Keywords: IDS, Instrusion detection system, LaBrea, CESNET CSIRT
This technical report describes a simple system for detecting hacker- and virus--induced intrusions into a selected LAN. Its main component is the LaBrea program distributed under GPL licence and run on a PC server under Linux. Auxiliary programs built within the CESNET CSIRT activity allow automated distribution of warning e-mails to the administrators of selected networks where the attacks originated. Unlike other Intrusion Detection Systems, this IDS needs no human intervention after installation.
CESNET provozuje od konce roku 2002 jednoduchý a užitečný systém pro detekci neoprávněného přístupu (Intrusion Detection System, dále jen IDS), který po instalaci prakticky nevyžaduje lidskou obsluhu a pravidelně informuje správce sítí o těch jejich strojích, z nichž byly zaznamenány útoky. Správci sítí jsou tedy včas informováni, mohou napadené stroje včas odvirovat nebo odpojit od sítě, a tak omezit další šíření virů a zlepšit pověst sítě.
Účelem této zprávy je informovat o systému IDS další zájemce, zejména z řad administrátorů sítí universit a AV ČR s velkými alokacemi IP adres, a přesvědčit je, aby podobný systém nainstalovali ve svých vlastních sítích.
IDS CESNETu má tyto hlavní součásti:
Pomocné funkce pro systém IDS:
Cílem programu
Hlavní rysy programu
Na pokusy o připojení umí LaBrea reagovat následujícími způsoby:
Při výběru vhodného stroje můžeme vycházet z těchto dlouhodobých zkušeností:
V současné době je IDS CESNETu instalován na starším stroji DELL PowerEdge 1400SC v konfiguraci:
IDS server doporučujeme připojit co nejblíže k hraničnímu routeru, který propojuje síť instituce a páteřní síť CESNETu. Na podsíť monitorovanou systémem IDS ovšem neaplikujeme žádná omezení provozu (ochrana před síťovými viry apod.). Připojení přes přepínač nedoporučujeme, protože při monitorování rozlehlejší podsítě, jež zlepšuje účinnost systému, by se mohla přeplnit ARP tabulka přepínače.
Předpokládejme, že naší instituci byl přidělen adresový rozsah 172.16.0.0/16, tj. 65536 IP adres; z nich jsme dosud nevyužili a jistě ani nevyužijeme blok 172.16.224.0/22, tj. 1024 IP adres. Tento adresový blok vyhradíme pro IDS; bude ho monitorovat rozhraní Eth1.
Administrativní rozhraní Eth0 systému IDS má přidělenu adresu např. 172.16.1.2; tato adresa je v našem případě součástí podsítě o velikosti např. /25 (128 IP adres). Uvedená IP adresa je jediná, kterou IDS zveřejňuje a která musí mít reversní záznam; z této adresy odesíláme dopisy správcům těch sítí, jejichž stroje se pokoušely připojit na IP adresy monitorované rozhraním Eth1. Na rozhraní Eth0 povolujeme přístup pomocí
Před zahájením instalace systému
Z
Z
Standardním způsobem
$ ./configure
$ make
$ su
$ make install
Program
Program
Wed May 31 16:01:31 2006 LaBrea will attempt to capture unused IPs. Wed May 31 16:01:31 2006 Full internal BPF filter: arp or (ip and ether dst host 00:00:0F:FF:FF:FF) Wed May 31 16:01:31 2006 LaBrea will log to stdout Wed May 31 16:01:31 2006 Logging will be very verbose. Wed May 31 16:01:31 2006 Initiated on interface: eth0 Wed May 31 16:01:31 2006 Host system IP addr: 172.16.1.2, MAC addr: 00:12:34:56:78:9a Wed May 31 16:01:31 2006 ...Processing configuration file Wed May 31 16:01:31 2006 ... End of configuration file processing Wed May 31 16:01:31 2006 Network number: 172.16.1.0 Wed May 31 16:01:31 2006 Netmask: 255.255.255.128 Wed May 31 16:01:31 2006 Number of addresses LaBrea will watch for ARPs: 127 Wed May 31 16:01:31 2006 Range: 172.16.1.0 - 172.16.1.127 Wed May 31 16:01:31 2006 Throttle size set to WIN 10 Wed May 31 16:01:31 2006 Rate (-r) set to 3 Wed May 31 16:01:31 2006 Test mode run complete... LaBrea is exiting. Wed May 31 16:01:31 2006 LaBrea exiting... Wed May 31 16:01:31 2006 35/0 packets (received/dropped) by filter
V následujícím kroku spustíme program tak, aby IDS využíval obou rozhraní:
Odpovídá tomu tato příkazová řádka:
$ labrea -b -H -i eth1 -I 172.16.225.77 --no-arp-sweep \ -o -p 300 -v -z
Pokud všechno správně funguje i teď, začneme rozhraní Eth1 provozovat jako unnumbered interface, tj. bez přidělené IP adresy. Následující odstavce podrobně popisují instalaci v operačním systému SuSE Linux; uživatelé jiných distribucí použijí toho, co jejich operační systém nabízí.
