2021년 최고의 무료 침입 탐지 소프트웨어

보안은 뜨거운 주제이며 꽤 오래전부터 있었습니다. 수년 전, 바이러스는 시스템 관리자의 유일한 관심사였습니다. 바이러스는 너무나 흔해서 놀라운 범위의 바이러스 예방 도구를 개발했습니다. 오늘날에는 보호되지 않는 컴퓨터를 실행하는 것을 생각하는 사람은 거의 없습니다. 그러나 컴퓨터 침입 또는 악의적인 사용자가 데이터에 무단으로 액세스하는 것은 "위협"입니다. 네트워크는 데이터에 액세스하기 위해 많은 노력을 기울이는 수많은 악의적인 해커의 표적이 되었습니다. 이러한 유형의 위협에 대한 최선의 방어는 침입 탐지 또는 방지 시스템입니다. 오늘 우리는 최고의 무료 침입 탐지 도구 10가지를 검토하고 있습니다.

시작하기 전에 먼저 사용 중인 다양한 침입 탐지 방법에 대해 논의합니다. 침입자가 네트워크에 침입할 수 있는 많은 방법이 있는 것처럼 침입자를 탐지하는 방법도 그만큼 많습니다. 그런 다음 침입 감지 시스템의 두 가지 주요 범주인 네트워크 침입 감지와 호스트 침입 감지에 대해 논의합니다. 계속하기 전에 침입 감지와 침입 방지의 차이점에 대해 설명하겠습니다. 마지막으로 우리가 찾을 수 있는 최고의 무료 침입 탐지 도구 10가지에 대한 간략한 검토를 제공합니다.

침입 탐지 방법

침입 시도를 탐지하는 데 기본적으로 두 가지 다른 방법이 사용됩니다. 서명 기반 또는 비정상 기반일 수 있습니다. 그들이 어떻게 다른지 봅시다. 서명 기반 침입 탐지는 침입 시도와 관련된 특정 패턴에 대한 데이터를 분석하여 작동합니다. 이는 바이러스 정의에 의존하는 기존의 안티바이러스 시스템과 다소 비슷합니다. 이러한 시스템은 데이터를 침입 서명 패턴과 비교하여 시도를 식별합니다. 주요 단점은 일반적으로 특정 수의 시스템이 공격을 받은 후에 발생하는 적절한 서명이 소프트웨어에 업로드될 때까지 작동하지 않는다는 것입니다.

이상 기반 침입 탐지는 침입 탐지 소프트웨어가 적절한 서명 파일을 획득하기 전에 발생하는 제로 데이 공격에 대해 더 나은 보호를 제공합니다. 알려진 침입 패턴을 인식하려고 시도하는 대신, 이들은 대신 변칙을 찾습니다. 예를 들어, 누군가가 잘못된 암호를 사용하여 시스템에 여러 번 액세스하려고 시도했음을 감지할 수 있습니다. 이는 무차별 대입 공격의 일반적인 징후입니다. 짐작할 수 있듯이 각 탐지 방법에는 장점이 있습니다. 이것이 최고의 도구가 최상의 보호를 위해 두 가지 조합을 사용하는 이유입니다.

두 가지 유형의 침입 탐지 시스템

다른 탐지 방법이 있는 것처럼 침입 탐지 시스템에도 두 가지 주요 유형이 있습니다. 호스트 수준 또는 네트워크 수준에서 침입 탐지가 수행되는 위치에서 대부분 다릅니다. 여기서도 각각의 장점이 있으며 최상의 솔루션 또는 가장 안전한 솔루션은 두 가지를 모두 사용하는 것입니다.

HIDS(호스트 침입 감지 시스템)

첫 번째 유형의 침입 탐지 시스템은 호스트 수준에서 작동합니다. 예를 들어 의심스러운 활동의 징후가 있는지 다양한 로그 파일을 확인할 수 있습니다. 또한 중요한 구성 파일에 무단 변경이 있는지 확인하여 작동할 수도 있습니다. 이것이 비정상 기반 HIDS가 하는 일입니다. 반면에 서명 기반 시스템은 동일한 로그 및 구성 파일을 확인하지만 알려진 특정 침입 패턴을 찾습니다. 예를 들어, 특정 침입 방법은 서명 기반 IDS가 감지할 특정 구성 파일에 특정 문자열을 추가하여 작동하는 것으로 알려져 있습니다.

