ARP-сканирование
Механизм обнаружения ARP-сканирований входит в состав подсистемы эвристического анализа и предназначен для выявления узлов, отправляющих ARP-запросы к большому количеству уникальных IP-адресов за ограниченный промежуток времени. Учет активности выполняется отдельно для каждого MAC-адреса отправителя на основании ARP-запросов, поступающих на интерфейсы захвата сенсора.
При обнаружении такой активности формируется уведомление, которое передается в СУС.
Настройка обнаружения ARP-сканирования
Настройка параметров обнаружения ARP-сканирований выполняется в веб-интерфейсе NTA eSensor:
«Администрирование» → «Сенсоры» → [выбранный сенсор] → «Эвристический анализ» → «Продвинутые настройки».
Перед редактированием конфигурации необходимо включить параметр «Использовать продвинутые настройки».
Параметры механизма задаются директивами redef:
# ARP scan
redef ARPScan::enabled = T;
redef ARPScan::threshold = 15;
redef ARPScan::scan_interval = 6secs;
redef ARPScan::cleanup = 300secs;
redef ARPScan::severity = ARPScan::HIGH;
# redef ARPScan::whitelist += { "aa:bb:cc:dd:ee:ff" };
Чтобы добавить доверенный MAC-адрес, необходимо раскомментировать или добавить директиву изменения ARPScan::whitelist. Например:
redef ARPScan::whitelist += {
"aa:bb:cc:dd:ee:ff"
};
Внимание! При использовании продвинутых настроек пользовательская конфигурация заменяет стандартную конфигурацию модуля эвристического анализа. Для настройки ARP-сканирования необходимо изменять соответствующие параметры в существующей конфигурации, сохраняя остальные настройки модуля. Не следует заменять все содержимое конфигурации только приведенным выше примером.
Параметры механизма ARP-сканирования приведены в таблице 13.
Таблица 13 – Параметры механизма ARP-сканирований
| Параметр | Тип | Описание | Значение по умолчанию |
|---|---|---|---|
| enabled | bool | Активность скрипта (вкл./выкл.) | T |
| threshold | count | Временное окно, за которое узел должен превысить количество запросов | 6secs |
| scan_interval | interval | Количество уникальных целевых IP-адресов, после которого активность признается сканированием | 15 |
| cleanup | interval | Период «памяти» системы. | 300secs |
| severity | Severity | Приоритет оповещения (LOW/MEDIUM/HIGH/CRITICAL) | HIGH |
| whitelist | set[string] | Список доверенных MAC-адресов, которые не нужно отслеживать | Не задан |
После редактирования рекомендуется сначала проверить конфигурацию с помощью кнопки «Проверить», а затем применить ее кнопкой «Сохранить». Кнопка «Сбросить к настройкам по умолчанию» восстанавливает исходную конфигурацию.
После обнаружения ARP-сканирования повторные уведомления от того же MAC-адреса временно подавляются. Запись об источнике удаляется при очередной очистке после истечения установленного периода. После удаления записи повторная подозрительная активность может вызвать новое уведомление.
Некорректный синтаксис или недопустимые значения в продвинутых настройках могут привести к нарушению работы модуля.
Формирование уведомления ARP-сканирования
При обнаружении ARP-сканирования создается уведомление с данными, приведенными в таблице 14.
Таблица 14 – Параметры уведомления об ARP-сканировании
| Поле | Описание |
|---|---|
| Заголовок | ARP-сканирование |
| Уровень опасности | значение параметра ARPScan::severity |
| Тип источника | эвристический анализ |
| Детали | MAC-адрес и IP-адрес источника, порог и интервал обнаружения |
| Цели | уникальные IP-адреса из target_ips |
Текст поля «Детали» формируется по шаблону:
Узел <source_mac> (<source_ip>) отправил <threshold> или более запросов уникальных IP-адресов за <scan_interval> секунд. Возможно, ARP-сканирование.
Например:
Узел 00:0c:29:af:12:34 (192.168.1.15) отправил 15 или более запросов уникальных IP-адресов за 6 секунд. Возможно, ARP-сканирование.
Поле «Цели» содержит все уникальные IP-адреса, накопленные к моменту обнаружения. Поскольку адреса хранятся в виде множества, порядок их отображения может отличаться от порядка поступления ARP-запросов.
Остальные поля заполняются по общим правилам формирования уведомлений.