Présentation de l I D P S Suricata



Documents pareils
O.S.S.I.R. rdv du 11 mai 2010

pare - feu généralités et iptables

Topologies et Outils d Alertesd

Haka : un langage orienté réseaux et sécurité

FILTRAGE de PAQUETS NetFilter

Réseaux. Moyens de sécurisation. Plan. Evolutions topologiques des réseaux locaux

Les IDS et IPS Open Source. Alexandre MARTIN Jonathan BRIFFAUT

Retour d expérience sur Prelude

Firewall IDS Architecture. Assurer le contrôle des connexions au. Sécurité 1

TP4 : Firewall IPTABLES

laposte.net) Ministère de l'éducation nationale Atelier sécurité Rabat RALL 2007

Sécurité des réseaux Firewalls

Licence 3 Systèmes et Réseaux II. Chapitre V : Filtrage

Filtrage IP MacOS X, Windows NT/2000/XP et Unix

Firewall et NAC OpenSource

Master 1 ère année. UE Réseaux Avancés I. Corrections décembre Durée : 2h Documents autorisés

NuFW Howto. Eric Leblond Vincent Deffontaines Jean Baptiste Favre

2. MAQUETTAGE DES SOLUTIONS CONSTRUCTIVES. 2.2 Architecture fonctionnelle d un système communicant.

Attaque contre les systèmes de suivi de connexions

Cours de sécurité. Pare-feux ( Firewalls ) Gérard Florin -CNAM - - Laboratoire CEDRIC -

Les formations. Administrateur Systèmes et Réseaux. ENI Ecole Informatique

Netfilter & Iptables. Théorie Firewall. Autoriser le trafic entrant d'une connexion déjà établie. Permettre le trafic entrant sur un port spécifique

Virtual Private Network WAFA GHARBI (RT4) CYRINE MAATOUG (RT4) BOCHRA DARGHOUTH (RT4) SALAH KHEMIRI (RT4) MARWA CHAIEB (RT3) WIEM BADREDDINE (RT3)

EPREUVE PRATIQUE DES TECHNIQUES INFORMATIQUES ACTIVITE N 1. Thème de l activité : Configuration d un firewall

Sécurité d IPv6. Sécurité d IPv6. Stéphane Bortzmeyer AFNIC bortzmeyer@nic.fr. Stéphane Bortzmeyer AFNIC bortzmeyer@nic.fr

Devoir Surveillé de Sécurité des Réseaux

Université Pierre Mendès France U.F.R. Sciences de l Homme et de la Société Master IC²A. TP réseau firewall

Sécuriser les applications web de l entreprise

Spécialiste Systèmes et Réseaux

Conférence Starinux Introduction à IPTABLES

IPS : Corrélation de vulnérabilités et Prévention des menaces

Projet Système & Réseau

Les firewalls libres : netfilter, IP Filter et Packet Filter

Tour d horizon des différents SSO disponibles

DenyAll Detect. Documentation technique 27/07/2015

Le filtrage de niveau IP

Fonctionnement de Iptables. Exercices sécurité. Exercice 1

Polux Développement d'une maquette pour implémenter des tests de sécurité

avec Netfilter et GNU/Linux

TP Linux : Firewall. Conditions de réalisation : travail en binôme. Fonctionnement du parefeu Netfilter. I Qu est ce qu'un firewall?

But de cette présentation. Proxy filtrant avec Squid et SquidGuard. Serveur proxy. Serveur proxy. Hainaut P

Gérer ses environnements de développement avec Vagrant RMLL 2012

SECURIDAY 2013 Cyber War

Procédure d utilisation et de paramétrage (filtrage) avec IPFIRE

ZABBIX est distribué sous licence GNU General Public License Version 2 (GPL v.2).