상상할 수 있듯이 HIDS는 보호할 장치에 직접 설치되므로 모든 컴퓨터에 설치해야 합니다. 그러나 대부분의 시스템에는 애플리케이션의 각 인스턴스를 제어할 수 있는 중앙 콘솔이 있습니다.

네트워크 침입 탐지 시스템(NIDS)

네트워크 침입 탐지 시스템(NIDS)은 네트워크 경계에서 작동하여 탐지를 시행합니다. 호스트 침입 탐지 시스템과 유사한 방법을 사용합니다. 물론 로그 및 구성 파일을 찾는 대신 연결 요청과 같은 네트워크 트래픽을 찾습니다. 일부 침입 방법은 의도적으로 잘못된 패킷을 호스트에 보내 특정 방식으로 반응하도록 하여 취약점을 악용하는 것으로 알려져 있습니다. 네트워크 침입 탐지 시스템은 이를 쉽게 탐지할 수 있습니다.

일부에서는 NIDS가 컴퓨터에 도달하기도 전에 공격을 감지하므로 HIDS보다 낫다고 주장합니다. 또한 컴퓨터를 효과적으로 보호하기 위해 각 컴퓨터에 설치할 필요가 없기 때문에 더 좋습니다. 반면에 불행히도 드물지 않은 내부 공격에 대한 보호 기능은 거의 제공하지 않습니다. 이것은 두 가지 유형의 도구를 조합하여 사용함으로써 최상의 보호를 얻을 수 있는 또 다른 경우입니다.

침입 탐지 대 방지

침입 방지 세계에는 침입 감지 시스템과 침입 방지 시스템이라는 두 가지 장르의 도구가 있습니다. 서로 다른 용도로 사용되지만 두 가지 유형의 도구 간에는 종종 겹치는 부분이 있습니다. 이름에서 알 수 있듯이 침입 탐지는 일반적으로 침입 시도와 의심스러운 활동을 탐지합니다. 그럴 때 일반적으로 일종의 경보 또는 알림을 트리거합니다. 그런 다음 이 시도를 중지하거나 차단하는 데 필요한 조치를 취하는 것은 관리자의 몫입니다.

반면에 침입 방지 시스템은 침입이 발생하지 않도록 차단하는 역할을 합니다. 대부분의 침입 방지 시스템에는 침입 시도가 감지될 때마다 일부 작업을 트리거하는 감지 구성 요소가 포함됩니다. 그러나 침입 방지는 수동적일 수도 있습니다. 이 용어는 침입을 방지하기 위해 수행되는 모든 단계를 나타내는 데 사용할 수 있습니다. 예를 들어 비밀번호 강화와 같은 조치를 생각할 수 있습니다.

최고의 무료 침입 탐지 도구

침입 탐지 시스템은 고가일 수 있습니다. 다행히도 꽤 많은 무료 대안이 있습니다. 우리는 최고의 침입 탐지 소프트웨어 도구에 대해 인터넷을 검색했습니다. 우리는 꽤 많이 찾았고 우리가 찾을 수 있는 최고의 10개를 간단히 검토하려고 합니다.

1. OSSEC

Open Source Security를 ​​나타내는 OSSEC 는 단연 최고의 오픈 소스 호스트 침입 탐지 시스템입니다. OSSEC는 IT 보안의 선두주자 중 하나인 Trend Micro가 소유하고 있습니다. 유닉스 계열 운영 체제에 설치된 소프트웨어는 주로 로그 및 구성 파일에 중점을 둡니다. 중요한 파일의 체크섬을 생성하고 주기적으로 유효성을 검사하여 이상한 일이 발생하면 알려줍니다. 또한 루트 액세스 권한을 얻으려는 이상한 시도를 모니터링하고 포착합니다. Windows에서 시스템은 무단 레지스트리 수정도 감시합니다.

