[OSS] Suricata (Network Security Tool)

Suricata Open Source Software 란? 

Suricata 는 높은 성능의 Network IDS, IPS, 그리고 네트워크 보안을 위한 모니터링 엔진을 제공하는 오픈 소스입니다. 여기서 IDS와 IPS란 무엇일까요? 간단히 말해 네트워크 보안 시스템을 말합니다. 

 

IDS(Intrusion Detection System) 

IDS는 침입 탐지 시스템으로 일반적으로 시스템에 대한 원치 않는 조작을 탐지하는 역할을 합니다. 이는 모든 종류의 악의적인 네트워크 트래픽 및 컴퓨터 사용을 탐지하기 위해 필요하며, 이 시스템은 Network Attack, Data Driven Attack(데이터 처리 공격), Privilege Escalation (권한 확대), 악성 소프트웨어 등과 같은 호스트 기반의 공격들에 대해 실시간 모니터링하고 침입을 탐지하는 보안 시스템입니다.

 

IPS (Intrusion Prevention System)

IPS는 끊임없이 네트워크를 모니터링하여 악의적인 활동이나 공격이 발생할 경우 조치를 취하는 네트워크 보안 시스템이며, 이는 하드웨어 장치 혹은 소프트웨어에서 사용됩니다. 

 

IPS 모니터링 방식 (동작 방식) 

IPS는 그럼 어떻게 악의적인 활동이 일어나고 있다는 것을 탐지할까요? 그것을 바로 Signature-based, Anomaly-based, Policy-based 모니터링 방식을 사용하기 때문에 탐지가 가능한 것입니다. 

 

Signature-based 

잘 알려진 공격들을 식별하여 일치하는지 확인합니다. 단, 새로운 공격에 대해서는 탐지하지 못하는 단점이 있습니다. 

Anomaly-based 

랜덤한 네트워크 상태 샘플과 비교하여 비정상적인 행동을 탐지합니다. Signature-based 보다는 성능이 좋으며 더 좋은 성능을 내기 위해 머신러닝 기술을 사용하기도 합니다. 

Policy-based

이 방식은 주로 사용하지 않으며, 기업에서 정의한 보안 정책을 사용한 후, 이러한 정책을 위반하는 활동을 차단시킵니다. 단, 관리자가 보안 정책을 설정하고 구성해야한다는 번거로움이 있습니다. 

 

Suricata Open Soure Software에 대해 알아보았습니다. 이를 사용하기 위해서는 아래 링크를 통해 다운로드 받아 사용하시면 됩니다. 

https://suricata.readthedocs.io/en/suricata-6.0.3/quickstart.html#installation

2. Quickstart guide — Suricata 6.0.3 documentation

 

참고 문헌 

[1] https://www.vmware.com/topics/glossary/content/intrusion-prevention-system

[2] https://suricata.readthedocs.io/en/suricata-6.0.3/what-is-suricata.html