[IDS][Suricata] FreeBSDで始める侵入検知生活
FreeBSDを使って、侵入(Intrusion)検知(Detection)生活(SeikatsuSystem)していきます。
この分野だと Snort が最も有名ですが、今回は使ったことのない Suricata を試してみます。
環境
- OS: FreeBSD 11.2-RELEASE
- ネットワークインターフェース名: em0
インストール
準備
IPSとして動かす場合にはipfwが必要です。
IPSとして動かす予定はないですが、一応入れておきます。
それぞれファイルに追記します。
/etc/rc.conf
firewall_enable="YES" # Set to YES to enable firewall functionality
firewall_type="open" # Firewall type (see /etc/rc.firewall)
/boot/loader.conf
ipfw_load="YES"
ipfw_nat_load="YES"
ipdivert_load="YES"
dummynet_load="YES"
libalias_load="YES"
Suricataをインストール
pkgを使ってさっくりと入れます。
pkg install suricata
とりあえず動かしてみる
-iオプションにネットワークインターフェース名を渡します。
--init-errors-fatalオプションを付けて、ルールにエラーがあったら落ちるようにします。
# suricata -i em0 --init-errors-fatal
22/7/2018 -- 14:11:03 - <Warning> - [ERRCODE: SC_WARN_FASTER_CAPTURE_AVAILABLE(275)] - faster capture option is available: NETMAP (--netmap=em0). Use --pcap=em0 to suppress this warning
22/7/2018 -- 14:11:03 - <Notice> - This is Suricata version 4.0.4 RELEASE
22/7/2018 -- 14:11:03 - <Warning> - [ERRCODE: SC_ERR_NO_RULES(42)] - No rule files match the pattern /usr/local/etc/suricata/rules/botcc.rules
ルールファイルがなくて落ちちゃいました。
ルールファイルを取得
oinkmasterをインストール
ルールをダウンロードするため、oinkmasterを使います。
pkg install oinkmaster
oinkmasterを設定
/usr/local/etc/oinkmaster.conf
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz
path = /bin:/usr/bin:/usr/local/bin
update_files = \.rules$|\.config$|\.conf$|\.txt$|\.map$
oinkmasterを実行
oinkmasterを実行します。
oinkmaster -o /usr/local/etc/suricata/rules
/usr/local/etc/suricata/rulesにファイルが保存されました。
# ls /usr/local/etc/suricata/rules/
BSD-License.txt emerging-dns.rules emerging-rpc.rules files.rules
app-layer-events.rules emerging-dos.rules emerging-scada.rules gen-msg.map
botcc.portgrouped.rules emerging-exploit.rules emerging-scan.rules gpl-2.0.txt
botcc.rules emerging-ftp.rules emerging-shellcode.rules http-events.rules
ciarmy.rules emerging-games.rules emerging-smtp.rules modbus-events.rules
classification.config emerging-icmp.rules emerging-snmp.rules rbn-malvertisers.rules
compromised-ips.txt emerging-icmp_info.rules emerging-sql.rules rbn.rules
compromised.rules emerging-imap.rules emerging-telnet.rules reference.config
decoder-events.rules emerging-inappropriate.rules emerging-tftp.rules sid-msg.map
dns-events.rules emerging-info.rules emerging-trojan.rules smtp-events.rules
drop.rules emerging-malware.rules emerging-user_agents.rules stream-events.rules
dshield.rules emerging-misc.rules emerging-voip.rules suricata-2.0-enhanced-open.txt
emerging-activex.rules emerging-mobile_malware.rules emerging-web_client.rules tls-events.rules
emerging-attack_response.rules emerging-netbios.rules emerging-web_server.rules tor.rules
emerging-chat.rules emerging-p2p.rules emerging-web_specific_apps.rules unicode.map
emerging-current_events.rules emerging-policy.rules emerging-worm.rules
emerging-deleted.rules emerging-pop3.rules emerging.conf
とりあえず動かしてみる(2)
ルールファイルができたのでまた動かしてみます。
em0は--pcapオプションを使ったほうがよいらしいので、そうします。
# suricata --pcap=em0 --init-errors-fatal
22/7/2018 -- 14:27:47 - <Notice> - This is Suricata version 4.0.4 RELEASE
22/7/2018 -- 14:27:57 - <Notice> - all 3 packet processing threads, 4 management threads initialized, engine started.
いい感じに動きました。
/var/log/suricataにファイルができています。
# ls /var/log/suricata/
eve.json fast.log stats.log suricata.log
Suricataの初期設定
使いながらおいおい煮詰めていくことにして、とりあえずHOME_NETだけ設定しました。
/usr/local/etc/suricata/suricata.yaml
vars:
address-groups:
HOME_NET: "[10.1.1.0/24]"
ログのローテート
newsyslog任せにします。
次のファイルを作りました。
/usr/local/etc/newsyslog.conf.d/suricata.conf
# logfilename [owner:group] mode count size when flags [/pid_file] [sig_num]
/var/log/suricata/*.log root:wheel 644 3 100 * GJC /var/run/suricata.pid
これは、3世代保存、100kb超えたらローテート、bzip2で圧縮し、ファイルがなければ作成、/var/run/suricata.pidファイルに書かれているプロセスIDにSIGHUPを送る、という意味です。
flagsにGを付けないと、ワイルドカードを使えません。
起動設定
OS起動時にsuricataも起動するようにします。
次のファイルに追記しました。
/etc/rc.conf.local
## Suricata the IDS
##
suricata_enable="YES" # Set to YES to enable suricata
suricata_interface="em0" # Network interface(s) to sniff
確認
起動するか確認します。
/usr/local/etc/rc.d/suricata start
# ps axww | grep suricata
2843 - Ss 0:07.75 /usr/local/bin/suricata -D --pcap=em0 --pidfile /var/run/suricata.pid -c /usr/local/etc/suricata/suricata.yaml
設置
IPSとして動かすのであれば、ブリッジにしたりしますが、今回はIDSにするだけなので、ルータかスイッチのポートをミラーリングしてパケットを拾います。
自分のとこでは、YAMAHA RTX1200を使っていました。
YAMAHA RTX1200の場合
SuricataをインストールしたマシンをLAN1のポート8に接続しました。
監視対象はLAN1のポート5です。
RTX1200へログインし、管理者モードで以下のコマンドを入力します。
lan port-mirroring lan1 8 out 5 in 5
ポート5への入出力双方をポート8へミラーリングします。
em0から伸びたケーブルをRTX-1200のLAN1ポート8に挿します。
トラブルシューティング
何も記録されいないときは、パケットが流れていないか拾えていないのかもしれません。
tcpdump -i インターフェース名
として、何かパケットキャプチャできるか見てみてください。何かキャプチャできるときは、suricataの設定がおかしいです。
もしかすると、インターフェースが寝ているのかもしれません。
ifconfig インターフェース名 up
として、インターフェースを起こしてください。
次は？
何か可視化ツールをインストールしてみます。
可視化の結果を見ながら、設定やルールを詰めていきます。