호스트 침입 탐지 시스템인 OSSEC는 보호하려는 각 컴퓨터에 설치해야 합니다. 그러나 보다 쉬운 관리를 위해 보호된 각 컴퓨터의 정보를 단일 콘솔에 통합합니다. 소프트웨어는 유닉스 계열 시스템에서만 실행되지만 에이전트는 Windows 호스트를 보호하는 데 사용할 수 있습니다. 시스템이 무언가를 감지하면 콘솔에 경고가 표시되고 알림이 이메일로 전송됩니다.

2. 콧물

OSSEC가 최고의 오픈 소스 HIDS였던 것처럼 Snort 는 최고의 오픈 소스 NIDS입니다. Snort는 실제로 침입 탐지 도구 이상입니다. 또한 패킷 스니퍼 및 패킷 로거입니다. 그러나 지금 우리가 관심을 갖는 것은 Snort의 침입 탐지 기능입니다. 방화벽과 유사하게 Snort는 규칙을 사용하여 구성됩니다. 기본 규칙은 Snort 웹사이트에서 다운로드하여 특정 요구 사항에 맞게 사용자 지정할 수 있습니다. 또한 Snort 규칙에 가입하여 새로운 위협이 식별됨에 따라 진화하는 최신 규칙을 항상 얻을 수 있도록 할 수 있습니다.

기본 Snort 규칙은 스텔스 포트 스캔, 버퍼 오버플로 공격, CGI 공격, SMB 프로브 및 OS 지문과 같은 다양한 이벤트를 감지할 수 있습니다. Snort 설치가 감지하는 것은 설치한 규칙에 따라 다릅니다. 제공되는 기본 규칙 중 일부는 서명 기반이고 다른 규칙은 비정상 기반입니다. Snort를 사용하면 두 가지 장점을 모두 누릴 수 있습니다.

3. 수리카타

Suricata 는 침입 탐지 및 방지 시스템과 완전한 네트워크 보안 모니터링 생태계로 자신을 광고합니다. Snort에 비해 이 도구의 가장 큰 장점 중 하나는 애플리케이션 계층까지 작동한다는 것입니다. 이를 통해 도구는 여러 패킷으로 분할되어 다른 도구에서 감지할 수 없는 위협을 감지할 수 있습니다.

그러나 Suricata는 애플리케이션 계층에서만 작동하지 않습니다. 또한 TLS, ICMP, TCP 및 UDP와 같은 하위 수준 프로토콜을 모니터링합니다. 이 도구는 또한 HTTP, FTP 또는 SMB와 같은 프로토콜을 이해하고 일반적인 요청에 숨겨진 침입 시도를 감지할 수 있습니다. 관리자가 의심스러운 파일을 직접 검사할 수 있는 파일 추출 기능도 있습니다.

아키텍처 측면에서 Suricata는 매우 잘 만들어졌으며 최고의 성능을 위해 여러 프로세서 코어와 스레드에 작업 부하를 분산합니다. 처리 중 일부를 그래픽 카드로 오프로드할 수도 있습니다. 이것은 그래픽 카드가 대부분 유휴 상태이기 때문에 서버의 훌륭한 기능입니다.

4. 브로 네트워크 보안 모니터

다음 목록은 또 다른 무료 네트워크 침입 탐지 시스템인 Bro Network Security Monitor 라는 제품 입니다. Bro는 트래픽 로깅 및 분석의 두 단계로 운영됩니다. Suricata와 마찬가지로 Bro는 응용 프로그램 계층에서 작동하므로 분할 침입 시도를 더 잘 감지할 수 있습니다. 모든 것이 Bro와 쌍으로 제공되는 것처럼 보이며 해당 분석 모듈은 두 가지 요소로 구성됩니다. 첫 번째는 순 TCP 연결 또는 HTTP 요청과 같은 트리거 이벤트를 추적하는 이벤트 엔진입니다. 그런 다음 이벤트는 경보를 트리거하고 작업을 시작하는지 여부를 결정하는 정책 스크립트에 의해 추가로 분석되어 Bro는 탐지 시스템 외에 침입 방지 기능을 제공합니다.

Bro를 사용하면 HTTP, DNS 및 FTP 활동을 추적하고 SNMP 트래픽을 모니터링할 수 있습니다. SNMP는 네트워크 모니터링에 자주 사용되지만 보안 프로토콜이 아니기 때문에 이것은 좋은 일 입니다. Bro를 사용하면 장치 구성 변경 및 SNMP 트랩도 볼 수 있습니다. Bro는 Unix, Linux 및 OS X에 설치할 수 있지만 Windows에서는 사용할 수 없으며 아마도 주요 단점일 수 있습니다.

