OPNsense/IDS/Verwaltung/Regelwerke: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
VisuellWikitext
K Textersetzung - „  “ durch „ “
 
(72 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
== Abuse.ch ==
== Beschreibung ==
[[File:opnSenseEinbruchserkennungVerwaltungHerunterladen.png|mini|500px]]
[[File:opnSenseEinbruchserkennungVerwaltungHerunterladen.png|mini|400px]]
[https://abuse.ch/ Abuse.ch] bietet verschiedene Blacklists zum Schutz vor betrügerischen Netzwerken an.
{| class="wikitable sortable options"
{| class="wikitable sortable options"
|-
|-
! Regelwerk !! Beschreibung
! Option !! Beschreibung
|-
|-
| abuse.ch/Feodo Tracker || https://feodotracker.abuse.ch/blocklist/
| [[#Emerging_Threats | Emerging Threats]] || Allgemein
|-
|-
| abuse.ch/SSL Fingerprint Blacklist ||  
| [[#Abuse.ch|Abuse.ch]] || Betrügerische Netzwerke
|-
|-
| abuse.ch/SSL IP Blacklist ||  
| [[#App-Erkennung|App-Erkennung]] || Web-Anwendungen
|}
 
== Emerging Threats ==
; Vielzahl von IDS/IPS-Regelsätzen
* https://doc.emergingthreats.net/bin/view/Main/AboutEmergingThreats
 
; Versionen
{| class="wikitable options"
|-
|-
| abuse.ch/ThreatFox ||
! Version !! Beschreibung
|-
|-
| abuse.ch/URLhaus ||  
| ET Open || frei, BSD-lizenziert
|-
| ET Pro Telemetrie || kostenpflichtig
|}
|}
=== SSL Blacklist ===
Die ''SSL Blacklist'' (SSLBL) ist ein Projekt, das von abuse.ch unterhalten wird.
* Ziel ist es, eine Liste von "schlechten" SSL-Zertifikaten bereitzustellen, die von abuse.ch mit Malware oder Botnetz-Aktivitäten in Verbindung gebracht werden.
* SSLBL stützt sich auf SHA1-Fingerprints von bösartigen SSL-Zertifikaten und bietet verschiedene Blacklists an.
Siehe für Details: [https://sslbl.abuse.ch/ https://sslbl.abuse.ch/]
=== Feodo Tracker ===
Feodo (auch bekannt als Cridex oder Bugat) ist ein Trojaner, der dazu verwendet wird, Bankbetrug zu begehen und vertrauliche Informationen vom Computer des Opfers zu stehlen, z. B. Kreditkartendaten oder Anmeldeinformationen.
; Derzeit verfolgt Feodo Tracker vier Versionen von Feodo, die von Feodo Tracker als Version A, Version B, Version C und Version D bezeichnet werden:
* '''Version A''' ''Wird auf kompromittierten Webservern gehostet, auf denen ein nginx-Proxy an Port 8080 TCP läuft, der den gesamten Botnet-Verkehr an einen Tier-2-Proxy-Knoten weiterleitet.
** Der Botnet-Verkehr trifft in der Regel direkt auf diese Hosts an Port 8080 TCP, ohne einen Domänennamen zu verwenden.''
* '''Version B''' ''Wird auf Servern gehostet, die von Cyberkriminellen ausschließlich zum Hosten eines Feodo-Botnet-Controllers gemietet und betrieben werden.
** Nutzt in der Regel einen Domänennamen innerhalb der ccTLD .ru.
** Der Botnet-Verkehr erfolgt in der Regel über den TCP-Port 80.
* '''Version C''' '' Nachfolger von Feodo, völlig anderer Code.
** '''Version C''' wird auf derselben Botnet-Infrastruktur wie Version A gehostet (kompromittierte Webserver, nginx auf Port 8080 TCP oder Port 7779 TCP, keine Domänennamen), verwendet aber eine andere URL-Struktur.
** Diese Version ist auch unter den Namen Geodo und Emotet bekannt.''
* '''Version D''' '''Nachfolger von Cridex.
** Diese Version ist auch als Dridex bekannt''
Siehe für Details: [https://feodotracker.abuse.ch/ https://feodotracker.abuse.ch/]
=== URLHaus-Liste ===
OPNsense Version 18.1.7 führte die URLHaus Liste von abuse.ch ein, die kompromittierte Seiten sammelt, die Malware verbreiten.
Siehe für Details: [https://urlhaus.abuse.ch/ https://urlhaus.abuse.ch/]
== Emerging Threats ==
; [https://doc.emergingthreats.net/bin/view/Main/AboutEmergingThreats Emerging Threats] (ET) verfügt über eine Vielzahl von IDS/IPS-Regelsätzen.
* Es gibt eine freie, BSD-lizenzierte Version und eine kostenpflichtige Version


