filename-detect A suspicious filename was detected suspicious-login An attempted login using a suspicious username was detected system-call-detect A system call was detected unusual-client-port-connection A client was using an unusual port web-application-activity access to a potentially vulnerable web application

33 Low Priority Classifications - Priority 3 Classification Description icmp-event Generic ICMP event misc-activity Misc activity network-scan Detection of a Network Scan not-suspicious Not Suspicious Traffic protocol-command-decode Generic Protocol Command Decode string-detect A suspicious string was detected unknown Unknown Traffic

34 IDS Panorama Générique

35 Topologie d un IDS : SNARE Serveur Intégré : Monitoring, IDS, Evaluateur (Nessus, NMAP), Supervision, configurateur. Serveur Payant Client open source

36 Topologie d un IDS : ISS Real secure Type Mixte Intégration Snort Agents Mobiles Coupe Circuit où Sniffer / Logger Testeur d intrusion Payant

37 IDP : Etrust Particularité : coupe circuit parallèle Coupure de session TCP Pare-feu «Miroir» Workspaces

38 IDP Honey pot Simulation de «victime / cible» Capture de tentatives d intrusion Identification de l attaquant Détournement d attention

39 Problèmes Langages Implémentations Vitesses Faux positif Gestion / Intégration

40 Les faux positifs Ramènent des «erreurs normales» du au fonctionnement du réseau Peuvent masquer des alertes véritables Trop denses Solution : Algorithmes d affinages des alertes Solution : maquettes et sniffages

41 Intégration Architectures Diffusion : IDSPoolman

42 Vitesses Flux des trames Support machine Chargement Logs Lecture Logs Remontés d alertes