5.  WIPS NG 열기

Open WIPS NG 는 주로 무선 네트워크를 대상으로 하는 유일한 제품이기 때문에 목록에 포함되었습니다. WIPS가 Wireless Intrusion Prevention System을 의미하는 Open WIPS NG는 세 가지 주요 구성 요소로 구성된 오픈 소스 도구입니다. 첫째, 무선 트래픽만을 포착하여 분석을 위해 서버로 보내는 덤 디바이스인 센서가 있다. 다음은 서버입니다. 모든 센서의 데이터를 집계하여 수집된 데이터를 분석하여 공격에 대응합니다. 시스템의 핵심입니다. 마지막으로 중요한 것은 서버를 관리하고 무선 네트워크의 위협에 대한 정보를 표시하는 데 사용하는 GUI인 인터페이스 구성 요소입니다.

하지만 모든 사람이 Open WIPS NG를 좋아하는 것은 아닙니다. Aircrack NG와 동일한 개발자의 제품인 경우 모든 WiFi 해커 툴킷의 일부인 무선 패킷 스니퍼 및 암호 크래커입니다. 반면에 그의 배경을 감안할 때 개발자가 Wi-Fi 보안에 대해 꽤 알고 있다고 가정할 수 있습니다.

6.  삼하인

Samhain 은 파일 무결성 검사 및 로그 파일 모니터링/분석을 제공하는 무료 호스트 침입 탐지 시스템입니다. 또한 이 제품은 루트킷 탐지, 포트 모니터링, 악성 SUID 실행 파일 탐지 및 숨겨진 프로세스도 수행합니다. 이 도구는 중앙 집중식 로깅 및 유지 관리를 통해 다양한 운영 체제를 사용하는 여러 시스템을 모니터링하도록 설계되었습니다. 그러나 Samhain은 단일 컴퓨터에서 독립 실행형 응용 프로그램으로 사용할 수도 있습니다. Samhain은 Unix Linux 또는 OS X와 ​​같은 POSIX 시스템에서 실행할 수 있습니다. 해당 구성에서 서버가 아닌 모니터링 에이전트만 테스트했지만 Cygwin의 Windows에서도 실행할 수 있습니다.

Samhain의 가장 독특한 기능 중 하나는 최종 공격자에게 탐지되지 않고 실행할 수 있는 스텔스 모드입니다. 너무 자주 침입자는 자신이 인식하는 탐지 프로세스를 중단하여 눈에 띄지 않게 합니다. Samhain은 스테가노그래피를 사용하여 다른 사람에게 프로세스를 숨깁니다. 또한 변조를 방지하기 위해 PGP 키로 중앙 로그 파일 및 구성 백업을 보호합니다.

7.  페일투밴

Fail2Ban 은 몇 가지 예방 기능도 있는 흥미로운 무료 호스트 침입 탐지 시스템입니다. 이 도구는 로그인 시도 실패, 악용 검색 등과 같은 의심스러운 이벤트에 대한 로그 파일을 모니터링하여 작동합니다. 의심스러운 것을 감지하면 로컬 방화벽 규칙을 자동으로 업데이트하여 악의적인 동작의 소스 IP 주소를 차단합니다. 이것은 도구의 기본 작업이지만 이메일 알림 보내기와 같은 기타 임의 작업을 구성할 수 있습니다.

시스템에는 Apache, Courier, SSH, FTP, Postfix 등과 같은 가장 일반적인 서비스에 대해 다양한 사전 구축 필터가 함께 제공됩니다. 방지는 호스트의 방화벽 테이블을 수정하여 수행됩니다. 이 도구는 Netfilter, IPtables 또는 TCP Wrapper의 hosts.deny 테이블과 함께 작동할 수 있습니다. 각 필터는 하나 이상의 작업과 연관될 수 있습니다. 필터와 작업을 함께 감옥이라고 합니다.