Projet de Sécurité Groupe Audit

PACK SKeeper Multi = 1 SKeeper et des SKubes

Etude de la pertinence et de l'intérêt des appliances WAF (IPS web) à l'inria

Architecture système sécurisée de sonde IDS réseau

Formations. «Produits & Applications»

Laboratoire de Haute Sécurité. Télescope réseau et sécurité des réseaux

Supervision système et réseau avec Zabbix. Anne Facq Centre de Recherche Paul Pascal 17 avril 2008

Introduction. Adresses

SQUID Configuration et administration d un proxy

Sécurité GNU/Linux. Iptables : passerelle

Proxy et reverse proxy. Serveurs mandataires et relais inverses

Mise en place d une info-structure étendue et sécurisée à base de logiciels libres

Surveillance stratégique des programmes malveillants avec Nessus, PVS et LCE

Contrôle de l Activité et Gestion des Menaces dans un environnement Réseau Distribué. INTERDATA Présentation Q1Labs

Formation Iptables : Correction TP

Linux Firewalling - IPTABLES

Sécurité et Firewall

Création d un boîtier UTM: Unified Threat Management. Frédéric BORDI, Mohamed DJOUDI, Cédric LESEC, Guillaume ROUVIERE

Architectures sécurisées

Ubuntu Linux Création, configuration et gestion d'un réseau local d'entreprise (3ième édition)

Sécuriser son réseau. Sécuriser son réseau Philippe Weill (IPSL/LATMOS) Frédéric Bongat (SSI/GOUV/FR)

LINUX - Sécurité. Déroulé de l'action. - 3 jours - Contenu de formation

SECURIDAY 2012 Pro Edition

Scénarios d Attaques et Détection d Intrusions

Un serveur web léger et ouvert

Surveillance et corrélation de flux réseaux via sondes applicatives embarquées

Linux sécurité des réseaux

ATELIER NETFILTER : LE FIREWALL LINUX EN ACTION

Plan. Programmation Internet Cours 3. Organismes de standardisation

Outils d'analyse de la sécurité des réseaux. HADJALI Anis VESA Vlad

Réalisation d un portail captif d accès authentifié à Internet

Maarch Framework 3 - Maarch. Tests de charge. Professional Services. 11, bd du Sud Est Nanterre

TP 3 Réseaux : Subnetting IP et Firewall

NetCrunch 6. Superviser

Le serveur web Apache

Routage AODV. Languignon - Mathe - Palancher - Pierdet - Robache. 20 décembre Une implémentation de la RFC3561

Détection d'intrusions et analyse forensique

Ingénieurs 2000 Informatique et Réseaux 3ème année. Les Firewalls. Masquelier Mottier Pronzato 1/23 Nouvelles Technologies Réseaux

Présentation du relais HTTP Open Source Vulture. Arnaud Desmons Jérémie Jourdin

Présentation du Serveur SME 6000

Alexandre Buge Epitech 5 Promo Soutenance de stage du 01/03/2004 au 31/08/2004

Capture, Filtrage et Analyse de trames ETHERNET avec le logiciel Wireshark. Etape 1 : Lancement des machines virtuelles VMWARE et de Wireshark

Administration Réseaux

Nmap (Network Mapper) Outil d exploration réseau et scanneur de ports/sécurité

Tunnels et VPN. 22/01/2009 Formation Permanente Paris6 86

Programme formation pfsense Mars 2011 Cript Bretagne

Groupe Eyrolles, 2004, ISBN :

Projet Sécurité des SI

Automatisation de l administration système avec

Dr.Web Les Fonctionnalités

L installation du module Webmail nécessite également quelques prérequis, à savoir :

ETHEREAL. Introduction. 1. Qu'est-ce qu'ethereal Historique Le statut d'ethereal

TP SECU NAT ARS IRT ( CORRECTION )

Transcription:

Présentation de l I D P S Suricata Éric Leblond OISF 11 mai 2011 Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 1 / 35

1 Introduction Introduction Objectifs du projet Ecosystème 2 Fonctionnalités Liste des fonctionnalités Signatures Stream inline CUDA 3 Fonctions avancées de suricata libhtp Variables de flux Fonctions avancées du mode IPS 4 Le futur Fonctionnalités planifiées Plus d informations Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 2 / 35

Suricata? (C) Jean-Marie Hullot, CC BY 3.0 Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 3 / 35

