Snort IDS ile Ağ Saldırı Tespit Sistemi: Derinlemesine Bir Analiz

 · 

Snort IDS ile Ağ Saldırı Tespit Sistemi: Derinlemesine Bir Analiz

Snort IDS ile Ağ Saldırı Tespit Sistemi: Derinlemesine Bir Analiz

Ağ güvenliği mimarilerinde trafik denetimi, yetkisiz erişim ve kötü niyetli faaliyetlerin tespiti kritik bir süreçtir. Snort, açık kaynak kodlu bir Ağ Saldırı Tespit Sistemi (NIDS) ve Ağ Saldırı Önleme Sistemi (NIPS) olarak bu alanda yıllardır kendini kanıtlamış bir araçtır. Paket analiz motoru ve esnek kural tabanlı yapısı sayesinde, hem imza tabanlı hem de protokol anomali tespiti yetenekleri sunar.

Snort Mimarisi ve Çalışma Prensibi

Snort'un temel işlevi, ağ trafiğini belirli kurallar doğrultusunda analiz ederek tehditleri belirlemektir. Bu süreç üç ana bileşen etrafında şekillenir: Paket Yakalama (Packet Capture), Ön İşleme (Preprocessing) ve Tespit Motoru (Detection Engine).

  • Paket Yakalama: Snort, ağ arayüzünü promisköz modda dinleyerek tüm ağ trafiğini yakalar. Bu raw paket verisi, daha sonra analiz edilmek üzere işlenir.
  • Ön İşleme: Tespit motoruna ulaşmadan önce, yakalanan paketler bir dizi ön işlemciden geçer. Bu ön işlemciler, trafiği normalleştirmek, yeniden birleştirmek (örneğin TCP parçalarını), protokol anomalilerini tespit etmek (örneğin bozuk HTTP istekleri) veya belirli protokol katmanlarına özgü analizler yapmak (örneğin HTTP, DNS ayrıştırma) gibi görevleri üstlenir. Örneğin, stream5 ön işlemcisi, TCP oturumlarını yeniden birleştirerek parçalanmış paketlerin bütünsel olarak incelenmesini sağlar.
  • Tespit Motoru: Ön işlenmiş veriler, Snort'un çekirdeği olan tespit motoruna iletilir. Bu motor, tanımlı kural setlerini kullanarak trafik desenlerini, imzaları ve anormallikleri arar. Bir kural tetiklendiğinde, Snort tanımlanan eylemi gerçekleştirir (uyarı oluşturma, paketi engelleme vb.).

Snort Kural Yazımı: İmza Tabanlı Tespit

Snort'un gücü, esnek ve detaylı kural yazım yeteneğinden gelir. Bir Snort kuralı, bir ağ olayını tanımlamak ve buna tepki vermek için kullanılan talimat setidir. Genel kural yapısı aşağıdaki gibidir:

action protocol source_ip source_port -> dest_ip dest_port (options)
  • action: Kural tetiklendiğinde yapılacak eylem (alert, log, pass, drop, reject, sdrop).
  • protocol: İncelenecek protokol (ip, tcp, udp, icmp).
  • source_ip, source_port, dest_ip, dest_port: Trafiğin yönünü ve adres bilgilerini belirler. Değişkenler (örneğin $HOME_NET, $EXTERNAL_NET) veya CIDR blokları kullanılabilir.
  • options: Kuralın detaylı mantığını içeren kısmı. Burası, anahtar kelimeler ve değerlerden oluşur.

Örnek Kural: SQL Injection Tespiti

Bir web uygulamasında olası bir SQL enjeksiyon denemesini tespit etmek için aşağıdaki gibi bir kural yazılabilir:

alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (msg:"SQL Injection Attempt - UNION SELECT"; flow:to_server,established; content:"union select"; nocase; http_uri; sid:1000001; rev:1;)

Bu kuralı açıklarsak:

  • alert: Bir uyarı oluştur.
  • tcp $EXTERNAL_NET any -> $HOME_NET 80: Dış ağdan gelen ve iç ağdaki 80 portuna (HTTP) yönelen TCP trafiğini hedefle.
  • msg:"SQL Injection Attempt - UNION SELECT": Uyarı mesajı.
  • flow:to_server,established: Yalnızca sunucuya doğru giden, kurulmuş TCP oturumlarını incele.
  • content:"union select"; nocase; http_uri;: HTTP URI içinde "union select" ifadesini büyük/küçük harf duyarsız olarak ara.
  • sid:1000001; rev:1;: Kuralın benzersiz ID'si (Snort ID) ve revizyon numarası.

Üretim Ortamında Snort: Gerçek Senaryolar

Senaryo 1: SIEM Entegrasyonu ile Merkezi Loglama

Büyük ve karmaşık altyapılarda, Snort gibi IDS'lerden gelen uyarıları merkezi bir SIEM (Security Information and Event Management) platformunda toplamak, korelasyon analizi ve daha hızlı olay müdahalesi için esastır. Snort, unified2 veya alert_syslog gibi çıktı eklentileri aracılığıyla bu entegrasyonu sağlar.

Örneğin, Snort'u bir ELK (Elasticsearch, Logstash, Kibana) yığınına entegre etmek için alert_syslog çıktısı kullanılabilir:

output alert_syslog: LOG_AUTH LOG_ALERT

Bu yapılandırma, Snort uyarılarını yerel syslog mekanizmasına yönlendirir. Logstash, sunucunun syslog dosyasını izleyerek bu olayları alır, ayrıştırır ve Elasticsearch'e gönderir. Kibana üzerinden güvenlik analistleri, Snort uyarılarını diğer sistem loglarıyla birlikte görselleştirebilir ve tehdit avcılığı yapabilir.

