搜索

[15513] 2020-06-19_Suricata工控规则研究

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-06-19_Suricata工控规则研究 S u r i c a t a 工 控 规 则 研 究 黄 一 1 1 3 5 3 0   F r e e B u f   2 0 2 0 - 0 6 - 1 9 S u r i c a t a 是 一 款 免 费 开 源 的 网 络 威 胁 检 测 工 具 。 主 要 用 于 实 时 入 侵 检 测 （ 是 一 款 免 费 开 源 的 网 络 威 胁 检 测 工 具 。 主 要 用 于 实 时 入 侵 检 测 （ I D S ） ， 嵌 入 式 入 侵 防 御 （ ） ， 嵌 入 式 入 侵 防 御 （ I P S ） 和 网 ） 和 网 络 安 全 监 控 （ 络 安 全 监 控 （ N S M ） 等 。 因 工 作 需 要 ， 我 也 准 备 来 盘 一 下 ， 准 备 部 署 检 测 一 下 工 控 这 块 的 流 量 ， 同 时 也 添 加 一 ） 等 。 因 工 作 需 要 ， 我 也 准 备 来 盘 一 下 ， 准 备 部 署 检 测 一 下 工 控 这 块 的 流 量 ， 同 时 也 添 加 一 些 工 控 规 则 来 提 高 检 测 效 率 。 些 工 控 规 则 来 提 高 检 测 效 率 。 S u r i c a t a 介 绍 ： 介 绍 ： 虽 然 S u r i c a t a 作 为 一 款 免 费 开 源 的 安 全 工 具 ， 但 是 它 得 到 了 众 多 企 业 的 认 可 ， 很 多 都 在 部 署 和 使 用 它 。 这 代 表 S u r i c a t a 是 成 熟 的 ， 功 能 完 善 ， 实 用 性 强 的 安 全 工 具 。 S u r i c a t a 是 一 款 高 性 能 网 络 入 侵 检 测 防 御 引 擎 。 该 引 擎 基 于 多 线 程 ， 充 分 利 用 多 核 优 势 。 它 支 持 多 种 协 议 ， 如 ： i p 4 、 i p v 6 、 t c p 、 u d p 、 h t t p 、 s m t p 、 p o p 3 、 i m a p 、 f t p 等 。 可 动 态 加 载 预 设 规 则 ， 支 持 多 种 文 件 格 式 统 计 数 据 输 出 ， 如 p c a p 、 j s o n 、 u n i f i e d 2 等 ， 非 常 便 于 与 B a r n y a r d 2 等 工 具 集 成 。 s u r i c a t a 所 有 版 本 ： h t t p s : / / o p e n i n f o s e c f o u n d a t i o n . o r g / d o w n l o a d / S u r i c a t a 架 构 ： 架 构 ： 有 三 种 运 行 模 式 ， 分 别 为 s i n g l e ， w o r k e r s ， a u t o f p 。 官 方 推 荐 性 能 最 佳 的 运 行 模 式 为 w o r k e r s 模 式 。 s i n g l e 模 式 ： 只 有 一 个 包 处 理 线 程 ， 一 般 在 开 发 模 式 下 使 用 。 w o r k e r s 模 式 ： 多 个 包 处 理 线 程 ， 每 个 线 程 包 含 完 整 的 处 理 逻 辑 。
a u t o f p 模 式 ： 有 多 个 包 捕 获 线 程 ， 多 个 包 处 理 线 程 。 一 般 适 用 于 n f q u e u e 场 景 ， 从 多 个 q u e u e 中 消 费 流 量 来 处 理 。 报 文 检 测 系 统 通 常 包 含 四 大 部 分 ， 报 文 获 取 、 报 文 解 码 、 报 文 检 测 、 日 志 记 录 ； S u r i c a t a 不 同 的 功 能 安 装 模 块 划 分 ， 一 个 模 块 的 输 出 是 另 一 个 模 块 的 输 入 ， S u r i c a t a 通 过 线 程 将 模 块 串 联 起 来 ， 如 下 图 所 示 ： S u r i c a t a 部 署 部 署 * * ： ： * * 安 装 步 骤 ， 以 U b u n t u 1 8 0 4 版 本 为 例 ， 可 以 使 用 官 方 的 P P A 进 行 安 装 ： 1 、 更 新 规 则 ： 2 