Suricata? (C) Jean-Marie Hullot, CC BY 3.0 Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 3 / 35

Introduction Éric Leblond Initiateur du projet NuFW Contributeur Netfilter notamment sur ulogd2 Core développeur Suricata (IPS, optimisation multicore,... ) Consultant indépendant Open Source et Sécurité... Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 4 / 35

À propos de l OISF Open Information Security Foundation http://www.openinfosecfoundation.org Fondation à but non lucratif dont le but est de construire un moteur IDS/IPS de nouvelle génération Soutenue financièrement par le gouvernement américain (DHS, Navy) Développement d un IDS/IPS Open Source : Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 5 / 35

À propos de l OISF Open Information Security Foundation http://www.openinfosecfoundation.org Fondation à but non lucratif dont le but est de construire un moteur IDS/IPS de nouvelle génération Soutenue financièrement par le gouvernement américain (DHS, Navy) Développement d un IDS/IPS Open Source : Financement des développeurs Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 5 / 35

À propos de l OISF Open Information Security Foundation http://www.openinfosecfoundation.org Fondation à but non lucratif dont le but est de construire un moteur IDS/IPS de nouvelle génération Soutenue financièrement par le gouvernement américain (DHS, Navy) Développement d un IDS/IPS Open Source : Financement des développeurs Board chargé de définir les orientations Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 5 / 35

À propos de l OISF Membres du consortium Programme HOST : Homeland Open Security Technology Niveau or : Npulse, Endace Niveau bronze : EdenWall, Nitro Security, Mara systems,... Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 6 / 35

À propos de l OISF Membres du consortium Programme HOST : Homeland Open Security Technology Niveau or : Npulse, Endace Niveau bronze : EdenWall, Nitro Security, Mara systems,... Partenaire technologique : Napatech, Nvidia Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 6 / 35

À propos de l OISF Membres du consortium Programme HOST : Homeland Open Security Technology Niveau or : Npulse, Endace Niveau bronze : EdenWall, Nitro Security, Mara systems,... Partenaire technologique : Napatech, Nvidia Développeurs Leader : Victor Julien Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 6 / 35

À propos de l OISF Membres du consortium Programme HOST : Homeland Open Security Technology Niveau or : Npulse, Endace Niveau bronze : EdenWall, Nitro Security, Mara systems,... Partenaire technologique : Napatech, Nvidia Développeurs Leader : Victor Julien Développeurs : Anoop Saldanha, Gurvinder Singh, Pablo Rincon, William Metcalf, Eric Leblond,... Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 6 / 35

À propos de l OISF Membres du consortium Programme HOST : Homeland Open Security Technology Niveau or : Npulse, Endace Niveau bronze : EdenWall, Nitro Security, Mara systems,... Partenaire technologique : Napatech, Nvidia Développeurs Leader : Victor Julien Développeurs : Anoop Saldanha, Gurvinder Singh, Pablo Rincon, William Metcalf, Eric Leblond,... Board Matt Jonkmann Richard Bejtlich, Dr. Jose Nazario, Joel Ebrahimi, Marc Norton, Stuart Wilson... Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 6 / 35

Buts Apporter de nouvelles technologies aux IDS Performance Multi-threadé Accélération matérielle http://packetchaser.org/index.php/opensource/ suricata-10gbps Open source Support de Linux / *BSD / Mac OSX / Windows Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 7 / 35

Projets similaires Bro Snort Positionnement différent (orientation capture) Études statistiques Fonctionnellement équivalent Compatibilité Concurrence frontale Sourcefire se sent menacé et est agressif http://www.informationweek.com/news/software/ enterprise_apps/226400079 Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 8 / 35

Volume de code Suricata Snort Source : ohloh.net Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 9 / 35

Suricata vs Snort Suricata Soutenu par une fondation Multi-threadé IPS natif Fonctions avancées (flowint, libhtp) Support de PF_RING Code moderne et modulaire Jeune mais dynamique Snort Développé par Sourcefire Multi-process IPS supporté Jeu de règles SO (logique avancée + perf mais fermé) Pas d accélération matérielle Code vieillissant 10 ans d expérience Étude intéressante : http://www.aldeid.com/index.php/suricata-vs-snort Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 10 / 35