# /etc/snort/snort.conf içinde bir bölüm output alert_syslog: LOG_AUTH LOG_ALERT# Logstash yapılandırması (input bölümü)input {  syslog {    port => 514    type => "syslog"  }}# Logstash yapılandırması (filter bölümü)filter {  if [type] == "syslog" {    grok {      match => { "message" => "^%{SYSLOG5424PRI}%{INT:syslog_priority} %{DATA:snort_event_type}: %{DATA:snort_message} \[Classification: %{DATA:classification}\] \[Priority: %{INT:priority}\] \{%{WORD:protocol}\} %{IP:source_ip}:%{INT:source_port} -> %{IP:dest_ip}:%{INT:dest_port}" }      named_captures_only => true    }    date {      match => [ "timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]    }  }}

Bu yapılandırma ile Snort'tan gelen her uyarı, zenginleştirilmiş alanlarla birlikte Elasticsearch'e aktarılır ve güvenlik operasyonları merkezi (SOC) tarafından izlenebilir hale gelir.

Senaryo 2: Kurumsal Uygulamaya Yönelik Özel Kural Geliştirme

Bir e-ticaret platformunda, belirli bir API uç noktasına (örneğin /api/admin/order-status) olağan dışı sayıda veya yetkisiz kullanıcılardan gelen istekleri tespit etmek isteyebilirsiniz. Varsayalım ki bu uç nokta sadece belirli bir IP aralığından veya VPN üzerinden erişilebilir olmalı ve genellikle belirli saatlerde kullanılır.

Bu senaryo için Snort kuralları, hem IP tabanlı erişim kısıtlamalarını hem de davranışsal anormallikleri hedefleyebilir:

# Yetkisiz IP'lerden admin API erişimini engellealert tcp $EXTERNAL_NET any -> $WEB_SERVER_NET 443 (msg:"Unauthorized Admin API Access Attempt"; flow:to_server,established; content:"/api/admin/order-status"; http_uri; detection_filter:track by_src, count 5, seconds 60; sid:1000002; rev:1;)# Belirli bir IP adresinden gelen ve normalin dışında bir kullanıcı ajanı içeren istekleri tespit etalert tcp 1.2.3.4 any -> $WEB_SERVER_NET 443 (msg:"Admin API Access from Known IP with Suspicious User-Agent"; flow:to_server,established; content:"/api/admin/order-status"; http_uri; pcre:"/User-Agent:\s*(?!Mozilla|Chrome|Safari|Opera)/i"; sid:1000003; rev:1;)
  • İlk kural, detection_filter seçeneği ile bir dakika içinde aynı kaynaktan 5'ten fazla istek gelmesi durumunda uyarı verir. Bu, basit bir brute-force denemesi veya tarama tespitine yardımcı olur.
  • İkinci kural, bilinen bir yönetim IP'sinden gelse bile, yaygın tarayıcı User-Agent'ları dışında (?!Mozilla|Chrome|Safari|Opera negatif bakış ile) bir User-Agent içeren admin API isteklerini hedefler. Bu, otomatize edilmiş script'ler veya manuel müdahaleler için bir gösterge olabilir.

Performans Optimizasyonu ve Yanlış Pozitif Yönetimi

Snort'un üretim ortamında verimli çalışması, doğru yapılandırma ve kural seti yönetimi ile mümkündür. Aşırı yüklü bir Snort sensörü, paket düşürmeye (packet drops) başlayabilir ve bu da tespit yeteneğinin azalmasına neden olur. Optimizasyon stratejileri şunları içerir:

  • BPF (Berkeley Packet Filter) Kullanımı: Snort'u belirli portlara, protokollere veya IP adreslerine odaklamak için -f (filter) anahtarı ile BPF ifadeleri kullanmak, analiz edilen trafik miktarını önemli ölçüde azaltır. Örneğin, sadece web trafiğini izlemek için tcp port 80 or tcp port 443 filtresi uygulanabilir.
  • Kural Kümesi Yönetimi: Yalnızca ilgili kuralları etkinleştirmek. Gereksiz veya eski kuralların devre dışı bırakılması, tespit motorunun yükünü azaltır.
  • Yanlış Pozitiflerin Azaltılması: Yanlış pozitifler (false positives), gerçek bir saldırı olmamasına rağmen tetiklenen uyarılardır. Bunlar, güvenlik analistlerinin iş yükünü artırır ve gerçek tehditlerin gözden kaçırılmasına neden olabilir. threshold, suppress ve detection_filter gibi kural seçenekleri ile yanlış pozitifler yönetilebilir. Örneğin, belirli bir IP adresinden gelen ve bilinen bir falso pozitif tetikleyen bir kuralı bastırmak için:suppress gen_id 1, sig_id 1000001, track by_src, ip 192.168.1.100Bu ifade, 192.168.1.100 adresinden gelen 1000001 ID'li kuralın tetiklenmesini engeller.

Sonuç

Snort, ağ güvenliği alanında güçlü ve esnek bir araçtır. Detaylı kural yazımı, gelişmiş ön işleme yetenekleri ve çeşitli çıktı seçenekleri sayesinde, hem küçük ölçekli ağlarda hem de büyük kurumsal altyapılarda kritik bir savunma hattı oluşturur. Üretim ortamlarında başarılı bir şekilde uygulanması, sürekli kural optimizasyonu, yanlış pozitif yönetimi ve SIEM entegrasyonu ile mümkündür. Ağ trafiğini proaktif olarak izleyerek ve potansiyel tehditleri tespit ederek, Snort organizasyonların siber güvenlik duruşunu önemli ölçüde güçlendirir.

← Blog Listesine Dön