、 测 试 s u r i c a t a 正 常 运 行 ： 3 、 启 动 运 行 ： 配 置 解 读 ： 配 置 解 读 ： c d   到 s u r i c a t a 配 置 文 件 目 录 ： c d   / e t c / s u r i c a t a / ,   我 们 会 查 看 到 如 下 4 个 配 置 文 件 c l a s s i f i c a t i o n . c o n f i g / r e f e r e n c e . c o n f i g / s u r i c a t a . y a m l / t h r e s h o l d . c o n f i g   和 一 个 r u l e s 文 件 夹 。 s u r i c a t a . y a m l ： 是 S u r i c a t a 默 认 的 配 置 文 件 ， 以 硬 编 码 的 形 式 写 在 源 代 码 中 , 里 面 定 义 了 几 乎 关 于 S u r i c a t a 的 所 有 运 行 内 容 ， 包 括 运 行 模 式 、 抓 包 的 数 量 和 大 小 、 签 名 和 规 则 的 属 性 和 日 志 告 警 输 出 等 等 。 c l a s s i f i c a t i o n . c o n f i g ： 定 义 了 各 种 流 量 攻 击 类 型 和 优 先 级 ， 类 似 拒 绝 服 务 攻 击 和 w e b 应 用 攻 击 等 ， 如 下 图 所 示 ： s u d o   a d d - a p t - r e p o s i t o r y   p p a : o i s f / s u r i c a t a - s t a b l e         s u d o   a p t   u p d a t e         s u d o   a p t   i n s t a l l   s u r i c a t a   j q s u r i c a t a - u p d a t e s u r i c a t a   - T s u r i c a t a   - i   e n s 3 3   - c   / e t c / s u r i c a t a / s u r i c a t a . y a m l
r e f e r e n c e . c o n f i g ： 记 录 一 些 安 全 网 站 ， 漏 洞 平 台 的 网 址 ， 或 者 是 自 己 可 以 自 定 义 的 u r l ， 是 参 考 的 意 思 ， 用 来 联 系 外 部 的 恶 意 攻 击 检 测 网 站 中 关 于 此 类 攻 击 的 页 面 。 t h r e s h o l d . c o n f i g ： t h r e s h o l d （ 阈 值 ） 关 键 字 可 用 于 控 制 规 则 的 警 报 频 率 ， 可 用 于 在 规 则 生 成 警 报 之 前 为 其 设 置 最 小 阈 值 . r u l e s 文 件 夹 ： 存 放 不 同 种 类 的 规 则 ， 规 则 用 来 判 定 流 量 攻 击 类 型 ， 并 定 义 攻 击 类 型 和 告 警 种 类 ， 可 以 存 放 自 带 的 规 则 ， 也 可 以 自 己 按 规 则 语 法 编 写 ， 如 下 图 所 示 ： 规 则 详 解 规 则 详 解 * * ： * * 接 下 来 我 们 主 要 讲 S u r i c a t a 的 规 则 ， 这 是 检 测 工 具 的 灵 魂 ， 同 样 的 产 品 ， 别 人 的 好 用 ， 拦 截 率 准 确 率 高 ， 误 报 率 低 ， 那 就 是 人 家 规 则 写 得 好 。 S u r i c a t a 的 规 则 书 写 参 考 s n o r t 规 则 （ s u r i c a t a 完 全 兼 容 s n o r t 规 则 ） ， 下 面 我 就 来 简 单 介 绍 下 规 则 的 每 段 含 义 ， 因 为 主 要 是 讲 工 控 规 则 ， 所 以 我 取 一 条 工 控 规 则 来 说 ， 规 则 如 下 ： a l e r t ： 默 认 顺 序 为 ： p a s s ， d r o p ， r e j e c t ， a l e r t ， 跳 过 、 丢 弃 、 拒 绝 、 警 告 四 种 类 型 的 动 作 M o d b u s ： 注 明 协 议 种 类 ， U D P / I C M P 等 A n