Detekce průniků

    IDS Suricata: uvidíte útok, který prošel firewallem

    FlowPro NG zpracovává události ze Suricata IDS a ukáže, kdo se o co v síti pokouší: skenování, exploity, komunikaci malwaru i podezřelé DNS a TLS spojení. Vše na vašem serveru, s přehledem pro více senzorů najednou.
    Vyzkoušet 14 dní zdarmaOnline demo
    flowpro.local/ids
    Přehled IDS Suricata ve FlowPro NG

    Firewall pustí, co je povolené. Co se v povoleném provozu skrývá, už neřeší.

    Útok na webový server přes port 443, stanice nakažená malwarem, která se hlásí svému řídicímu serveru, nebo zneužití známé zranitelnosti. To všechno vypadá pro firewall jako běžný povolený provoz. Rozpoznat to jde jen z obsahu paketů.

    Suricata je ověřený open-source IDS, ale sama o sobě vytváří jen rozsáhlý soubor událostí. FlowPro NG z nich udělá přehled, ve kterém je vidět, co je důležité, odkud útok přichází a kterých zařízení se týká.

    Co získáte

    IDS – detekce průniků ve FlowPro NG

    Upozornění se závažností a trendem

    Počet upozornění, unikátní signatury a zdrojové IP s porovnáním proti předchozímu období. Závažnost se odvozuje z kategorie pravidla, takže kritická upozornění vidíte hned nahoře.

    DNS, HTTP, TLS a FTP pod lupou

    Na které domény se stanice dotazují, jaké URL a metody používají, jaké verze TLS a šifrovací sady. Kliknutím na doménu, hostname nebo SNI otevřete detail s časovou osou a zdrojovými IP.

    Hledání podle JA3 a přehled hostitelů

    Otisk TLS klienta (JA3) pomůže najít stejný malware i na dalších stanicích. Pohled na jednotlivého hostitele shrne jeho upozornění, spojení a protokoly na jednom místě.

    Méně falešných poplachů

    Pomocník pro hlučná pravidla ukáže signatury, které generují nejvíc upozornění, a usnadní jejich vypnutí. Pravidla ET Open se na senzoru aktualizují automaticky každý den.

    Více senzorů v jednom přehledu

    Senzor na hraně sítě, další v serverovně nebo na pobočce. Všechny posílají data do jednoho FlowPro NG a mezi senzory přepínáte jedním výběrem.

    GeoIP mapa, anomálie a export

    Mapa ukáže, odkud útoky přicházejí. Záložky Anomálie, Toky a Protokoly doplní obraz provozu. Výsledky exportujete do CSV, JSON nebo PDF, až 10 000 záznamů najednou.

    • Suricata
    • EVE JSON
    • ET Open
    • Elastic Agent
    • Elasticsearch
    • SPAN
    • TZSP
    • MikroTik
    • DNS
    • HTTP
    • TLS
    • FTP
    • JA3
    • GeoIP
    • MITRE ATT&CK

    Jak to funguje

    Zprovoznění v několika krocích

    1. 01

      Připravte senzor

      Na Linuxový server na hraně sítě spustíte instalační skript. Ten nainstaluje Suricatu, nastaví sledované rozhraní a vaši síť (HOME_NET) a stáhne pravidla ET Open.

    2. 02

      Přiveďte na senzor provoz

      Senzor sleduje provoz přímo na bráně, nebo dostává jeho kopii ze zrcadleného portu (SPAN). Z routeru MikroTik lze provoz posílat i přes TZSP stream nástroje Packet Sniffer.

    3. 03

      Data jsou vidět do dvou minut

      Elastic Agent na senzoru odesílá události EVE JSON do FlowPro NG. V modulu IDS se objeví do 1–2 minut a upozornění jdou rovnou do Centra událostí.

    FAQ

    Časté otázky

    Co je IDS?

    IDS (Intrusion Detection System) je systém detekce průniků. Kontroluje síťový provoz podle pravidel a upozorní, když v něm najde známý útok, komunikaci malwaru nebo neobvyklé chování protokolu. FlowPro NG k tomu používá Suricatu.

    Jaký je rozdíl mezi IDS a IPS?

    IDS provoz sleduje a upozorňuje, IPS stojí přímo v cestě provozu a podezřelé pakety zahazuje. FlowPro NG pracuje jako IDS: Suricata provoz pasivně analyzuje a nic neblokuje, takže výpadek senzoru neovlivní síť. Na upozornění reagujete ručně, v licenci Enterprise i automaticky pomocí scénářů.

    Kam umístit senzor Suricata?

    Nejčastěji na bránu do internetu nebo na server, který dostává kopii provozu ze zrcadleného portu switche. Pokud je bránou router MikroTik, lze provoz streamovat přes TZSP na samostatný server se Suricatou. Senzorů můžete mít víc, například pro pobočky.

    Vidí IDS do šifrovaného provozu?

    Obsah HTTPS nedešifruje. Z TLS spojení ale vidí název serveru (SNI), verzi TLS, šifrovací sadu a otisk klienta JA3, což často stačí k odhalení malwaru nebo podezřelých cílů. Nešifrované protokoly jako DNS, HTTP a FTP analyzuje celé.

    Odcházejí data z mé sítě?

    Ne. Senzor posílá události jen na váš server s FlowPro NG a tam se také ukládají. Ven jde jen kontrola licence a technický stav instance, nikdy obsah provozu ani upozornění.

    Související řešení

    Detekce síťových anomálií17 detekcí nad síťovými toky každou minutu: skenování portů, flood útoky, únik dat, beaconing, laterální pohyb, tunely.Analýza NetFlowKdo v síti komunikuje s kým, kolik dat a kam. NetFlow, IPFIX a sFlow z routerů a firewallů bez zrcadlení provozu.HoneypotNávnada, která láká útočníky. Uvidíte, kdo útočí, jaká hesla zkouší a jaké příkazy spouští, dřív než zkusí skutečné servery.
    Jak si FlowPro NG stojí proti Wazuh, Elastic, Splunk a Flowmonu

    Vyzkoušejte to na vlastní síti

    Zkušební verze Enterprise na 14 dní odemyká všechny moduly. Nainstalujete ji na vlastní server a platební kartu nepotřebujete.

    Spustit zkušební verziOnline demo