Původní stav nenakonfigurovaného rozhraní Eth1 je např.:
$ ifconfig eth1
eth1 Link encap:Ethernet HWaddr 00:09:87:65:43:21
BROADCAST MULTICAST MTU:1500 Metric:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
Pomocí konfiguračního programu
$ ifconfig eth1
eth1 Link encap:Ethernet HWaddr 00:09:87:65:43:21
inet addr:172.16.225.77 Bcast:172.16.227.255 Mask:255.255.252.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:11 errors:0 dropped:0 overruns:0 frame:0
TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:660 (660.0 b) TX bytes:460 (460.0 b)
Konfigurační soubor tohoto rozhraní, který se nalézá v adresáři
$ more ifcfg-eth-id-00\:09:87\:65\:43\:21 BOOTPROTO='static' BROADCAST='172.16.227.255' IPADDR='172.16.225.77' MTU='' NETMASK='255.255.252.0' NETWORK='172.16.224.0' REMOTE_IPADDR='' STARTMODE='onboot' UNIQUE='Hkyc.MvtRJ6g27Q1' _nm_name='bus-pci-0000:01:0a.0'
Pozor: pokud chceme obsah tohoto souboru zálohovat, pojmenujeme záložní soubor tak, aby se lišil už začátek jeho názvu -- např.
Vhodným textovým editorem odstraníme údaje BROADCAST, IPADDR, NETMASK a NETWORK. Soubor pak vypadá takto:
$ more ifcfg-eth-id-00\:09\:87\:65\:43\:21 BOOTPROTO='static' BROADCAST='' IPADDR='' MTU='' NETMASK='' NETWORK='' REMOTE_IPADDR='' STARTMODE='onboot' UNIQUE='Hkyc.MvtRJ6g27Q1' _nm_name='bus-pci-0000:01:0a.0'
Operační systém restartujeme. Měl by přitom ohlásit asi toto:
Setting up network interfaces:
lo
lo IP address: 127.0.0.1/8 . . . . . . . . . . done
Waiting for mandatory devices:
eth-id-00:12:34:56:78:9a eth-id-00:09:87:65:43:21
eth0 device: AAAAA Corp. [Ethernet ABCD] (rev 08)
eth0 configuration: eth-id-00:12:34:56:78:9a
eth0 IP address: 172.16.1.2/25
eth1 device: BBBBB Corp. [Ethernet EFGH] (rev 09)
eth1 configuration: eth-id-00:09:87:65:43:21
Setting up service network . . . . . . . . . . . . . . done
Je vidět, že rozhraní Eth1 je také funkční, ale nemá přidělenu IP adresu. Program
$ ifconfig eth1
eth1 Link encap:Ethernet HWaddr 00:09:87:65:43:21
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:442 errors:0 dropped:0 overruns:0 frame:0
TX packets:10 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:3199 (3.1 Kb) TX bytes:1005 (1.0 Kb)
Program
$ labrea -b -E 00:09:87:65:43:21 -H -i eth1 -I 172.16.225.77 \ -n 172.16.224.0/22 --no-arp-sweep -O -o -p 300 -v -z
V tomto režimu můžeme program
Přitom pravděpodobně zjistíme, že program generuje obrovské množství dat o útocích vycházejících i z oblastí, které nemůžeme ovlivnit. Soustředíme se pouze na sítě z autonomního systému AS2852, tj. na sítě &cesnet;, jeho členů a zákazníků. Všechna data, která program
Dále musíme zajistit, aby se program
Výsledky získané programem
Programy
$ perl Makefile.PL
$ make
$ make test
$ make install
Přitom je třeba definovat několik implicitních hodnot, které
Program
-b provoz v dávkovém režimu -i file1 file1 je název vstupního souboru (výstupní soubor programu LaBrea) -l limit pokud počet útoků z jedné IP adresy nepřesáhne hodnotu limit, ignorujeme je. Pokud lim=0, zpracujeme všechny útoky z této adresy -O zpracujeme pouze útoky ze sítí uvedených v poli @ownnet -v výpis podrobnějších diagnostických informací.