1 Introduction Introduction Objectifs du projet Ecosystème 2 Fonctionnalités Liste des fonctionnalités Signatures Stream inline CUDA 3 Fonctions avancées de suricata libhtp Variables de flux Fonctions avancées du mode IPS 4 Le futur Fonctionnalités planifiées Plus d informations Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 11 / 35

Fonctionnalités Support Ipv6 natif Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 12 / 35

Fonctionnalités Support Ipv6 natif Multi-threadée Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 12 / 35

Fonctionnalités Support Ipv6 natif Multi-threadée Accélération matérielle native (Accélération par GPU, PF_RING) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 12 / 35

Fonctionnalités Support Ipv6 natif Multi-threadée Accélération matérielle native (Accélération par GPU, PF_RING) De nombreuses options pour optimiser les performances Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 12 / 35

Fonctionnalités Support Ipv6 natif Multi-threadée Accélération matérielle native (Accélération par GPU, PF_RING) De nombreuses options pour optimiser les performances Support optimisé des tests sur IP seules Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 12 / 35

Fonctionnalités Support Ipv6 natif Multi-threadée Accélération matérielle native (Accélération par GPU, PF_RING) De nombreuses options pour optimiser les performances Support optimisé des tests sur IP seules IPS (mode inline) natif Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 12 / 35

Architecture globale Enchainement des modules de traitements Chaque running mode peut avoir sa propre architecture Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 13 / 35

Architecture globale Enchainement des modules de traitements Chaque running mode peut avoir sa propre architecture Architecture du mode pcap auto v1 : Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 13 / 35

Architecture globale Enchainement des modules de traitements Chaque running mode peut avoir sa propre architecture Architecture du mode pcap auto v1 : Paramétrage fin des préférences CPU Affectation d un thread à un CPU D une famille de threads à un ensemble de CPU Permet la prise en compte des IRQs Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 13 / 35

Modules d entrées IDS PCAP live, multi interface hors ligne PF_RING http://www.ntop.org/pf_ring.html Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 14 / 35

Modules d entrées IDS IPS PCAP live, multi interface hors ligne PF_RING http://www.ntop.org/pf_ring.html NFQueue : Linux : multi-queue Windows ipfw : FreeBSD NetBSD Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 14 / 35

Modules de sortie Fastlog Unified log (Barnyard 1 & 2) HTTP log (log dans un format de type apache) Prelude (IDMEF) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 15 / 35

Signatures Support de presque toutes les signatures de snort Support de fonctionnalités exclusives utilisées par les rulesets comme VRT ou Emerging Threats alert tcp any any -> 192.168.1.0/24 21 (content : "USER root" ; msg : "FTP root login" ;) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 16 / 35

Signatures Support de presque toutes les signatures de snort Support de fonctionnalités exclusives utilisées par les rulesets comme VRT ou Emerging Threats alert tcp any any -> 192.168.1.0/24 21 (content : "USER root" ; msg : "FTP root login" ;) Action : alert / drop / pass Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 16 / 35

Signatures Support de presque toutes les signatures de snort Support de fonctionnalités exclusives utilisées par les rulesets comme VRT ou Emerging Threats alert tcp any any -> 192.168.1.0/24 21 (content : "USER root" ; msg : "FTP root login" ;) Paramètres IP Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 16 / 35

Signatures Support de presque toutes les signatures de snort Support de fonctionnalités exclusives utilisées par les rulesets comme VRT ou Emerging Threats alert tcp any any -> 192.168.1.0/24 21 (content : "USER root" ; msg : "FTP root login" ;) Motif Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 16 / 35

Signatures Support de presque toutes les signatures de snort Support de fonctionnalités exclusives utilisées par les rulesets comme VRT ou Emerging Threats alert tcp any any -> 192.168.1.0/24 21 (content : "USER root" ; msg : "FTP root login" ;) Autres paramètres Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 16 / 35

Stream inline L analyse au niveau applicatif travaille sur un flux de données Les données envoyés dans une session TCP peuvent être désordonnées Perte de paquets Réemission de paquets Paquets arrivant dans le désordre l IP D S doit donc reconstruire les flux TCP avant de les livrer à l analyse applicative Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 17 / 35

Problématique Prise en compte des différences entre IDS et IPS L IDS doit être au plus proche de ce qui est reçu par la cible Analyse des paquets quand leur réception est établie La réception d un ACK déclenche l analyse des données l IPS doit bloquer les paquets avant qu ils atteignent leur cible La technique de l IDS bloquerait les paquets après passage Il faut donc envisager une autre solution Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 18 / 35

IPS comme point de contrôle l IPS agit comme un point de bloquage Il est donc représentatif de ce qui traverse Il peut donc reconstruire les flux avant de les envoyer Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 19 / 35

IPS comme point de contrôle l IPS agit comme un point de bloquage Il est donc représentatif de ce qui traverse Il peut donc reconstruire les flux avant de les envoyer Solution retenue Reconstruction des segments de données à la réception Passage de données reconstruites à la couche applicative Décision prise sur la donnée Réécriture des paquets si nécessaire Transmission Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 19 / 35

IPS comme point de contrôle l IPS agit comme un point de bloquage Il est donc représentatif de ce qui traverse Il peut donc reconstruire les flux avant de les envoyer Solution retenue Reconstruction des segments de données à la réception Passage de données reconstruites à la couche applicative Décision prise sur la donnée Réécriture des paquets si nécessaire Transmission Détails : http://www.inliniac.net/blog/2011/01/31/ suricata-ips-improvements.html Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 19 / 35

CUDA Utilisation de CUDA (architecture de calcul parrallèle dévéloppée par NVIDIA) Actuellement : implémentation d un algorithme de matching en CUDA Travail en cours, Nvidia est partenaire technologique de l OISF Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 20 / 35

CUDA Utilisation de CUDA (architecture de calcul parrallèle dévéloppée par NVIDIA) Actuellement : implémentation d un algorithme de matching en CUDA Travail en cours, Nvidia est partenaire technologique de l OISF Difficulté d utiliser le pipeline du GPU de manière efficace Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 20 / 35

CUDA Utilisation de CUDA (architecture de calcul parrallèle dévéloppée par NVIDIA) Actuellement : implémentation d un algorithme de matching en CUDA Travail en cours, Nvidia est partenaire technologique de l OISF Difficulté d utiliser le pipeline du GPU de manière efficace... Performance similaire avec ou sans (avec des CPUs décents) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 20 / 35

1 Introduction Introduction Objectifs du projet Ecosystème 2 Fonctionnalités Liste des fonctionnalités Signatures Stream inline CUDA 3 Fonctions avancées de suricata libhtp Variables de flux Fonctions avancées du mode IPS 4 Le futur Fonctionnalités planifiées Plus d informations Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 21 / 35

libhtp Parseur orienté sécurité du protocole HTTP Écrit par Ivan Ristić (ModSecurity, IronBee) Suivi des flux Support des mots clés http_body http_raw_uri http_header http_cookie... Capable de décoder des flux compressés par Gzip Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 22 / 35

Utilisation de HTTP dans les règles Exemple de règles : Chat facebook alert http $HOME_NET any > $EXTERNAL_NET $HTTP_PORTS \ ( msg: "ET CHAT Facebook Chat ( send message ) " ; \ flow : established, to_server ; content : "POST" ; http_method ; \ content : " / ajax / chat / send. php " ; h t t p _ u r i ; content : " facebook. com" ; http_header ; \ classtype : p o l i c y v i o l a t i o n ; reference : u r l, doc. emergingthreats. net /2010784; \ reference : url,www. emergingthreats. net / cgi bin / cvsweb. cgi / sigs / POLICY / POLICY_Facebook_Chat ; \ sid :2010784; rev : 4 ; \ ) Cette signature teste donc : La méthode HTTP : POST La page : /ajax/chat/send.php Le domaine : facebook.com Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 23 / 35

