오픈소스 IDS/IPS 프로그램인 suricata를 이용해서 침입탐지 및 침입방지 시스템을 만드는 방법입니다.
최근에 IDS/IPS관련해서 작업이 생겨서 간단히 정리해 봤습니다.
CentOS6 기준으로 작성되었으며 일단 IDS로 운영하는 부분까지 작성 되었습니다.
내용이 많아서 링크로 대신 합니다.
오픈소스 IDS/IPS 프로그램인 suricata를 이용해서 침입탐지 및 침입방지 시스템을 만드는 방법입니다.
/etc/suricata/rules Æú´õÀÇ decoder-events.rules ¿¡¼ üũ¼¶¿¡ ÁÖ¼® ó¸®Çϸé fast.log ¿¡ ¸ðµç üũ¼¶ ¸Þ¼¼Áö°¡ »ç¶óÁö´Âµ¥¡¦ÀÌ°Ô Á¤»óÀϱî¿ä?
¹ß»ýÇÒ ¼ö ÀÖ´Ù°í ÇÕ´Ï´Ù.
µû¶ó¼ µÎ °¡Áö ¹æ¹ýÀ¸·Î alertÀ» ¾ø¾Ù ¼ö ÀÖ½À´Ï´Ù.
ÇÑ°¡Áö´Â suricataȯ°æ¼³Á¤ ÆÄÀÏ¿¡¼
checksum_validation: yes => no ·Î º¯°æÇØ ÁÖ½Ã¸é µË´Ï´Ù.
¹°·Ð ruleÆÄÀÏ¿¡¼ ÁÖ¼®Ã³¸®Çصµ µË´Ï´Ù. ÁÖ¼®Ã³¸®ÇÏ¼Ì´Ù¸é ´ç¿¬È÷ ·Î±×¿¡ ³²Áö¾Ê½À´Ï´Ù.
µÎ¹ø°·Î Çϵå¿þ¾îÀÇ ¼³Á¤À» ¹Ù²Ù´Â °ÍÀε¥ ÀÌ°ÍÀº º°·Î ±ÇÇÏ°í ½ÍÁö ¾Ê½À´Ï´Ù.
checksum À» OS ¿¡¼ ó¸®ÇÏ°Ô Çϴ°ÍÀε¥ ³×Æ®¿öÅ© ÄÁÆ®·Ñ·¯¿¡¼ ÇÏ´Â°Ô ³´½À´Ï´Ù
±×·¡µµ º¯°æÇϽðڴٸé..
ethtool·Î ¾Æ·¡¿Í °°ÀÌ º¯°æÇØ ÁÖ½Ã¸é µË´Ï´Ù.
ethtool --offload eth0 rx off tx off