Hlavním účelem programu
Program se snaží minimalisovat počet odeslaných dopisů: pokud byly zaznamenány útoky z různých sítí nebo domén, k nimž program po optimalisaci adres přiřadil stejné adresy elektronické pošty správců, pošle na tyto adresy jediný společný dopis s informacemi o všech útocích detekovaných v příslušném časovém intervalu.
Program generuje v pracovním adresáři protokol o běhu programu s implicitním názvem
Program
Program
-k odeslané soubory se nevymažou, ale přejmenují na *.sent -i existence souborů *.sent v adresáři result je tolerována.
Při testování činnosti programu lze s výhodou použít parametrů
-t dopisy se neodesílají, soubory se nemažou -T dopisy se posílají jen na adresu $testaddr -v výpis podrobnějších diagnostických informací.
Program
@ignoredom pokud doménová adresa útočícího stroje obsahuje některou adresu uvedenou v @ignoredom, nepošle se správcům této domény žádná stížnost @ndom útoky z domén zde uvedených budou ignorovány @nipadd útoky z jednotlivých IP adres zde uvedených budou ignorovány @nipnet útoky ze sítí zde uvedených budou ignorovány @ownnet při volbě parametru -O budou monitorovány pouze sítě uvedené v tomto poli $smsadd adresa, na niž se odesílá SMS o výsledku běhu.
Informace o tom, kde přesně leží IP adresy sítě monitorované systémem IDS, nezveřejňujeme. Tomu napomáhají i následující dvě proměnné v programu
$strin řetězec (cílová IP adresa), který chceme kvůli utajení &ldots; $strout &ldots; nahradit tímto řetězcem.
I program
$bccaddr adresy, na něž se posílají slepé kopie varovných dopisů, pokud není zvolen testovací režim -t nebo -T $testaddr adresa, na niž se posílají dopisy v testovacím režimu -T.
Systém IDS v dejvické síti CESNET2 byl původně navržen tak, aby detekoval a hlásil útoky z celosvětového Internetu. Má tedy mnoho vlastností, které se v nynějším režimu práce nevyužívají, ale které autor zatím nechce odstranit.
Důvod, proč se IDS omezuje na hlášení útoků pocházejících ze sítě CESNET2, není technický, ale administrativní. Jakmile začal systém IDS rozesílat svá varování, začali adresáti těchto zpráv (v průměru kolem tisíce) odpovídat takto:
Reakce správce IDS:
Zásadní problém s monitorováním celosvětového Internetu je v tom, že systém IDS pak vyžaduje každodenní dozor člověka, který by až několik hodin denně trávil korespondencí se správci a podle jejich požadavků průběžně zdokonaloval konfiguraci programu
Po zvážení těchto zkušeností se autor zprávy rozhodl soustředit se na síť CESNET2 a přesvědčit správce všech připojených sítí, aby zkontrolovali své kontaktní údaje v RIPE DB a zřídili i kontaktní adresu pro zasílání stížností. U všech universitních sítí a u většiny zákazníků je to hotovo, poměrně malá část ještě zbývá dokončit.
Systém IDS se v provozu velmi osvědčuje: na rozdíl od klasických systémů IDS nevyžaduje pravidelnou údržbu signatur útoků a nehrozí mu ani nebezpečí falešných poplachů. Bude však ještě užitečnější po nasazení na dalších místech sítě CESNET - lze oprávněně předpokládat, že se výrazně zlepší a zrychlí účinnost detekce útoků vycházejících přímo z těch sítí, jejichž správci tento systém IDS instalují.
