Выявление аномального трафика сигнатурным методом с помощью системы обнаружения вторжений

Abstract

Описаны структуры современных систем обнаружения вторжений, их классификация и методы обнаружения, а также способы анализа и архитектура систем обнаружения вторжений. Проведен анализ различных систем обнаружения вторжений с целью выбора подходящего решения. На основании анализа выбор сделан в пользу Suricata. Подробно рассмотрены этапы настройки виртуальной лаборатории в среде VirtualBox, а также установка и конфигурация системы обнаружения вторжений Suricata. В результате приведены написанные модули и правила для фильтрации сетевого трафика, а также генерация сетевого трафика для последующего анализа. После подготовлены тестовые данные и проведено тестирование правил и Lua-модулей. Последующий анализ результатов подтвердил корректность и работоспособность разработанных правил. Основными преимуществами проделанной работы являются:- комплексный характер исследования;- практическая применимость и гибкость решения;- воспроизводимость результатов;- проверка на реальных данных;- глубокое погружение в технолог