=== ET Open ===
=== ET Open ===
; Das ETOpen Ruleset ist ''nicht'' ein Full-Coverage Ruleset
; OPNsense etnhält standarmäßig die ET Open-Regeln
* kann für viele regulierte Umgebungen nicht ausreichend sein
* sollte daher nicht als eigenständiges Ruleset verwendet werden
 
OPNsense hat eine integrierte Unterstützung für ETOpen-Regeln.
* Für Details und Richtlinien siehe: [http://doc.emergingthreats.net/bin/view/Main/EmergingFAQ http://doc.emergingthreats.net/bin/view/Main/EmergingFAQ]
* Für die Dokumentation der Regeln: [http://doc.emergingthreats.net/ http://doc.emergingthreats.net/]
 
=== ETPro Telemetrie ===
; Proofpoint bietet eine kostenlose Alternative für den bekannten [https://docs.opnsense.org/manual/etpro_telemetry.html ET Pro Telemetry edition] Regelsatz.


{| class="wikitable sortable options"
{| class="wikitable sortable options"
Zeile 66: Zeile 33:
!  Regelwerk !! Beschreibung
!  Regelwerk !! Beschreibung
|-
|-
| ET open/botcc || https://doc.emergingthreats.net/bin/view/Main/EmergingFAQ
| botcc || https://doc.emergingthreats.net/bin/view/Main/EmergingFAQ
|-
|-
| ET open/botcc.portgrouped ||  
| botcc.portgrouped ||  
|-
|-
| ET open/ciarmy ||  
| ciarmy ||  
|-
|-
| ET open/compromised ||  
| compromised ||  
|-
|-
| ET open/drop ||  
| drop ||  
|-
|-
| ET open/dshield ||  
| dshield ||  
|-
|-
| ET open/emerging-activex ||  
| emerging-activex ||  
|-
|-
| ET open/emerging-adware_pup ||  
| emerging-adware_pup ||  
|-
|-
| ET open/emerging-attack_response ||  
| emerging-attack_response ||  
|-
|-
| ET open/emerging-chat ||  
| emerging-chat ||  
|-
|-
| ET open/emerging-coinminer ||  
| emerging-coinminer ||  
|-
|-
| ET open/emerging-current_events ||  
| emerging-current_events ||  
|-
|-
| ET open/emerging-deleted ||  
| emerging-deleted ||  
|-
|-
| ET open/emerging-dns ||  
| emerging-dns ||  
|-
|-
| ET open/emerging-dos ||  
| emerging-dos ||  
|-
|-
| ET open/emerging-exploit ||  
| emerging-exploit ||  
|-
|-
| ET open/emerging-exploit_kit ||  
| emerging-exploit_kit ||  
|-
|-
| ET open/emerging-ftp ||  
| emerging-ftp ||  
|-
|-
| ET open/emerging-games ||  
| emerging-games ||  
|-
|-
| ET open/emerging-hunting ||  
| emerging-hunting ||  
|-
|-
| ET open/emerging-icmp ||  
| emerging-icmp ||  
|-
|-
| ET open/emerging-icmp_info ||  
| emerging-icmp_info ||  
|-
|-
| ET open/emerging-imap ||  
| emerging-imap ||  
|-
|-
| ET open/emerging-inappropriate ||  
| emerging-inappropriate ||  
|-
|-
| ET open/emerging-info ||  
| emerging-info ||  
|-
|-
| ET open/emerging-ja3 ||  
| emerging-ja3 ||  
|-
|-
| ET open/emerging-malware ||  
| emerging-malware ||  
|-
|-
| ET open/emerging-misc ||  
| emerging-misc ||  
|-
|-
| ET open/emerging-mobile_malware ||  
| emerging-mobile_malware ||  
|-
|-
| ET open/emerging-netbios ||  
| emerging-netbios ||  
|-
|-
| ET open/emerging-p2p ||  
| emerging-p2p ||  
|-
|-
| ET open/emerging-phishing ||  
| emerging-phishing ||  
|-
|-
| ET open/emerging-policy ||  
| emerging-policy ||  
|-
|-
| ET open/emerging-pop3 ||  
| emerging-pop3 ||  
|-
|-
| ET open/emerging-rpc ||  
| emerging-rpc ||  
|-
|-
| ET open/emerging-scada ||  
| emerging-scada ||  
|-
|-
| ET open/emerging-scan ||  
| emerging-scan ||  
|-
|-
| ET open/emerging-shellcode ||  
| emerging-shellcode ||  
|-
|-
| ET open/emerging-smtp ||  
| emerging-smtp ||  
|-
|-
| ET open/emerging-snmp ||  
| emerging-snmp ||  
|-
|-
| ET open/emerging-sql ||  
| emerging-sql ||  
|-
|-
| ET open/emerging-telnet ||  
| emerging-telnet ||  
|-
|-
| ET open/emerging-tftp ||  
| emerging-tftp ||  
|-
|-
| ET open/emerging-user_agents ||  
| emerging-user_agents ||  
|-
|-
| ET open/emerging-voip ||  
| emerging-voip ||  
|-
|-
| ET open/emerging-web_client ||  
| emerging-web_client ||  
|-
|-
| ET open/emerging-web_server ||  
| emerging-web_server ||  
|-
|-
| ET open/emerging-web_specific_apps ||  
| emerging-web_specific_apps ||  
|-
|-
| ET open/emerging-worm ||  
| emerging-worm ||  
|-
|-
| ET open/tor ||  
| tor ||  
|}
|}


