Реализация IDS/IPS системы на Mikrotik + Suricata

Помогаем в Telegram: @MikTrain (t.me/miktrain)
====ОПИСАНИЕ ВЕБИНАРА====
На конференции Mikrotik я выступал с темой реализации системы безопасности по типу IDS/IPS с помощью Suricata, которая будет интегрирована с Mikrotik.
Файлы для настройки: bit.ly/2zOPq8f
Презентация: bit.ly/2RnUzL0
Консультации и помощь по MikroTik в нашем Telegram-канале: t.me/miktrain

[@deus2583]

Спасибо, Роман 👍👍

[@agelo1006]

Роман ,поставил Selks.iso 5 версии. Зазеркалил трафик на микроте через switch на вход selks - в scirus только фиксируются трафик исходящий с selks :(

[@gatall]

Стoлкнулся с постоянно растущим TCP reassembly gaps. У всех Суриката работает нормально? System status/Problem. Куда копать?

[@ilya8304]

Роман подскажите аналог такой системы из платных решений.

[@fghtresvbjy543]

любой L7 фаервол хардварный. Fortinet\Cisco ASA Firepower\Palo-Alto . Если не нравится железка - можно взять виртуалку и поставть рядом

[@igor_haib1579]

Avast не плохо делают, советую присмотреться

[@PalamarSat]

Подскажите пожалуйста требуется замена L3 свича,стоит выбор между CRS328-4C-20S-4S+RM и CRS317-1G-16S+RM какой лучше взять?

[@MikrotikTraining]

Они по конфигурации портов разные

[@user-qg6gy4cn3j]

Что Вы имеете ввиду,по конфигурации портов разные?

[@PalamarSat]

какой лучше взять?Не понял что Вы имелм ввиду по конфигурации портов?

[@MikrotikTraining]

16 портов sfp+ против 24 порта Gigabit etherner. Это разные свичи, как по количеству портов, так и по их подключению медь vs оптика. Сходите на сайт mikrotik.com/products - там все подробно расписано.

[@PalamarSat]

Вы ничего не перепутали?Первый тоже почти весь sfp.

[@bubuyom]

Уже неделю долбусь с этим, перепробывал разные варианты, на ESXI SELKS5 и SELKS6 через tzsp2pcap -f | suricata -c /etc/suricata/suricata.yaml --runmode autofp -v -r /dev/stdin трафик идет и суриката анализирует, но работает до определенного момента и зависает все, то есть как бі все работает и запущено, даже eve.json что то идет, а вот fast.log молчит и в EveBox тишина, надо руками перезапускать. Через /usr/bin/tzsp2pcap -f -s 2900 | /usr/bin/tcpreplay --topspeed -i eth10 - вообще лажа, трафик идет на инетрфейс eth10 и он же указан в сурикате, только вот никакого анализа не происходит, да и в консоль сыпеться постоянно Warning in flows.c:flow_decode() line 260: Unable to process unsupported DLT type: 802.11 plus radiotap header (0x7f) Одним словом жуть. Мне нужно запустить его хоть как то, что бы оно работало и анализировало, как перезапускать процесс для профилактики раз в 2 часа так же не могу придумать пока. Микротик кстати CCR1036-12G-4S в нем нет свитча и зеркалирования :/

[@DarkenTwin]

Господа. Подскажите что может быть не так с импортом логов в Микротик? fastmikrotik.php запускается, но ни чего не происходит, даже попытки обращения к API. Конфиг поправлен. Ошибок не выдает.

[@gatall]

Там рядом должен еще лежать routeros_api.class.php у меня ругается на разные строки... не могу пока побороть

[@DarkenTwin]

@@gatall про API это понятно. У нас просто не работает. Я плюнул и переписал все на python. около 50 строк кода и всего один файл.

[@gatall]

@@DarkenTwin если не трудно выложите код где-нибудь, а то у меня если и запускается тоже ничего не проиходит, на разные строки ругается (в зависbмости от версии routeros_api.class.php)

[@DarkenTwin]

@@gatall Оттестируем - выложу.

[@gatall]

@@DarkenTwin Сегодня заработало, лоханулся что закольцевал сеть виртуальным интерфейсом с ip из моей сети. Сменил в скрипте на левый ip и заработало. Теперь только вопрос, как чистить то, что отправляется в блок микротика, а то утечка dns от xiaomi банит 8.8.8.8, да и другие нужные ip, предварительно их whitelистить в firewall или ну сурикате правила перепроверять.

[@levzeya89]

Причем на 11.20

[@S1ipkn0t]

Ids и fw - это по сути разные комплексы, имеющие разный функционал, даже противоположный по сути. При целостной системе безопасности - это сегрегация между ними, с кучей идей и правил по раскрутке состояния и анализа атаки. Они често мешают друг-другу в реальных ситуациях. И вообще - идс без понимания процесса ломки бессмысленен. Это как у той лисы, морда которой застряла в силке и поэтому ее ебут всем лесом. IPS - да, есть смысл, но при условии подписки у серьезной компании на обновления сигнатур. ИМХО

[@UraGagarin1961]

😂😂😂😂😂😂

[@S1ipkn0t]

@@UraGagarin1961 , чо именно поэтому желательно миррорить порт до fw, чтобы перенаправить его в ids/ips?

[@user-xb3of1qv6s]

Бесит . Когда чавкает и пьет чай