Snort Suricata ile IDS/IPS Kullanımı Windows ve Linux Senaryoları

Snort ve Suricata ile IDS/IPS Kullanımı: Windows ve Linux Senaryoları

Giriş (Ön Bilgi)

Siber güvenlik tehditlerinin giderek karmaşık hale gelmesiyle birlikte ağ tabanlı saldırı tespit sistemleri (IDS) ve saldırı önleme sistemleri (IPS) kritik bir rol oynamaktadır. IDS/IPS sistemleri, ağ trafiğini analiz ederek zararlı aktiviteleri tespit eder ve engeller. Snort ve Suricata, açık kaynaklı IDS/IPS çözümleri arasında en yaygın kullanılan araçlardır. Bu makalede, Snort ve Suricata'nın Windows ve Linux işletim sistemlerinde nasıl kullanılabileceği detaylandırılacaktır.

1. IDS ve IPS Nedir?

Intrusion Detection System (IDS): Ağ veya sistemde şüpheli aktiviteleri tespit eden ancak müdahale etmeyen sistemdir. IDS, genellikle saldırı kayıtlarını tutar ve yöneticilere uyarı gönderir.

Intrusion Prevention System (IPS): IDS'ye ek olarak saldırıları aktif olarak engelleyen sistemdir. IPS, belirli kurallar doğrultusunda şüpheli trafiği engelleyebilir veya bloke edebilir.

Snort ve Suricata, hem IDS hem de IPS modunda çalışabilen iki güçlü açık kaynaklı güvenlik aracıdır.

2. Snort ve Suricata: Genel Karşılaştırma

Snort daha uzun süredir piyasada olduğu için geniş bir kullanıcı topluluğuna sahiptir. Suricata ise daha modern, yüksek performanslı ve çok çekirdek desteği sayesinde daha hızlıdır.

3. Windows Üzerinde Snort Kullanımı

Windows sistemlerde Snort kullanmak için şu adımlar izlenmelidir:

3.1 Snort Kurulumu

1. Snort'un resmi sitesinden (https://www.snort.org/) Windows sürümünü indirin.
2. WinPcap veya Npcap yükleyin. Snort'un ağ trafiğini analiz edebilmesi için bu bileşenlere ihtiyacı vardır.
3. Snort'u C:\Snort dizinine yükleyin ve PATH değişkenine ekleyin.

3.2 Snort Yapılandırması

• snort.conf dosyasında ağ arayüzü (interface) ve kurallar (rules) belirlenmelidir.
• Örnek Snort kuralı:

  alert icmp any any -> any any (msg:"ICMP Ping Tespiti"; sid:1000001; rev:1;)
  

  Bu kural, ICMP protokolü üzerinden gelen ping paketlerini algılar ve uyarı oluşturur.

3.3 Snort'un Çalıştırılması

IDS modunda çalıştırmak için:

snort -i 1 -c C:\Snort\etc\snort.conf -A console

IPS modunda çalıştırmak için (pfSense veya Snort Inline ile birlikte):

snort -Q --daq-dir=c:\Snort\lib\daq --daq afpacket -c C:\Snort\etc\snort.conf

4. Windows Üzerinde Suricata Kullanımı

Windows ortamında Suricata kullanımı Snort'a benzer olsa da, performans açısından avantaj sağlar.

4.1 Suricata Kurulumu

1. Suricata’nın Windows sürümünü (https://suricata.io/) indirin ve yükleyin.
2. Npcap veya WinPcap yükleyin.
3. Suricata’yı PATH değişkenine ekleyin.

4.2 Suricata Yapılandırması

• suricata.yaml dosyasında ağ arayüzü ve kurallar belirlenmelidir.
• Örnek Suricata kuralı:

  alert http any any -> any any (msg:"HTTP GET isteği tespit edildi"; flow:to_server,established; content:"GET"; nocase; sid:1000002; rev:1;)
  

  Bu kural, HTTP GET isteklerini algılayarak uyarı üretir.

4.3 Suricata’nın Çalıştırılması

IDS modunda çalıştırmak için:

suricata -c C:\Suricata\suricata.yaml -i 1

IPS modunda çalıştırmak için:

suricata -c C:\Suricata\suricata.yaml --af-packet

5. Linux Üzerinde Snort ve Suricata Kullanımı

Linux üzerinde IDS/IPS sistemleri genellikle sunucu ortamlarında kurulur.

5.1 Snort Linux Kurulumu

1. Ubuntu için Gerekli Paketleri Yükleyin:

   sudo apt update && sudo apt install snort
   

2. Snort Konfigürasyonu:

   sudo nano /etc/snort/snort.conf
   

3. IDS Olarak Çalıştırma:

   sudo snort -A console -i eth0 -c /etc/snort/snort.conf
   

5.2 Suricata Linux Kurulumu

1. Ubuntu için Kurulum:

   sudo apt update && sudo apt install suricata
   

2. Konfigürasyon Dosyasını Güncelleyin:

   sudo nano /etc/suricata/suricata.yaml
   

3. Suricata’yı Çalıştırma:

   sudo suricata -c /etc/suricata/suricata.yaml -i eth0
   

IPS modunda çalıştırmak için:

sudo suricata -c /etc/suricata/suricata.yaml --af-packet

6. Sonuç

Snort ve Suricata, hem Windows hem de Linux ortamlarında IDS/IPS olarak etkili bir şekilde kullanılabilir. Snort, uzun yıllardır güvenlik uzmanlarının tercih ettiği bir çözüm olup, geniş bir topluluk desteğine sahiptir. Suricata ise yüksek performanslı ve modern bir çözüm sunarak özellikle büyük ağ ortamlarında daha verimli çalışmaktadır.

Kurumsal ve bireysel güvenlik çözümleri geliştirirken, işletim sistemine ve kullanım senaryosuna uygun IDS/IPS çözümünü seçmek büyük önem taşır. Bu makalede anlatılan adımlarla, Snort ve Suricata'yı etkili bir şekilde kullanarak ağ güvenliğinizi güçlendirebilirsiniz.

Tekno Gen TR - Siber Güvenlik

---
Bilgi: 

Ak.Web.TR

Siber Güvenlik alanında uzmanlaşmak isteyenler, Ak.Web.TR Sitesini ziyaret edebilirler.

7. Kaynak: (TekNo.Gen.TR)

Bu doküman, platformumuzun uzman editörleri tarafından özenle hazırlanarak titizlikle derlenmiştir. İçerik, alanında deneyimli profesyonellerin katkılarıyla, en güncel bilgilere ve kaynaklara dayanarak oluşturulmuştur. 

Tekno Gen TR

TekNo.Gen.TR