== Regeln zur App-Erkennung ==
; Details und Richtlinien
Mit OPNsense 18.1.11 wurde das Regelwerk zur App-Erkennung eingeführt.
* http://doc.emergingthreats.net/bin/view/Main/EmergingFAQ
* Da etwa 80 Prozent des Datenverkehrs Webanwendungen sind, konzentrieren sich diese Regeln auf das Blockieren von Webdiensten und den dahinter stehenden URLs.
 
; Dokumentation der Regeln
* http://doc.emergingthreats.net
 
=== ET Pro Telemetrie ===
 
== Abuse.ch ==
; Blacklists zum Schutz vor betrügerischen Netzwerken
* https://abuse.ch


{| class="wikitable sortable options"
{| class="wikitable sortable options"
Zeile 175: Zeile 150:
!  Regelwerk !! Beschreibung
!  Regelwerk !! Beschreibung
|-
|-
| OPNsense-App-detect/file-transfer || https://github.com/opnsense/rules
| Feodo Tracker || https://feodotracker.abuse.ch/blocklist/
|-
| SSL Fingerprint Blacklist ||
|-
|-
| OPNsense-App-detect/mail ||  
| SSL IP Blacklist ||  
|-
|-
| OPNsense-App-detect/media-streaming ||  
| ThreatFox ||  
|-
|-
| OPNsense-App-detect/messaging ||  
| URLhaus ||  
|}
 
=== Feodo Tracker ===
; Feodo ist ein Trojaner
* auch bekannt als Cridex oder Bugat
* Bankbetrug und Diebstahl von Informationen
** z. B. Kreditkartendaten oder Anmeldeinformationen
 
; Versionen
{| class="wikitable sortable options"
|-
|-
| OPNsense-App-detect/social-networking ||
! Version !! Beschreibung
|-
|-
| OPNsense-App-detect/test ||
| Version A || Wird auf kompromittierten Webservern gehostet
* auf denen ein nginx-Proxy an Port 8080 TCP läuft
* der den gesamten Botnet-Verkehr an einen Tier-2-Proxy-Knoten weiterleitet
* Der Botnet-Verkehr trifft in der Regel direkt auf diese Hosts an Port 8080 TCP, ohne einen Domänennamen zu verwenden
|-
|-
| OPNsense-App-detect/uncategorized ||  
| Version B || Wird auf Servern gehostet, die von Cyberkriminellen ausschließlich zum Hosten eines Feodo-Botnet-Controllers betrieben werden
* Nutzt in der Regel einen Domänennamen innerhalb der ccTLD .ru
* Der Botnet-Verkehr erfolgt in der Regel über den TCP-Port 80
|-
| Version C || Nachfolger von Feodo, völlig anderer Code
* wird auf derselben Botnet-Infrastruktur wie Version A gehostet, verwendet aber eine andere URL-Struktur
* Diese Version ist auch unter den Namen Geodo und Emotet bekannt
|-
| Version D || Nachfolger von Cridex
* Diese Version ist auch als Dridex bekannt
|}
|}