y ： 源 地 址 / 目 的 地 址 （ I P ） A n y ： 源 端 口 / 目 的 端 口 - > ： 方 向 ， 单 向 流 量 ； < > 双 向 流 量 A n y ： 源 地 址 / 目 的 地 址 （ I P ） A n y ： 源 端 口 / 目 的 端 口 m s g : ” S U R I C A T A   M o d b u s   R e q u e s t   f l o o d   d e t e c t e d ” ： 关 键 字 m s g 提 供 对 触 发 警 报 的 有 关 签 名 / 规 则 相 关 文 本 提 示 信 息 f l o w : t o _ s e r v e r ： 客 户 端 到 服 务 器 a p p - l a y e r - e v e n t : m o d b u s . f l o o d e d ： 具 体 攻 击 内 容 c l a s s t y p e : p r o t o c o l - c o m m a n d - d e c o d e ： 提 供 有 关 规 则 和 警 报 分 类 的 信 息 ， 由 c l a s s i f i c a t i o n . c o n f i g 文 件 定 义 。 s i d : 2 2 5 0 0 0 9 ： 用 于 唯 一 性 规 则 标 识 ， s i d 不 能 重 复 a l e r t   m o d b u s   a n y   a n y   - >   a n y   a n y   ( m s g : " S U R I C A T A   M o d b u s   R e q u e s t   f l o o d   d e t e c t e d " ;   f l o w : t o _ s e r v e r ; a p p - l a y e r - e v e n t : m o d b u s . f l o o d e d ;   c l a s s t y p e : p r o t o c o l - c o m m a n d - d e c o d e ;   s i d : 2 2 5 0 0 0 9 ;   r e v : 2 ; )
r e v : 2 ： 规 则 版 本 号 ， 每 次 修 改 规 则 r e v 则 递 增 1 工 控 规 则 编 写 ： 工 控 规 则 编 写 ： S u r i c a t a 现 在 主 要 是 e t / o p e n     规 则 ， 这 是 系 统 自 带 的 规 则 ， 目 前 开 源 免 费 的 就 是 e t / o p e n 、 p t 规 则 、 s s l b l 规 则 ， 其 余 的 需 要 授 权 码 才 能 更 新 。 推 荐 给 大 家 一 个 补 充 规 则 的 链 接 ， h t t p s : / / g i t h u b . c o m / p t r e s e a r c h / A t t a c k D e t e c t i o n   的 开 源 规 则 ， 里 面 包 含 了 近 几 年 常 见 c v e 漏 洞 的 检 测 ， 大 家 可 以 酌 情 使 用 。 其 实 自 己 规 则 编 写 也 不 难 ， 上 面 介 绍 了 规 则 每 部 分 的 含 义 ， 最 好 写 的 是 包 含 c o n t e n t 的 规 则 ， 例 如 我 们 知 道 m o d b u s 的 停 启 功 能 码 是 4 0 , 4 1 ， 我 们 可 以 在 规 则 里 编 写 c o n t e n t :   “ | 0 0   0 0   0 0   0 0   3 3   4 1   f f   0 0 | ” 来 匹 配 ； 如 果 是 应 用 层 的 流 量 攻 击 ， 就 可 以 写 成   a p p - l a y e r - e v e n t : d n p 3 . f l o o d e d / a p p - l a y e r - e v e n t : m o d b u s . i n v a l i d _ l e n g t h 等 。 