Maßnahmen gegen Eindringlinge ergreifen

Name: Maßnahmen gegen Eindringlinge ergreifen
Author: Jerry Smith

Sie erfahren, wie Sie Sicherheitswarnungen für den Fall eines Angriffs konfigurieren können.

Preview the first lesson free — get full access to all 4 lessons.

Kurs: On-Demand

Hallo. Mein Name ist Jerry Smith. In dieser Lektion lernen wir die Suricata-Warnung kennen. Also gut, werfen wir einen Blick auf einige der Warnungen. Ich habe die Suricata-Instanz eine Weile laufen lassen, also da sollten welche sein. Gute Informationen da drin. Ich habe zufällig auch ein anderes virtuelles Maschine, auf der Debian und Nmap laufen, die ich zum Generieren einiger verwende Verkehr, der Warnungen auslöst. Lassen Sie uns kurz innehalten. Sprechen Sie über Nmap. Nmap ist ein Open-Source-Tool zur Netzwerkerkundung. Es steht für Network Mapper. Es ist ein primäres Werkzeug und eines. Von den ersten, die während des Pen-Tests verwendet wurden. Und damit auch für Gegner. Es kann über einen Befehl ausgeführt werden. Line oder die GUI-Version. Zenmap hat die gleiche Funktionalität. Die Standardeinstellungen zum Herunterladen von Warnungen funktionieren einwandfrei. aber es gibt eine Methode, die formatiert Die Logdatei etwas besser. Schauen wir uns das mal an. Zuerst gehen wir zu Schnittstellen. Klicken Sie dann auf Bearbeiten. Unter WAN-Einstellungen. Scrollen Sie nach unten zu den Eve-Ausgabeeinstellungen. Ich habe dies bereits aktiviert, aber Sie wählen das Eve-JSON-Protokoll aus. Und seien Sie sicher Der Ausgabetyp ist auf Datei eingestellt. Runterscrollen. Und klicken Sie auf Speichern. Eine Notiz, die Sie benötigen. Um den Suricata-Dienst neu zu starten, klicken Sie auf den gebogenen Pfeil. Damit die Änderung wirksam wird, klicken Sie auf Schnittstellen. Klicken Sie auf den gebogenen Pfeil. Dadurch wird die Instanz neu gestartet. Schauen wir uns nun einige Warnungen an. Wie Sie sehen, gibt es einige. Ein paar zur Auswahl. Die meisten davon sind nur Rauschen, das von meinem Netzwerk kommt. Aber schauen wir uns die einzelnen Spaltenüberschriften an. Zuerst haben Sie die Uhrzeit und das Datum. Dann haben Sie die Aktion. Derzeit ist es auf Alarm eingestellt. Die Priorität in diesem Fall ist drei. Die Priorität wird also in aufsteigender Reihenfolge festgelegt. Die schwerwiegendste ist eine Eins. Als nächstes haben Sie das Protokoll und die Klasse oder den Typ der Regel. Quell-IP, Quellport, Ziel-IP-Zielport und dann GID und Sid. Eine Sid ist eine Signatur-ID. Jede Regel oder Signatur hat ein Unikat. Identifikator namens Sid. Eine GID ist eine Gruppenkennung. Ähnliche Signaturen werden logisch gruppiert. Und eine GID oder Gruppen-ID zugewiesen. Und schließlich haben Sie eine Beschreibung der Regel selbst. Sie werden in diesen Warnungen auch einige Symbole bemerken. Die Lupe versucht, das Problem aufzulösen DNS-Name der IP-Adresse. Der Globus versucht, eine Geolokalisierung anzugeben Adresse der IP. Wie Sie sehen können, ist dies der Fall In Boca Raton, Florida. Sie werden außerdem im Verlauf der Warnung verschiedene Pluszeichen bemerken. Wenn das Pluszeichen unter dem steht Quell-IP, die Warnung wird unterdrückt. Wenn es mit dieser Quell-IP ausgelöst wird, Gleiches gilt für das Ziel. Wenn Sie unter Git und Sid auf das Pluszeichen klicken, wird es unterdrückt die Warnung vollständig. Klicken wir nun auf Protokolle, Ansicht von Das obere Menü. Aus der Protokolldatei. Klicken Sie zum Anzeigen auf das Dropdown-Menü und wählen Sie Eve JSON. Unten sehen Sie den Protokollinhalt. Von hier aus können Sie kopieren und einfügen. In Notepad oder eine Tabellenkalkulation zum Senden. An einen Sicherheitsanalysten zur weiteren Analyse. Hier habe ich die Protokolldatei eingefügt Eine Tabellenkalkulation und einige kleinere Aufräumarbeiten durchgeführt. Um es besser lesbar zu machen. Sie können dies auch versuchen. Seien Sie gespannt auf die nächste Lektion, in der Wir werden etwas über Schnupfenalarmierung lernen. Danke fürs zuschauen. Tschüss.