Wenn Sie zu dem Regelsatz beitragen wollen, sehen Sie unter: [https://github.com/opnsense/rules https://github.com/opnsense/rules]
Siehe https://feodotracker.abuse.ch/


= TMP =
=== SSL Blacklist ===
== Download von Regelwerken ==
; Liste von "schlechten" SSL-Zertifikaten
[[Datei:OPNsenseIdsVerwaltungHerunterladen.png|alternativtext=OPNsenseIdsVerwaltungHerunterladen|mini|500px]]
* Von ''abuse.ch'' als mit Malware oder Botnetz identifiziert
* Stützt sich auf SHA1-Fingerprints von bösartigen SSL-Zertifikaten und bietet verschiedene Blacklists an


; Mit den in [[]] durchgeführten Einstellungen ist das IPS bereits aktiv
Siehe https://sslbl.abuse.ch
* allerdings fehlen nun noch die Muster (Pattern), mit denen das IPS die Angriffe erkennen kann
* Diese sind in Regelwerken angeordnet
* Ein Regelwerken enthält mehrere Regeln, die auf Mustern basieren


; Grundsätzlich sucht man sich seine gewünschten Regelwerke aus, klickt auf „enable selected“ und dann auf „download & update rules“
=== URLHaus ===
; Sammelt kompromittierte Seiten, die Malware verbreiten


; Nur notwendige Regelwerke  benötigten Regelwerke zu aktivieren
; Weitere Informationen
* https://urlhaus.abuse.ch


; Wir empfehlen dringend, nur die benötigten Regelwerke zu aktivieren
== App-Erkennung ==
* Das schont den RAM, die CPU sowie die Performance
; Blockieren von Webdiensten
* Wer also FTP und Telnet gar nicht mehr im Netzwerk verwendet, muss diese Regelwerke gar nicht herunterladen
* + entsprechenden URLs
* Diese Patterns müssen daher auch nicht mit Traffic abgeglichen werden, was der Performance zugutekommt
; 80 Prozent des Datenverkehrs sind Webanwendungen!


; OPNsense-App-detect
{| class="wikitable sortable options"
|-
!  Regelwerk !! Beschreibung
|-
| file-transfer ||
|-
| mail ||
|-
| media-streaming ||
|-
| messaging ||
|-
| social-networking ||
|-
| test ||
|-
| uncategorized ||
|}


; Nachdem die Regelwerke herunterladen wurden, erscheint das Download-Datum unter „last updated“
; Weitere Informationen
* Die nicht ausgewählten Regelwerke führen zu einem das „x“ und weisen auch „not installed“ als Download-Datum aus
* https://github.com/opnsense/rules
 
=== Regelsätze herunterladen ===
; Wenn IDS/IPS zum ersten Mal aktiviert wird, ist das System ohne Regeln zur Erkennung oder Blockierung von bösartigem Datenverkehr aktiv.
* Die Registerkarte "Download" enthält alle auf dem System verfügbaren Regelsätze (die durch Plugins erweitert werden können).
 
; In diesem Abschnitt finden Sie eine Liste der Regelsätze, die von verschiedenen Parteien zur Verfügung gestellt werden, und wann (falls installiert) sie zuletzt auf das System heruntergeladen wurden.
* In früheren Versionen (vor 21.1) konnten Sie hier einen "Filter" auswählen, um das Standardverhalten der installierten Regeln von Warnung auf Blockierung zu ändern.
* Ab 21.1 wird diese Funktionalität von '''Policies''' abgedeckt, einer separaten Funktion innerhalb des IDS/IPS-Moduls, die eine feinere Kontrolle über die Regelsätze bietet.
 
; Anmerkung
: Bei der Migration von einer Version vor 21.1 werden die Filter von der Seite '''Regelsätze herunterladen''' automatisch in Richtlinien migriert.
 
=== Herunterladen und Aktivieren von Regelsätzen ===
; Gehen Sie auf die Registerkarte "Download" und klicken Sie auf die Kontrollkästchen neben den einzelnen Regelsätzen, die Sie aktivieren möchten.
* In diesem Beispiel habe ich mehrere Regelsätze ausgewählt.
 
; Wenn Sie alle Regelsätze ausgewählt haben, klicken Sie auf die Schaltfläche "Ausgewählte aktivieren", um die Regelsätze zu aktivieren.
* Sie sollten ein Häkchen neben den aktivierten Regelsätzen sehen.
 
; Klicken Sie dann auf die Schaltfläche "Regeln herunterladen und aktualisieren", um die Regeln abzurufen.
* Neben den installierten Regeln sehen Sie das Datum des letzten Downloads.


