(Tiểu luận) bài báo cáo môn an toàn mạng máy tính chủ đề triển khai ids snort trên pfsense

HỌC VIỆN AN NINH NHÂN DÂN KHOA AN NINH THÔNG TIN - - BÀI BÁO CÁO MÔN AN TỒN MẠNG MÁY TÍNH CHỦ ĐỀ : Triển khai IDS Snort Pfsense HỌC PHẦN: AN TOÀN MẠNG MÁY TÍNH LỚP: D51-ATTT NHĨM BÁO CÁO: PHÙNG NGỌC MINH HÀ NỘI, 2022 h MỤC LỤC LỜI MỞ ĐẦU PHẦN I TỔNG QUAN VỀ PFSENSE Pfsense gì? Một số tính Pfsense: .4 Cài đặt Pfsense: .9 Lợi ích Pfsense: 16 PHẦN II GIỚI THIỆU VỀ IDS SNORT .17 Giới thiệu IDS Snort: 17 Kiến trúc Snort: 19 Tập luật Snort: 21 PHẦN III THỰC HÀNH CÀI ĐẶT IDS SNORT TRÊN PFSENSE 25 Cài đặt Snort Pfsense: 25 Demo công vào Pfsense: .30 PHẦN IV KẾT LUẬN 35 NGUỒN THAM KHẢO 36 h LỜI MỞ ĐẦU Sự phá t triển củ a cô ng nghệ, đặ c biệt Internet giú p cuộ c số ng củ a ngườ i trở nên thuậ n tiện dễ dà ng Nhờ có hệ thố ng mạ ng Internet ta trao đổ i, lưu trữ thô ng tin, kết nố i vớ i tấ t mọ i ngườ i giớ i hà ng loạ t lợ i ích c Tuy nhiên tình hình thự c tế đặ t nhiều thá ch thứ c đến từ vấ n đề bả o mậ t, bả o vệ hệ thố ng mạ ng Internet đặ c biệt cá c doanh nghiệp, cô ng ty giớ i Để bả o vệ hệ thố ng mạ ng ta có nhiều giả i phá p sử dụ ng router cisco, dù ng firewall ng, firewall mềm củ a microsoft ISA, … Nhữ ng thiết bị rấ t tố n kinh phí vậ y đố i vớ i cá c doanh nghiệp vừ a nhỏ giả i phá p firewall mềm mã nguồ n mở mộ t phương n hiệu ứ ng dụ ng Pfsense mộ t ví dụ điển hình Do em xin chọ n chủ đề nghiên u “Triển khai IDS Snort Pfsense” để tìm hiểu thêm ứ ng dụ ng tườ ng lử a nà y cách thứ c cà i đặ t sử dụ ng cô ng cụ Snort tườ ng lử a Pfsense h PHẦN I TỔNG QUAN VỀ PFSENSE Pfsense gì? - Pfsense mộ t ứ ng dụ ng có c nă ng định tuyến o tườ ng lử a mạ ng miễn phí dự a tả ng FreeBSD (FreeBSD mộ t hệ điều hà nh kiểu Unix đượ c phá t triển từ Unix theo nhá nh phá t triển củ a BSD dự a 386BSD 4.4BSD) đượ c cung cấ p vớ i mụ c đích sử dụ ng m định tuyến (routing) tườ ng lử a (firewall) rấ t mạ nh Pfsense đượ c n lý hoà n n qua giao diện web Bắ t đầ u o nă m 2004, khi m0n0wall mớ i bắ t đầ u chậ p chữ ng– đâ y mộ t dự n bả o mậ t tậ p trung o cá c hệ thố ng nhú ng – Pfsense có triệu download đượ c sử dụ ng để bả o vệ cá c mạ ng tấ t kích cỡ , từ cá c mạ ng gia đình đến cá c mạ ng lớ n củ a củ a ng ty Ứ ng dụ ng nà y có mộ t cộ ng đồ ng phá t triển rấ t tích cự c nhiều tính nă ng đượ c bổ sung mỗ i phá t hà nh nhằ m i thiện nữ a tính bả o mậ t, ổ n định khả nă ng linh hoạ t củ a - Pfsense đượ c dự a FreeBSD giao thứ c Common Address Redundancy Protocol (CARP) củ a FreeBSD, cung cấ p khả nă ng dự phò ng bằ ng cá ch cho phép cá c n trị viên nhó m hai hoặ c nhiều tườ ng lử a o mộ t nhó m tự độ ng chuyển đổ i dự phị ng Vì hỗ trợ nhiều kết nố i mạ ng diện rộ ng (WAN) nên thự c việc câ n bằ ng tả i - Pfsense bao gồ m nhiều tính nă ng đặ c biệt firewall