IPS

IPS (intrusion prevention system) to system, który wykrywa aktywność wskazującą na włamanie i próbuje ją zatrzymać, najlepiej zanim dotrze do celu ^[1]. Od IDS różni się miejscem w sieci: pracuje bezpośrednio w ścieżce ruchu i może sam zablokować połączenie, zamiast tylko zgłosić zdarzenie ^[2]. NIST opisuje obie technologie łącznie jako IDPS, czyli systemy wykrywania i zapobiegania włamaniom ^[3].

Jak działa

IPS stoi w torze ruchu (inline): każdy pakiet albo połączenie przechodzi przez niego, zanim trafi do chronionego systemu. CERT Polska opisuje IPS jako mechanizm analizujący ruch przechodzący przez zaporę sieciową (firewall) w poszukiwaniu znanych wzorców ataków i zachowań świadczących o próbie wykorzystania podatności ^[2]. Wykrywane są między innymi elementy charakterystyczne dla exploitów, skanowanie usług, anomalie protokołów i komunikacja odpowiadająca znanym technikom ataku ^[2].

RYS. 1Pakiet przechodzi przez IPS w trybie inline

Otwarte oprogramowanie Suricata pokazuje ten podział w praktyce. W trybie ips słowo kluczowe drop w regule jest respektowane i pasujące pakiety są odrzucane, a w trybie tap nic nie jest odrzucane i program działa jak most ^[4]. Na Linuksie ruch trafia do Suricaty między innymi przez kolejkę NFQUEUE albo przez parę interfejsów w trybie AF_PACKET ^[4].

Tryb inline wymusza decyzję, co robić przy awarii. Dokumentacja Suricaty opisuje, że bez opcji bypass pakiety kierowane do kolejki, której nikt nie obsługuje, są odrzucane; z tą opcją reguła zachowuje się jak zwykłe przepuszczenie ^[4]. To wybór między dostępnością a ochroną.

Odmiany

NIST SP 800-94 z lutego 2007 roku dzieli technologie IDPS na cztery klasy ^[3]. Tabela zestawia je z różnicą między IDS a IPS.

Klasy różnią się miejscem instalacji i tym, co widzą. IPS sieciowy obejmuje jednym urządzeniem cały segment, ale ogląda tylko pakiety. IPS hostowy działa na chronionej maszynie i widzi jej procesy oraz pliki, za to trzeba go zainstalować na każdym hoście osobno. Publikacja NIST prowadzi przez cały cykl życia IDPS: projektowanie, wdrożenie, konfigurację, zabezpieczenie, monitorowanie i utrzymanie ^[3]. Sam zakup urządzenia nie kończy więc pracy; IPS bez strojenia reguł i przeglądu zdarzeń szybko przestaje odpowiadać rzeczywistemu ruchowi.

IPS bywa osobnym urządzeniem, ale często jest funkcją zapory nowej generacji (NGFW). CERT Polska wymienia zdarzenia IPS obok kontroli aplikacji, antywirusa i filtrowania URL jako zdarzenia, które zapora powinna rejestrować ^[2].

W WordPressie

Strona WordPress rzadko ma własne urządzenie IPS; częściej korzysta z mechanizmów działających na tej samej zasadzie na różnych warstwach. Dokumentacja WordPressa wymienia zestawy reguł ModSecurity, które wykrywają i blokują wzorce ataków siłowych na poziomie serwera ^[6]. WAF jest w tym ujęciu systemem zapobiegania włamaniom dla protokołu HTTP. Otwartym zestawem takich reguł jest OWASP CRS, opisywany jako zbiór reguł dla ModSecurity i zgodnych zapór aplikacyjnych, dający ogólne wykrywanie ataków przy minimum fałszywych alarmów ^[7].

Prostszą formą IPS na poziomie hosta jest fail2ban: dokumentacja WordPressa zaleca analizę logów pod kątem nieudanych logowań i czasowe blokowanie nadużywających adresów ^[6]. Zarządzane zapory na brzegu sieci blokują ruch, zanim dotrze do serwera, co oszczędza jego zasoby przy dużych atakach ^[6]. Sygnatury dla znanych błędów we wtyczkach pełnią rolę wirtualnego patchowania (virtual patching) do czasu instalacji poprawki.

Zagrożenia i skutki

Najważniejszym ryzykiem IPS są fałszywe alarmy (false positive). CERT Polska ostrzega, że sygnatura IPS może błędnie uznać prawidłowy ruch za atak ^[2]. W systemie inline skutkiem nie jest zbędne powiadomienie, lecz przerwana usługa: odrzucone zamówienie w sklepie albo zablokowany panel.

Drugim ryzykiem jest złudne poczucie bezpieczeństwa. Skuteczność IPS w dużej mierze zależy od aktualności sygnatur, więc urządzenie musi regularnie pobierać aktualizacje baz ^[2]. CERT Polska zaznacza też, że brak nowych zdarzeń IPS nie musi oznaczać braku ataków ^[2]. Detekcja oparta na wzorcach nie rozpozna ataku, którego wzorca nie zna; zob. wykrywanie sygnaturowe i heurystyczne.

Jak się bronić

• Wdrażaj nowe profile najpierw w trybie wykrywania, a dopiero po analizie wyników przełączaj wybrane reguły w tryb blokowania ^[2].
• Zapewnij automatyczne aktualizacje sygnatur ^[2].
• Świadomie ustaw zachowanie przy awarii, na przykład opcję bypass w Suricacie ^[4].
• Przekazuj zdarzenia IPS do SIEM, żeby łączyć je z logami serwera i aplikacji.

MITRE ATT&CK opisuje sieciowe zapobieganie włamaniom jako mitygację M1031: użycie sygnatur wykrywania włamań do blokowania ruchu na granicach sieci ^[5]. Wśród technik, na które odpowiada, wymienia między innymi adversary-in-the-middle (T1557) i eksfiltrację danych kanałem C2 (T1041) ^[5]. Pełny katalog technik ataku opisuje hasło MITRE ATT&CK.