Введение 4
1 Анализ предметной области 6
1.1 Обзор технологии глубокого анализа пакетов 6
1.2 Основные проблемы DPI-систем 10
1.3 Применение DPI-систем 11
1.4 Сравнение предлагаемого программного обеспечения 13
2 Архитектура предлагаемой системы 15
2.1 Подготовка виртуального сервера 15
2.2 Подготовка программного обеспечения 17
2.3 Настройка программного обеспечения Snort 20
2.4 Итоговый вид предлагаемой системы 30
3 Описание функционирования и основные алгоритмы анализа создаваемой
системы 33
3.1 Описание функционирования Snort 33
3.2 Генератор правил Snorpy 36
3.3 Библиотека захвата пакетов Npcap 37
4 Тестирование системы 38
4.1 Обработка эталонных файлов 38
4.2 Обработка эталонного файла расположенного на удаленном хосте 41
4.3 Тестирование системы в режиме мониторинга 42
Заключение 45
Список использованных источников 47
Приложение А Конфигурационный файл «Snort» 49
Объектом разработки данной выпускной квалификационной работы выступает система анализа пограничного траффика на основе глубокого анализа пакетов (DPI).
Задачи работы:
- создание виртуального сервера на базе гипервизора Hyper-V;
- установка и настройка системы обнаружения вторжений Snort;
- установка и настройка генератора правил безопасности для Snort;
- проведение тестов системы посредством эмуляции атак;
- создание и модификация правил безопасности для предотвращения проникновения.
В первом разделе выпускной квалификационной работы мы рассматривается принцип действия системы глубокого анализа трафика, описываются существующие решения и плюсы и минусы каждого из них. Дополнительно произведен краткий обзор использующихся технологий, взаимодействующих с системами глубокого анализа пакетов.
Во втором разделе выпускной квалификационной работы произведен обзор выбранных решений, подробное описание используемого программного обеспечения и подробный обзор действий, необходимых для запуска и настройки системы.
Третий раздел посвящен описанию функционирования основных элементов системы глубокого анализа пакетов. Обзор принципов работы элементов системы и описание синтаксиса ключевых команд для работы с используемым программным обеспечением.
В четвертом разделе выпускной квалификационной работы произведен запуск системы, тестирование её в различных режимах. Представлены результаты произведенных тестов с использованием эталонного файла.
Актуальность данной работы обусловлена необходимостью качественного роста информационной безопасности в связи с происходящими мировыми событиями. Например, из-за эпидемиологической ситуации 2019-2021 года в мире многократно возросло количество сотрудников на удаленном режиме работы.
На текущий момент времени сотрудники сферы информационной безопасности не в состоянии обеспечить достаточную степень защищенности корпоративных данных на домашних компьютерах работников, что закономерно ведет за собой количественное увеличение попыток нелегитимного проникновения во внутреннюю сеть компании и количество утечек корпоративных данных.
Одним из вариантов решения проблем с атаками на корпоративную сеть с домашних компьютеров сотрудников могут служить межсетевые экраны, использующие технологии DPI, которые помимо функции сканирования пакетов также позволяют собирать статистику.
На основании этой статистики специалист по информационной безопасности способен обнаруживать нехарактерный для пользователя трафик и предотвращать попытки проникновения.
В первой части выпускной квалификационной работы был произведен обзор технологии DPI. Для более глубокого понимания темы была рассмотрена модель OSI, на которую ссылается описание технологии DPI. Описан принцип действия и рассмотрены основные недостатки в имеющихся решениях. Рассмотрены основные поставщики DPI-систем, оценены их решения, выявлены сильные и слабые стороны решений, а также выбран пример наилучшей реализации.
Приведены примеры использования DPI-систем в различных сферах. Проведен краткий экскурс во взаимодействие систем DPI и DLP, приведены примеры классификаций DLP-систем и их взаимодействие с DPI. Составлена краткая схема сопряжения двух систем.
Во второй части выпускной квалификационной работы был произведен обзор использующихся технологий. Были рассмотрены технологии виртуализации на базе гипервизора Hyper-V. Кратко рассмотрен процесс создания виртуального сервера. Обзор приложения Snort и приложения Npcap, необходимого для его работы.
После этого была произведена установка и настройка приложения Snort, приложения Npcap, а также произведена настройка приложения Snort путем изменения конфигурационного файла и установка файлов правил для приложения Snort.
Используя тестовое правило для оценки состояния и работоспособности программы, была произведена проверка и оценка состояния системы, а также оценка работоспособности отдельных элементов системы, и всех элементов системы в совокупности.
Третья часть выпускной квалификационной работы описывает функционирование системы и приводит краткий разбор основных алгоритмов составных элементов системы, включающие в себя описание функционирования программного обеспечения Snort, описание работы генератора правил Snorpy и описание функционала библиотеки захвата пакетов Npcap.
В четвертой части выпускной квалификационной работы произведены тестовые запуски системы, система протестирована эталонным файлом, протестирована возможность сканирования эталонного файла расположенного на удаленном хосте, а также тестирование системы в режиме мониторинга, выявившего, недоступную без использования системы, информацию о сетевых взаимодействиях происходящих на виртуальном сервере.
По итогу выполненной работы мы получили систему анализа пограничного трафика на основе глубокого анализа пакетов. Система базируется на виртуальном сервере под руководством операционной системы Windows 10. Система способна производить анализ предварительно записанных pcap-файлов, осуществлять мониторинг сетевого трафика в реальном времени и защиту от известных видов получения несанкционированного доступа к сетевым ресурсам.
К плюсам системы можно отнести:
- малый объем необходимого дискового пространства для работы системы;
- низкие требования к вычислительным ресурсам базовой станции;
- портативность;
- возможность встраивания в более крупные системы в качестве резервного или вспомогательного звена.