trạ ng thá i mà ng ta vẫ n thấ y thiết bị tườ ng lử a hoặ c router thương mạ i lớ n, chẳ ng hạ n giao diện ngườ i dù ng (GUI) Web tạ o n lý mộ t cá ch dễ dà ng Trong phầ n mềm miễn phí nà y cị n có nhiều tính nă ng ấ n tượ ng đố i vớ i firewall/router miễn phí, nhiên cũ ng có mộ t số hạ n chế h - Pfsense hỗ trợ lọ c theo địa nguồ n, đích, cũ ng port nguồ n hay port đích hay địa IP đồ ng thờ i cũ ng hỗ trợ định tuyến hoạ t độ ng chế độ bridge hay transparent, cho phép ta cầ n đặ t Pfsense giữ a cá c thiết bị mạ ng mà khơ ng cầ n đị i hỏ i việc cấ u hình bổ sung Pfsense cung cấ p chế NAT tính nă ng chuyển tiếp cổ ng, nhiên ứ ng dụ ng nà y vẫ n cò n mộ t số hạ n chế vớ i Point-to-Point Tunneling Protocol (PPTP), Generic Routing Encapsulation (GRE) Session Initiation Protocol (SIP) sử dụ ng NAT - Đặ c điểm quan trọ ng cấ u hình để cà i đặ t sử dụ ng phầ n mềm Pfsense khơ ng đị i hỏ i cao Chú ng ta cầ n mộ t má y tính P3, Ram 128 MB, HDD 1GB cũ ng đủ để dự ng đượ c tườ ng lử a Pfsense Tuy nhiên đặ c thù Pfsense tườ ng lử a ngă n cá c nguy hạ i giữ a mạ ng WAN mạ ng LAN nên má y cà i đặ t Pfsense yêu cầ u tố i thiểu card mạ ng Mơ hình triển khai hệ thống với Pfsense cho doanh nghiệp vừa nhỏ Một số tính Pfsense: a, Aliases: h - Trong Pfsense, firewall khơ ng thể có rule gồ m nhiều nhó m IP hoặ c nhó m port Vì vậ y, điều ta cầ n m gom nhó m cá c IP, Port hoặ c URL o nh Aliases Mộ t Aliases cho phép thay host, dả i mạ ng, nhiều IP riêng biệt hay nhó m port, URL, … Aliases giú p ta tiết kiệm đượ c phầ n lớ n thờ i gian bạ n sử dụ ng mộ t cá ch xá c thay sử dụ ng hà ng loạ t rule để thiết lậ p cho nhiều địa chỉ, ta sử dụ ng rule nhấ t để gom nhó m lạ i - Aliases tính nă ng vô cù ng hiệu củ a Pfsense Mộ t Aliases định nghĩa đượ c rấ t nhiều port hoặ c mộ t host hoặ c nhiều dãy IP Mộ t ví dụ đơn giả n ta muố n block IP Facebook – Facebook mộ t dã y IP rấ t nhiều lớ p mạ ng, ta khô ng thể m từ ng rule Firewall để chặ n Facebook, m ta mấ t rấ t nhiều thờ i gian, m chậ m hệ thố ng, m khó khă n cho việc n lý Ta cầ n tạ o mộ t Aliases có tên IP_Facebook a mộ t dã y IP facebook Sau Firewall ta cầ n m mộ t rule chặ n Aliases IP_Facebook block đượ c facebook.com Thiết lập Firewall: Aliases - Để o Aliases củ a Pfsense, ta o Firewall -> Aliases Cá c nh phầ n Aliases: + Host: tạ o nhó m cá c địa IP + Network: tạ o nhó m cá c mạ ng h + Port: Cho phép gom nhó m port khơ ng cho phép tạ o nhó m cá c protocol Cá c protocol đượ c sử dụ ng cá c rule b, Firewall Rules - Là nơi lưu trữ tấ t cá c luậ t ra, o pfsense Để o Rules củ a pfSense, ta o Firewall -> Rules Mặ c định Pfsense cho phép mọ i kết nố i o hệ thố ng, ta phả i tạ o rules để n lý mạ ng bên Firewall - Mộ t số lự a chọ n Destination Source + Any: Tấ t + Single host or alias: Mộ t địa ip hoặ c mộ t bí danh + Lan subnet: Đườ ng mạ ng Lan + Network: địa mạ ng + Lan address: Tấ t địa mạ ng nộ i + Wan address: Tấ t địa mạ ng bên ngoà i + PPTP clients: Cá c clients thự c kết nố i VPN sử dụ ng giao thứ c PPTP + PPPoE clients: Cá c clients thự c kết nố i VPN sử dụ ng giao thứ c PPPoE c, NAT: - Pfsense có hỗ trợ NAT static dướ i ng NAT 1:1 Điều kiện để thự c đượ c NAT 1:1 ta phả i có IP public Khi thự c NAT 1:1 IP private đượ c nat l n ngoà i bằ ng IP public tương ứ ng cá c port cũ ng tương ứ ng IP public h - Pfsense hỗ trợ NAT Outbound mặ c định vớ i Automatic outbound NAT rule generation Để cấ u hình thủ ng, ta chọ n Manual Outbound NAT rule generation (AON - Advanced Outbound NAT) xó a cá c rule mặ c định củ a Pfsense đồ ng thờ i cấ u hình thêm cá c rule outbound - Ngoà i kiểu NAT: port forward, 1:1 outbound, Pfsense cò n hỗ trợ NAT Npt Phương thứ c nà y thự c NAT đố i vớ i Ipv6 d, Traffic shaper: - Đâ y tính nă ng giú p n trị mạ ng tinh chỉnh, tố i ưu hó a đườ ng truyền pfsense Trong pfsense, đườ ng truyền bă ng thô ng chia cá c hà ng c Có loạ i hà ng pfsense: + Hà ng qACK: dà nh cho cá c gó i ACK (gó i xác nhậ n) giao thứ c TCP nhữ ng ứ ng dụ ng cầ n đượ c hỗ trợ HTTP, SMTP … luồ ng thô ng tin ACK tương đố i nhỏ lạ i rấ t cầ n thiết để trì tố c độ lưu thô ng lớ n + Hà ng qVoIP: dà nh cho nhữ ng loạ i lưu thô ng cầ n đả m bả o độ trễ nghiêm ngặ t, thườ ng dướ i 10ms VoIP, video conferences + Hà ng qGames: dà nh cho nhữ ng loạ i lưu thô ng cầ n đả m bả o độ trễ rấ t chặ t chẽ, thườ ng dướ i 50ms SSH, game online … + Hà ng qOthersHigh: dà nh cho cá c loạ i ứ ng dụ ng quan trọ ng có tính tương tá c rấ t cao, cầ n đá p ứ ng nhanh, cầ n độ trễ thấ p như: NTP, DNS, SNMP … + Hà ng qOthersDefault: dà nh cho cá c giao thứ c ứ ng dụ ng quan trọ ng có tính tương tá c vừ a, cầ n độ đá p ứ ng nhấ t định HTTP, IMAP … + Hà ng qOthersLow: dà nh cho cá c giao thứ c ứ ng dụ ng quan trọ ng có tính tương tá c thấ p SMTP, POP3, FTP + Hà ng qP2P: dà nh cho cho ứ ng dụ ng khô ng tương tá c, khô ng cầ n đá p ứ ng nhanh bittorrent h - Mặ c định pfsense, hà ng có độ ưu tiên từ thấ p đến cao: qP2P < qOthersLow < qOthersDefault < qOthersHigh < qGames < qACK < qVoIP - Ta chỉnh lạ i độ ưu tiên priority cũ ng dung lượ ng bă ng thô ng bandwidth mặ c định mà cá c hà ng chiếm để nâ ng cao bă ng thô ng cho cá c hà ng tương ứ ng - Pfsense cũ ng hỗ trợ giớ i hạ n tố c độ download/upload củ a IP hoặ c dả i IP vớ i ta thiết lậ p thô ng số tạ i phầ n limiter Firewall Pfsense hỗ trợ chặ n nhữ ng ứ ng dụ ng chạ y layer – application mô hình OSI sip, ftp, http … phầ n Layer e, VPN: - Mộ t tính nă ng c khô ng thể thiếu đố i vớ i cá c gateway VPN VPN (Virtual Private Network) mộ t kiểu kết nố i cho phép cá c má y tính truyền thơ ng vớ i thơ ng qua mộ t mô i