Variables de flux Objectifs Détection des attaques en étapes Vérification de conditions sur un flux Modification du traitement sur l alerte Machine à état au sein du flux Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 24 / 35

Variables de flux Objectifs Détection des attaques en étapes Vérification de conditions sur un flux Modification du traitement sur l alerte Machine à état au sein du flux Flowbits Condition booléenne Positionnement d un drapeau Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 24 / 35

Variables de flux Objectifs Détection des attaques en étapes Vérification de conditions sur un flux Modification du traitement sur l alerte Machine à état au sein du flux Flowbits Condition booléenne Positionnement d un drapeau Flowint Définition de compteur Opération arithmétique Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 24 / 35

Variables de type Flowint Permet la capture, le stockage et la comparaison de données dans une variable Stockage et opérations mathématiques Variable lié à un flux donné Ex : montre une alerte si et seulement si usernamecount est plus grand que 5 : alert tcp any any > any any (msg: " Counting Usernames " ; content : " jonkman " ; \ flowint : usernamecount, +, 1; flowint : usernamecount, >, 5 ; ) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 25 / 35

Variables de type FLowint (2) Ex : Suivi des logins Mise en place d un compteur des échecs de login : a l e r t tcp any any > any any (msg: " S t a r t a l o g i n count " ; content : " l o g i n f a i l e d " ; \ flowint : l o g i n f a i l, n o t s e t ; flowint : l o g i n f a i l, =, 1; flowint : n o a l e r t ; ) a l e r t tcp any any > any any (msg: " Counting Logins " ; content : " l o g i n f a i l e d " ; \ flowint : l o g i n f a i l, isset ; flowint : l o g i n f a i l, +, 1; flowint : n o a l e r t ; ) Alerte si il y a un login réussi après 5 échecs : a l e r t tcp any any > any any (msg: " Login success a f t e r f i l e f a i l u r e s " ; \ content : " login successful " ; \ flowint : loginfailed, isset ; flowint : loginfailed, =, 5 ; ) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 26 / 35

Suricata en mode IPS Utilisation IPS sous Linux Utilisation de NFQUEUE pour déléguer la décision en espace utilisateur Tous les paquets d une connexion doivent être vue par Suricata Technique sauvage : iptables -A FORWARD -j NFQUEUE Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 27 / 35

Suricata en mode IPS Utilisation IPS sous Linux Utilisation de NFQUEUE pour déléguer la décision en espace utilisateur Tous les paquets d une connexion doivent être vue par Suricata Technique sauvage : iptables -A FORWARD -j NFQUEUE Intéractions avec le pare-feu NFQUEUE est une règle terminale Une décision ACCEPT courtcircuite le jeu de règle C est la seule possible ormis DROP La méthode décrite est donc incompatible avec l existence d un jeu de règles Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 27 / 35

Cohabitation de l IPS avec le pare-feu Solution classique Utilisation de PREROUTING La règle est dans une table isolée Elle n a donc pas d intéraction avec le reste des règles Détails : http://home.regit.org/2011/01/building-a-suricata-compliant-ruleset/ Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 28 / 35

Cohabitation de l IPS avec le pare-feu Solution classique Utilisation de PREROUTING La règle est dans une table isolée Elle n a donc pas d intéraction avec le reste des règles Solution alternative Utilisation des fonctionnalités avancées de NFQUEUE Simulation de décision non terminale ( c Patrick Mchardy) Détails : http://home.regit.org/2011/01/building-a-suricata-compliant-ruleset/ Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 28 / 35

Décision alternative et marquage des paquets Décision alternative NF_REPEAT : décision non terminale NF_QUEUE : chainage des logiciels utilisant NFQUEUE (IPS?) Détails : http://home.regit.org/2011/04/some-new-features-of-ips-mode-in-suricata-1-1beta2/ Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 29 / 35