8. 보좌관

AIDE 는 Advanced Intrusion Detection Environment의 약자입니다. 무료 호스트 침입 탐지 시스템은 주로 루트킷 탐지 및 파일 서명 비교에 중점을 둡니다. AIDE를 처음 설치할 때 시스템 구성 파일에서 관리 데이터 데이터베이스를 컴파일합니다. 그런 다음 이것은 변경 사항을 비교할 수 있는 기준선으로 사용되며 필요한 경우 결국 롤백됩니다.

AIDE는 시그니처 기반 및 비정상 기반 분석을 모두 사용하며 주문형으로 실행되며 예약되거나 지속적으로 실행되지 않습니다. 이것이 실제로 이 제품의 주요 단점입니다. 그러나 AIDE는 명령줄 도구이며 CRON 작업을 만들어 정기적으로 실행할 수 있습니다. 그리고 1분 정도와 같이 매우 자주 실행하면 준실시간 데이터를 얻을 수 있습니다. AIDE의 핵심은 데이터 비교 도구일 뿐입니다. 진정한 HIDS로 만들려면 외부 스크립트를 만들어야 합니다.

9.  시큐리티 어니언

Security Onion 은 많은 시간을 절약할 수 있는 흥미로운 야수입니다. 이것은 단순한 침입 탐지 또는 방지 시스템이 아닙니다. Security Onion은 침입 탐지, 엔터프라이즈 보안 모니터링 및 로그 관리에 중점을 둔 완전한 Linux 배포판입니다. 여기에는 많은 도구가 포함되어 있으며 그 중 일부는 방금 검토했습니다. 예를 들어 Security Onion에는 Elasticsearch, Logstash, Kibana, Snort, Suricata, Bro, OSSEC, Sguil, Squert, NetworkMiner 등이 있습니다. 이 모든 것이 사용하기 쉬운 설정 마법사와 함께 제공되므로 몇 분 안에 조직을 보호할 수 있습니다. Security Onion은 엔터프라이즈 IT 보안의 스위스 군용 칼이라고 생각할 수 있습니다.

이 도구의 가장 흥미로운 점은 한 번의 설치로 모든 것을 얻을 수 있다는 것입니다. 그리고 네트워크 및 호스트 침입 탐지 도구를 모두 얻을 수 있습니다. 서명 기반 접근 방식을 사용하는 도구와 비정상 기반 접근 방식을 사용하는 도구가 있습니다. 이 배포판에는 텍스트 기반 도구와 GUI 도구의 조합도 있습니다. 정말 모든 것이 훌륭하게 혼합되어 있습니다. 물론 단점은 너무 많은 것을 얻으므로 모든 것을 구성하는 데 시간이 걸릴 수 있다는 것입니다. 그러나 모든 도구를 사용할 필요는 없습니다. 당신은 당신이 선호하는 것만 선택할 수 있습니다.

10. 사간

Sagan 은 실제로 진정한 IDS라기보다 로그 분석 시스템에 가깝지만 목록에 포함되어야 한다고 생각했던 IDS와 유사한 기능이 몇 가지 있습니다. 이 도구는 설치된 시스템의 로컬 로그를 볼 수 있지만 다른 도구와 상호 작용할 수도 있습니다. 예를 들어 Snort의 로그를 분석하여 본질적으로 HIDS에 일부 NIDS 기능을 효과적으로 추가할 수 있습니다. 그리고 Snort와만 상호 작용하지 않습니다. Suricata와도 상호 작용할 수 있으며 Oinkmaster 또는 Pulled Pork와 같은 여러 규칙 구축 도구와 호환됩니다.

Sagan은 또한 스크립트 실행 기능을 가지고 있어 이를 조잡한 침입 방지 시스템으로 만듭니다. 이 도구는 침입에 대한 유일한 방어 수단으로 사용되지 않을 수 있지만 다른 소스의 이벤트를 연관시켜 많은 도구를 통합할 수 있는 시스템의 훌륭한 구성 요소가 될 것입니다.

결론

침입 탐지 시스템은 네트워크 및 시스템 관리자가 환경의 최적 운영을 보장하는 데 사용할 수 있는 많은 도구 중 하나일 뿐입니다 . 여기에서 설명하는 도구는 모두 훌륭하지만 각각 목적이 약간 다릅니다. 선택하는 것은 개인의 선호도와 특정 요구 사항에 따라 크게 달라집니다.