$ crontab -l # Every working day at 6.05, 9.05, 12.05, 15.05 GMT: 5 6,9,12,15 * * 1-5 /etc/init.d/labrea restart; sh /var/log/LBbe.sh
#! /bin/sh BZIP2_BIN=/usr/bin/bzip2 DATESTRING=`/bin/date +%y%m%d%H` LBBE_LNK=/root/bin/LaBreaBackEnd LBREP_LNK=/root/bin/LaBreaReport LABREA_LOG=/var/log/LaBrea LABREA_LOG_SAV=/var/log/LaBrea.$DATESTRING LABREA_START=/var/log/START TOUCH_BIN=/usr/bin/touch echo "Processing the LaBrea log file, sending results (if any)..." $LBBE_LNK -b -l 0 -i $LABREA_LOG -O -v && $LBREP_LNK -k -i echo "Creating the START timestamp..." $TOUCH_BIN $LABREA_START echo "Renaming the LaBrea log file..." mv -f --backup=t $LABREA_LOG $LABREA_LOG_SAV echo "Compressing the LaBrea log file..." $BZIP2_BIN $LABREA_LOG_SAV echo "Done."
ting: 195\.113\. ting: 195\.178\.[6789]\d\. ting: 193\.84\.[34]\d\. ting: 193\.84\.1[679]\d\. ting: 193\.84\.2[012]\d\. ting: 146\.102\. ting: 147\.3[23]\. ting: 147\.22[89]\. ting: 147\.23[01]\. ting: 147\.251\. ting: 158\.19[46]\. ting: 160\.21[67]\. Current average bw Inbound SYN/ACK Responded to a Ping
#! /bin/sh
#
# /etc/init.d/labrea
#
### BEGIN INIT INFO
# Provides: labrea
# Required-Start: $network
# Required-Stop: $network
# Default-Start: 3 5
# Default-Stop: 3 5
# Description: Start the LaBrea program
### END INIT INFO
LABREA_BIN=/usr/local/sbin/labrea
test -x $LABREA_BIN || exit 5
GREP_BIN=/usr/bin/grep
test -x $GREP_BIN || exit 5
. /etc/rc.status
rc_reset
case "$1" in
start)
echo -n "Starting LaBrea 2.51, appending to existing log"
/sbin/startproc -f $LABREA_BIN -b -E 00:09:87:65:43:21 -H -i eth1 \
-I 172.16.225.77 -n 172.16.224.0/22 --no-arp-sweep -O -o -p 300 \
-v -z | $GREP_BIN -f /var/log/LBstrings >> /var/log/LaBrea.new &
rc_status -v
;;
stop)
echo -n "Shutting down LaBrea 2.51..."
/sbin/killproc -TERM $LABREA_BIN
sleep 1
rc_status -v
echo -n "Shutting down grep..."
/sbin/killproc -TERM $GREP_BIN
sleep 1
rc_status -v
;;
restart)
echo -n "Shutting down LaBrea 2.51..."
/sbin/killproc -TERM $LABREA_BIN
sleep 1
rc_status -v
echo -n "Shutting down grep..."
/sbin/killproc -TERM $GREP_BIN
sleep 1
rc_status -v
echo "Renaming the resulting log file to be processed by LBbe..."
mv -f /var/log/LaBrea.new /var/log/LaBrea
sleep 1
echo -n "Starting LaBrea 2.51, opening new log file..."
/sbin/startproc -f $LABREA_BIN -b -E 00:09:87:65:43:21 -H -i eth1 \
-I 172.16.225.77 -n 172.16.224.0/22 --no-arp-sweep -O -o -p 300 \
-v -z | $GREP_BIN -f /var/log/LBstrings > /var/log/LaBrea.new &
sleep 1
rc_status -v
;;
status)
echo -n "Checking LaBrea 2.51 status: "
wc -l /var/log/LaBrea.new | cut -f1 -d" " > /var/log/LaBreaLC
echo -n `cat /var/log/LaBreaLC`
echo -n " log lines"
rm -f /var/log/LaBreaLC
/sbin/checkproc $LABREA_BIN
rc_status -v
;;
*)
echo "Usage: $0 {start|stop|status|restart}"
exit 1
;;
esac
rc_exit
Pozn.: Soubory