一 般 在 工 控 规 则 中 ， 最 常 见 的 应 用 层 的 检 测 和 对 功 能 码 的 检 测 ， 截 取 关 键 的 功 能 码 配 合 偏 移 位 置 （ o f f s e t ） 和 结 束 位 置 来 匹 配 （ d e p t h ） , 如 下 图 所 示 ： 我 参 考 了 之 前 大 佬 写 的 S u r i c a t a （ S n o r t ） 工 控 方 面 的 规 则 ， 如 下 图 所 示 ， 这 是 关 于 西 门 子 S 7 的 规 则 ， 主 要 用 来 检 测 关 于 N m a p 通 过 扫 描 1 0 2 端 口 开 启 来 寻 找 P L C 的 流 量 ： 里 面 还 包 含 了 对 现 有 m o d b u s 、 e n i p 和 d n p 3 规 则 补 充 ， 建 议 有 兴 趣 的 朋 友 可 以 去 看 下 ： 链 接 奉 上 ： h t t p s : / / g i t h u b . c o m / d i g i t a l b o n d / Q u i c k d r a w - S n o r t 模 拟 流 量 攻 击 模 拟 流 量 攻 击 * * ： * * 分 析 和 编 写 了 S u r i c a t a 的 规 则 ， 下 面 就 进 行 实 际 的 流 量 测 试 ， 不 过 在 测 试 之 前 ， 对 s u r i c a t a . y a m l   配 置 文 件 还 要 做 小 小 的 修 改 ， 因 为 我 是 对 M o d b u s   P L C 设 备 进 行 攻 击 的 时 候 抓 取 流 量 包 ， 然 后 保 存 下 来 放 到 S u r i c a t a 里 面 回 放 ， 所 以 要 将 下 图 中 的 p c a p - f i l e 改 成 y e s ：
虽 然 规 则 里 包 含 了 M o d b u s 的 规 则 ， 但 是 默 认 是 不 开 启 的 ， 所 以 我 们 在 s u r i c a t a . y a m l 里 面 找 到 M o d b u s 这 块 ， 改 成 y e s ： 接 着 我 通 过 修 改 抓 取 到 M o d b u s   P L C 之 间 的 通 信 的 S e s s i o n   i d ， 然 后 带 上 S e s s i o n   i d 对 数 据 包 进 行 长 度 和 非 法 字 符 串 的 修 改 ， 再 通 过 p y t h o n 脚 本 发 送 给 P L C ， 同 时 用 w i r e s h a r k 来 抓 取 ， 以 此 来 获 取 我 们 需 要 的 数 据 包 。 我 把 数 据 包 放 入 服 务 器 中 后 ， 通 过 执 行 s u r i c a t a     - r     m o d b u s . p c a p ， 对 数 据 包 进 行 回 放 ， 然 后 导 出 j s o n 格 式 的 日 志 进 行 查 看 ， 如 下 图 所 示 ， 显 示 a l e r t 并 且 显 示 唯 一 的 S I D 号 ， 可 以 去 r u l e s 里 面 找 到 对 应 命 中 的 是 哪 条 规 则 ： 下 图 是 s u r i c a t a 操 作 的 一 些 命 令 ， 有 需 要 的 朋 友 可 以 看 一 下 ：
总 结 ： 总 结 ： S u r i c a t a 其 实 包 含 的 功 能 十 分 丰 富 ， 因 篇 幅 有 限 ， 我 只 验 证 解 释 了 关 于 S u r i c a t a 工 控 方 面 的 使 用 ， S u r i c a t a 支 持 内 嵌 l u a 脚 本 ， 以 实 现 自 定 义 检 测 和 输 出 脚 本 ， 支 持 常 见 数 据 包 解 码 ， 支 持 常 见 应 用 层 协 议 解 码 ， 支 持 分 析 离 线 p c a p 文 件 和 p c a p 文 件 方 式 存 储 流 量 数 据 ， 这 些 好 用 的 功 能 都 需 要 大 家 一 点 点 去 摸 索 和 拓 展 使 用 。 S u r i c a t a 规 则 这 一 块 ， 是 需 要 大 家 一 点 点 去 积 累 完 善 的 ， 通 过 平 时 搜 集 的 威 胁 情 报 ， 结 合 自 己 系 统 的 生 产 环 境 ， 以 及 定 期 关 注 新 爆 出 的 安 全 漏 洞 等 ， 自 己 慢 慢 去 增 加 丰 富 规 则 ， 来 使 我 们 的 安 全 世 界 更 加 坚 固 ！ * 本 文 作 者 ： 黄 一 本 文 作 者 ： 黄 一 1 1 3 5 3 0 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理