[[Kategorie:OPNsense/IDS/Verwaltung]]
[[Kategorie:OPNsense/IDS]]

Aktuelle Version vom 28. Mai 2023, 12:38 Uhr

Beschreibung

Option Beschreibung
Emerging Threats Allgemein
Abuse.ch Betrügerische Netzwerke
App-Erkennung Web-Anwendungen

Emerging Threats

Vielzahl von IDS/IPS-Regelsätzen
Versionen
Version Beschreibung
ET Open frei, BSD-lizenziert
ET Pro Telemetrie kostenpflichtig

ET Open

OPNsense etnhält standarmäßig die ET Open-Regeln
Regelwerk Beschreibung
botcc https://doc.emergingthreats.net/bin/view/Main/EmergingFAQ
botcc.portgrouped
ciarmy
compromised
drop
dshield
emerging-activex
emerging-adware_pup
emerging-attack_response
emerging-chat
emerging-coinminer
emerging-current_events
emerging-deleted
emerging-dns
emerging-dos
emerging-exploit
emerging-exploit_kit
emerging-ftp
emerging-games
emerging-hunting
emerging-icmp
emerging-icmp_info
emerging-imap
emerging-inappropriate
emerging-info
emerging-ja3
emerging-malware
emerging-misc
emerging-mobile_malware
emerging-netbios
emerging-p2p
emerging-phishing
emerging-policy
emerging-pop3
emerging-rpc
emerging-scada
emerging-scan
emerging-shellcode
emerging-smtp
emerging-snmp
emerging-sql
emerging-telnet
emerging-tftp
emerging-user_agents
emerging-voip
emerging-web_client
emerging-web_server
emerging-web_specific_apps
emerging-worm
tor
Details und Richtlinien
Dokumentation der Regeln

ET Pro Telemetrie

Abuse.ch

Blacklists zum Schutz vor betrügerischen Netzwerken
Regelwerk Beschreibung
Feodo Tracker https://feodotracker.abuse.ch/blocklist/
SSL Fingerprint Blacklist
SSL IP Blacklist
ThreatFox
URLhaus

Feodo Tracker

Feodo ist ein Trojaner
  • auch bekannt als Cridex oder Bugat
  • Bankbetrug und Diebstahl von Informationen
    • z. B. Kreditkartendaten oder Anmeldeinformationen
Versionen
Version Beschreibung
Version A Wird auf kompromittierten Webservern gehostet
  • auf denen ein nginx-Proxy an Port 8080 TCP läuft
  • der den gesamten Botnet-Verkehr an einen Tier-2-Proxy-Knoten weiterleitet
  • Der Botnet-Verkehr trifft in der Regel direkt auf diese Hosts an Port 8080 TCP, ohne einen Domänennamen zu verwenden
Version B Wird auf Servern gehostet, die von Cyberkriminellen ausschließlich zum Hosten eines Feodo-Botnet-Controllers betrieben werden
  • Nutzt in der Regel einen Domänennamen innerhalb der ccTLD .ru
  • Der Botnet-Verkehr erfolgt in der Regel über den TCP-Port 80
Version C Nachfolger von Feodo, völlig anderer Code
  • wird auf derselben Botnet-Infrastruktur wie Version A gehostet, verwendet aber eine andere URL-Struktur
  • Diese Version ist auch unter den Namen Geodo und Emotet bekannt
Version D Nachfolger von Cridex
  • Diese Version ist auch als Dridex bekannt

Siehe https://feodotracker.abuse.ch/

SSL Blacklist

Liste von "schlechten" SSL-Zertifikaten
  • Von abuse.ch als mit Malware oder Botnetz identifiziert
  • Stützt sich auf SHA1-Fingerprints von bösartigen SSL-Zertifikaten und bietet verschiedene Blacklists an

Siehe https://sslbl.abuse.ch

URLHaus

Sammelt kompromittierte Seiten, die Malware verbreiten
Weitere Informationen

App-Erkennung

Blockieren von Webdiensten
  • + entsprechenden URLs
80 Prozent des Datenverkehrs sind Webanwendungen!
OPNsense-App-detect
Regelwerk Beschreibung
file-transfer
mail
media-streaming
messaging
social-networking
test
uncategorized
Weitere Informationen
Abgerufen von „https://wiki.foxtom.de/index.php?title=OPNsense/IDS/Verwaltung/Regelwerke&oldid=71286“