Anfänger Anbieter : Jerry Smith 4 Lektionen · 15m auf Arabisch, Deutsch, Englisch, Spanisch, Französisch, Portugiesisch, Chinese

Kursbeschreibung

Um die bestmögliche Netzwerksicherheit zu gewährleisten, ist es wichtig, dass Sie die von Ihren IDS/IPS-Technologien generierten Warnmeldungen analysieren. Sie suchen nicht nur nach Bedrohungen und aktiven Angriffen, sondern auch nach Fehlalarmen, weshalb die Erstellung einer Erlaubnisliste ein wichtiger Bestandteil Ihrer Netzwerksicherheit ist. Obwohl sich die meisten Sicherheitssysteme auf die Verwendung von Abonnement-Regelsätzen konzentrieren, gibt es durchaus einen Bedarf an benutzerdefinierten Regeln. Es wird Situationen geben, in denen die Bedrohung durch einen Angriff sowohl unmittelbar bevorsteht als auch bekannt ist, die Regel aber nicht veröffentlicht wurde.

In diesem Kurs über Maßnahmen gegen Eindringlinge werden wir besprechen, wie Sie Ihr IDS und IPS so konfigurieren können, dass es bei Sicherheitsbedrohungen Warnmeldungen erzeugt. Es wird erklärt, wie Sie die von Snort und Suricata generierten Alarme konfigurieren und einordnen können. Wir werden auch besprechen, wie Sie benutzerdefinierte Regeln, Blockier- und Erlaubnislisten erstellen können. Am Ende dieses Kurses werden Sie in der Lage sein, besser auf Cyber-Bedrohungen in Echtzeit zu reagieren.

Was Sie lernen werden

Triage von IDS/IPS-Warnungen durchführen, um echte Bedrohungen und aktive Angriffe von Falschmeldungen zu unterscheiden
Konfigurieren Sie Snort und Suricata, um Warnungen bei Sicherheitsbedrohungen auszulösen
Erstellen Sie Zulassungslisten und Blockierungslisten in Snort und Suricata
Wenden Sie Best Practices beim Erstellen benutzerdefinierter Regeln an
Reagieren Sie in Echtzeit auf Cyberbedrohungen mit IDS/IPS-Technologien

Wichtige Erkenntnisse

Die Analyse der von IDS/IPS-Technologien generierten Warnungen ist wichtig, um die bestmögliche Netzwerksicherheit zu gewährleisten.
Die Warnungsanalyse sucht nicht nur nach Bedrohungen und aktiven Angriffen, sondern auch nach Falschmeldungen. Daher ist das Erstellen einer Zulassungsliste ein wichtiger Bestandteil der Netzwerksicherheit.
Während die meisten Sicherheitsmaßnahmen auf Abonnement-Regelätze konzentrieren, gibt es einen klaren Bedarf an benutzerdefinierten Regeln, besonders wenn ein Angriff unmittelbar bevorsteht und bekannt ist, aber die Regel noch nicht veröffentlicht wurde.
Der Kurs behandelt die Konfiguration und Triage der von Snort und Suricata generierten Warnungen.
Am Ende des Kurses können die Lernenden besser auf Cyberbedrohungen in Echtzeit reagieren.

Häufig gestellte Fragen

Was wird mir dieser Kurs über IDS und IPS beibringen?

Er erklärt, wie Sie Ihr IDS und IPS so konfigurieren, dass Warnungen bei Sicherheitsbedrohungen ausgelöst werden, und wie Sie die von Snort und Suricata generierten Warnungen konfigurieren und triagieren.

Behandelt dieser Kurs benutzerdefinierte Regeln und Listen?

Ja. Er erörtert, wie man benutzerdefinierte Regeln, Blockierungslisten und Zulassungslisten erstellt, und erforscht Best Practices beim Erstellen benutzerdefinierter Regeln.

Auf welche Tools konzentriert sich der Kurs?

Der Kurs konzentriert sich auf Snort und Suricata und behandelt die Warnung in beiden sowie Blockierungs- und Zulassungslisten.

Welche Fähigkeiten entwickelt dieser Kurs?

Er entwickelt Fähigkeiten in Cyber-Incident-Response, Intrusion-Detection-Systemen, Intrusion-Detection und -Prävention, Intrusion-Prevention-Systemen, Snort und Bedrohungserkennung.

Was werde ich nach Abschluss dieses Kurses tun können?

Am Ende des Kurses können Sie besser auf Cyberbedrohungen in Echtzeit reagieren.