Décision alternative et marquage des paquets Décision alternative NF_REPEAT : décision non terminale NF_QUEUE : chainage des logiciels utilisant NFQUEUE (IPS?) nfq_set_mark Nouveau mot clé pour les signatures Dépôt d une marque Netfilter sur le paquet Utilisation possible dans toutes les couches réseaux (QoS, routage, Netfilter) Détails : http://home.regit.org/2011/04/some-new-features-of-ips-mode-in-suricata-1-1beta2/ Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 29 / 35

Journalisation d une connexion suspecte (1/2) Objectif Détection d un comportement suspecte Augmentation de la journalisation de la connexion Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 30 / 35

Journalisation d une connexion suspecte (1/2) Objectif Détection d un comportement suspecte Augmentation de la journalisation de la connexion Méthode L alerte pose une marque Netfilter sur le paquet Netfilter propage la marque sur tous les paquets de la connexion Netfilter journalise tous les paquets marqués Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 30 / 35

Journalisation d une connexion suspecte (2/2) Alerte adaptée dans Suricata pass tcp any any > any any (msg: "We were expecting you " ; content : "Mr Bond " ; \ nfq_set_mark :0 x007 /0 x f f f ; ) Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 31 / 35

Journalisation d une connexion suspecte (2/2) Alerte adaptée dans Suricata pass tcp any any > any any (msg: "We were expecting you " ; content : "Mr Bond " ; \ nfq_set_mark :0 x007 /0 x f f f ; ) Paramétrage de Netfilter iptables I PREROUTING t mangle j CONNMARK restore mark iptables A POSTROUTING t mangle j CONNMARK save mark iptables A POSTROUTING t mangle m mark mark 0x007 /0 x f f f j NFLOG nflog prefix " Dr No log " Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 31 / 35

Journalisation d une connexion suspecte (2/2) Alerte adaptée dans Suricata pass tcp any any > any any (msg: "We were expecting you " ; content : "Mr Bond " ; \ nfq_set_mark :0 x007 /0 x f f f ; ) Paramétrage de Netfilter iptables I PREROUTING t mangle j CONNMARK restore mark iptables A POSTROUTING t mangle j CONNMARK save mark iptables A POSTROUTING t mangle m mark mark 0x007 /0 x f f f j NFLOG nflog prefix " Dr No log " Ensuite ulogd2 envoie tout dans pcap ou SQL suivant le paramétrage Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 31 / 35

1 Introduction Introduction Objectifs du projet Ecosystème 2 Fonctionnalités Liste des fonctionnalités Signatures Stream inline CUDA 3 Fonctions avancées de suricata libhtp Variables de flux Fonctions avancées du mode IPS 4 Le futur Fonctionnalités planifiées Plus d informations Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 32 / 35

Fonctionnalités planifiées Finalisation de l accélération par CUDA. Réputation IP et DNS Extraction de fichiers et leur inspection SCADA Preprocesseur (grâce à Digital Bond) Mot clé replace Mot clé geoip Rechargement du jeu de signatures sans rupture de l analyse des flux Stateful Pattern Matching/Transaction-Aware Detections Détails : http://www.openinfosecfoundation.org/index.php/component/content/article/1-latest-news/ 116-oisf-state-of-the-project-report-phase-two Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 33 / 35

Comment tester rapidement Déjà disponible dans Debian, Ubuntu, Gentoo, Freebsd Distribution live : SIEM live (Suricata + Prelude + Openvas) : https: //www.wzdftpd.net/redmine/projects/siem-live/wiki Smooth-Sec (Suricata + Snorby) : http://bailey.st/blog/smooth-sec/ Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 34 / 35

Questions Avez-vous des questions? Merci à : Pierre Chifflier : http://www.wzdftpd.net/blog/ Toute l équipe de l OISF et Victor Julien en particulier Pour aller plus loin : Site de l OISF : http://www.openinfosecfoundation.org/ Site développeurs de Suricata : https://redmine.openinfosecfoundation.org/ Blog de Victor Julien : http://www.inliniac.net/blog/ Mon blog : http://home.regit.org Me joindre : Courriel : eric@regit.org Twitter : Regiteric Éric Leblond (OISF) Présentation de l IP D S Suricata 11 mai 2011 35 / 35