trườ ng chia sẻ mạ ng Internet vẫ n đả m bả o đượ c tính riêng tư bả o mậ t liệu Để cung cấ p kết nố i giữ a cá c má y tính, cá c gó i thô ng tin đượ c bao bọ c bằ ng mộ t header có a nhữ ng thơ ng tin định tuyến, cho phép liệu gử i từ má y truyền qua mô i trườ ng mạ ng chia sẻ đến đượ c má y nhậ n, truyền đườ ng ố ng riêng đượ c gọ i tunnel Để bả o đả m tính riêng tư bả o mậ t mô i trườ ng chia sẻ nà y, cá c gó i tin đượ c mã hố giả i mã vớ i nhữ ng khó a thích hợ p, ngă n ngừ a trườ ng hợ p “trộ m” gó i tin đườ ng truyền Chứ c nă ng nà y củ a pfSense đượ c đá nh giá rấ t tố t - Pfsense cũ ng hỗ trợ VPN qua giao thứ c: IPSec, L2TP, PPTP OpenVPN f, Monitor băng thơng: - Pfsense có rấ t nhiều plugin hỗ trợ monitor bă ng thô ng Sau số plugin thô ng dụ ng: - RRD Graphs h + Đâ y tool mặ c định có sẵ n cà i pfsense Vớ i RRD graphs, ta theo dõ i đượ c trạ ng thá i củ a server: memory, process … hay vớ i bă ng thô ng củ a cá c đườ ng truyền LAN, WAN … + Mộ t nhượ c điểm củ a RRD Graphs khô ng theo dõ i đượ c dung lượ ng từ ng IP - Lightsquid + Lightsquid package hỗ trợ xem report pfsense sau cà i gó i squid + Vớ i Lightsquid, ta check dung lượ ng mỗ i IP sử dụ ng theo ngà y Tổ ng dung lượ ng ngà y hơ m sử dụ ng hay cá c trang web o … - BandwidthD + plugin nữ a monitor dung lượ ng sử dụ ng củ a IP BandwidthD + BandwidthD thố ng kê liệu theo từ ng IP, dung lượ ng gử i, nhậ n, cá c giao thứ c sử dụ ng FTP, HTTP … - Ntop + plugin thườ ng đượ c sử dụ ng nữ a Ntop Vớ i Ntop, ta theo dõ i bă ng thơ ng tạ i IP nà o sử dụ ng lớ n nhấ t, dung lượ ng tả i củ a cổ ng, kết nố i tớ i internet … Cài đặt Pfsense: h Action| Protocol| Address| Port| Direction| Address| Port| | Alert| TCP| 192.168.0.0/22| 23| ->| Any| Any - Gồ m phầ n: + Action: phầ n quy định loạ i hà nh độ ng nà o đượ c thự c thi Thô ng thườ ng cá c hà nh độ ng rạ o mộ t nh bá o hoặ c log thô ng điệp hay kích hoạ t mộ t luậ t c + Protocol: giao thứ c cụ thể + Address: địa nguồ n địa đích + Port: xá c định cá c cổ ng nguồ n, cổ ng đích củ a mộ t gó i tin + Direction: phầ n nà y địa nguồ n địa đích a, Action: - Có luậ t đượ c định nghĩa: + Pass: cho phép Snort bỏ qua gó i tin nà y + Log: dù ng để log gó i tin Có thể log o file hay o CSDL + Alert: gử i thô ng điệp nh bá o dấ u hiệu xâ m nhậ p đượ c phá t + Activate: tạ o nh bá o kích hoạ t thêm cá c luậ t c để kiểm tra thêm điều kiện củ a gó i tin + Dynamic: đâ y luậ t đượ c gọ i bở i cá c luậ t c có hà nh độ ng Activate b, Protocol: - Chỉ loạ i gó i tin mà luậ t đượ c p dụ ng: + IP + ICMP 24 h + TCP + UDP - Nếu IP Snort kiểm tra header củ a lớ p liên kết để xá c định loạ i gó i tin Nếu bấ t kỳ giao thứ c nà o c, Snort sử dụ ng header IP để xá c định loạ i giao thứ c c, Address: - Có phầ n địa đích địa nguồ n Nó IP đơn hoặ c dả i mạ ng Nếu “any” p dụ ng cho tấ t địa mạ ng Chú ý: mộ t host có ng: IP-address/32 VD: 192.168.0.1/32 - Snort cung cấ p phương phá p để loạ i trừ địa IP bằ ng cách sử dụ ng dấ u “!” VD: alert icmp ![192.168.0.0/22] any -> any any (msg: “Ping with TTL=100”; ttl: 100;) * Chú ý: dấ u “[]” cầ n dù ng đằ ng trướ c có “!” d, Port: - Port p dụ ng cho giao thứ c TCP UDP, xá c định cổ ng nguồ n đích củ a mộ t gó i tin mà luậ t đượ c p dụ ng - Để sử dụ ng dã y cá c Port ta phâ n biệt bở i dấ u “:” VD: alert udp any 1024:8080 -> any any (msg: “UDP port” e, Direction: - Chỉ đâ u nguồ n, đâ u đích Có thể -> hay  Package Manager Ở Package Manager, truy cậ p o Available packages tab Ở Available packages tab, tìm Snort install package Snort 27 h Ở ví dụ nà y, version Snort đượ c cà i đặ t 3.2.9.10 Bấ m Install chờ đợ i tiến trình cà i đặ t hoà n nh Truy cậ p menu Services chọ n Snort Ở tab setting Global, chọ n Snort Subscriber Rules thự c nhữ ng cấ u hình sau:  Enable Snort VRT – Yes  Snort Oinkmaster Code – Enter you OikCode Nếu khô ng có Oinkcode, hã y truy cậ p trang web củ a Snort, tạ o account lấ y Oinkcode miễn phí 28 h Truy cậ p Rules Update Settings, thự c nhữ ng cấ u hình sau :  Update Interval – chọ n khoả ng thờ i gian gử i gó i tin update Interval  Update Start Time – chọ n khoả ng thờ i gian để update Snort rules Đến General Settings thự c nhữ ng cấ u hình sau :  Remove Blocked Hosts Interval – Hour  Remove Blocked Hosts After Deinstall – No  Keep Snort Settings After Deinstall – Yes  Startup/Shutdown LoggingUpdate Interval – no 29 h Ở mụ c Updates tab, bấ m o nú t Updates rules để download Rule Snort Ở tab Snort, bấ m o nú t add thự c nhữ ng cấ u hình sau :  Enable – Yes  Interface – chọ n Interface chạ y dịch vụ Snort Đến mụ c Alert Settings, thự c nhữ ng cấ u hình sau :  Send Alerts to System Log – Yes  Block Offenders – Enable if you want to block offenders  Kill States – Yes  Which IP to Block – BOTH 30 h Sau kết thú c cấ u hình, bấ m o nú t Save Ở mà n hình giao diện Snort, tiến hà nh edit Interface : Truy cậ p tab Wan, thự c nhữ ng cấ u hình sau :  Resolve Flowbits – Yes  Use IPS Policy – Yes  IPS Policy Selection – Connectivity Ở trườ ng hợ p nà y, enable tính nă ng IPS chọ n policy tên Connectivity Sau kết thú c cấ u hình, bấ m o nú t Save, Start service Snort Interface nà y Như vậ y ng ta hoà n nh cà i đặ t cấ u hình service Snort Interface Demo công vào Pfsense: * Ta thự c Demo cuộ c tấ n cô ng DDOS quét cổ ng dự a o cô ng cụ NMAP Bước 1: Cà i tậ p luậ t tương ứ ng củ a tấ n cô ng DDOS quét cổ ng cho Snort 31 h Và o Services rồ i o Snort Và o Snort Interfaces rồ i o WAN Categories Tìm chọ n cá c mụ c luậ t sau tích o: emerging-dos.rules; snort_ddos.rules; snort_dos.rules (Rule nh bá o tấ n cô ng DDOS) sau chọ n Save Ở mụ c Category Selection chọ n o từ ng tù y chọ n củ a cá c tậ p luậ t lưu chọ n Enable All Cá c luậ t đượ c kích hoạ t Tiếp tụ c o tù y chọ n custom.rules rồ i điền tậ p luậ t dướ i o Defined Custom Rules rồ i chọ n Save: (Rule nh bá o quét cổ ng) alert icmp any any -> any any (msg:"Rule Ping ";sid:1) 32 h alert tcp any any -> any any (msg:"Rule Web";sid:2) alert udp any any -> any any (msg:"Rule Web";sid:3) Bước 2: Tấ n cô ng quét cổ ng Ta o mộ t má y Win 10 c để thự c tấ n cô ng Scan Port sử dụ ng NMAP Ta cấ u hình má y Win 10 sau: Network Adapter: Brigded; địa IP: 192.168.0.110 Ở má y Win 10 ta cà i đặ t phầ n mềm NMAP rồ i cho chạ y NMAP vớ i tù y chọ n sau: Target: 192.168.0.113 (Địa WAN củ a Pfsense) Profile: Intense scan, all TCP ports Bấ m Scan đợ i phầ n mềm quét cổ ng NMAP thự c xong Ta sang má y Kali o Web củ a Pfsense, o mụ c Alert Pfsense để kiểm tra Snort có nh bá o khô ng 33 h Snort phá t phá t nh bá o Snort nh bá o quét cổ ng dướ i giao thứ c TCP Tiếp theo ta thử vớ i tù y chọ n Profile: Intense scan plus UDP NMAP Chuyển sang bên Alert củ a Snort để xem nh bá o 34 h Snort phá t phá t nh bá o Demo tấ n cô ng vớ i NMAP nh cô ng Bước 3: Ta thử vớ i tấ n cô ng DDOS sử dụ ng cô ng cụ SOIC Strong Orbit Ion Cannon để công Ta sang máy Kali vào Web Pfsense, vào mục Alert Pfsense để kiểm tra Snort có cảnh báo không 35 h Snort phát phát cảnh báo Ta sang phần Blocked thấy Snort chặn block lại Demo tấ n cô ng DDOS nh ng PHẦN IV KẾT LUẬN Hồ n tồ n miễn phí, giá ưu vượ t trộ i củ a tườ ng lử a Pfsense Tuy nhiên, rẻ khơ ng có nghĩa chấ t lượ ng, tườ ng lử a Pfsense hoạ t độ ng rấ t ổ n định vớ i hiệu nă ng cao, tố i ưu hó a mã nguồ n hệ điều hà nh Vì vậ y Pfsense khô ng cầ n phầ n ng phả i mạ nh Pfsense hoạ t độ ng mộ t thiết bị mạ ng tổ ng hợ p vớ i đâ y đủ tính nă ng sẵ n sà ng bấ t lú c nà o Pfsense hỗ trợ rấ t nhiều plugin để thiết lậ p thêm cá c tính nă ng hữ u ích mà ngườ i dù ng thấ y cầ n thiết Như vậ y, tườ ng lử a Pfsense kết hợ p hoà n 36 h o mạ nh mẽ, đem lạ i hợ p lý cho cá c nhà tà i chính, tin tưở ng cho cá c nhà n trị 37 h NGUỒN THAM KHẢO [1] https://adminvietnam.org/archives/1392 [2] https://viblo.asia/p/network-gioi-thieu-ve-pfsense-N0bDM6LXv2X4 [3] https://mdungblog.wordpress.com/pfsense-la-gi-tong-quan-vepfsense/ [4] https://quantrimang.com/cong-nghe/bao-ve-mang-voi-pfsense50308 [5] https://viettelco.vn/huong-dan-cai-dat-firewall-mem-pfsense/ [6] https://viblo.asia/p/network-tim-hieu-co-che-cach-hoat-dong-cuaids-phan-2-pDljMbe5RVZn [7] https://techexpert.tips/pfsense/snort-installation-pfsense/ [8] https://tenten.vn/tin-tuc/huong-dan-tan-cong-ddos-chi-tiet-nhat/ [9] https://www.youtube.com/watch?v=Prd9xK5IHvM&t=782s [10] https://gocnhinso.com/snort-phan-mem-ids-he-thong-phat-hienphong-ngua-xam-nhap/ 38 h