[论文解读] New Use Cases for Snort: Cloud and Mobile Environments

Emre Ertürk, Mayank Kumar|arXiv (Cornell University)|Feb 7, 2018

Network Security and Intrusion Detection参考文献 1被引用 4

一句话总结

本文提出在云环境和移动环境中以虚拟机形式部署基于签名的入侵检测系统Snort，作为虚拟机基础的入侵检测系统（IDS），以增强传统防火墙无法覆盖的安全防护。研究展示了在Microsoft Azure的Ubuntu Server 16.04上配置Snort的过程，验证了其在云工作负载中检测入侵的有效性，并倡导在各虚拟机上分布式部署IDS，以增强云网络内部威胁的检测能力。

ABSTRACT

First, this case study explores an Intrusion Detection System package called Snort (provided by Cisco Systems) in a cloud environment. Snort is an open source and highly scalable signature-based intrusion detection system. Here, Snort is deployed on Ubuntu Server 16.0.4 running on a virtual machine within a Microsoft Azure cloud system. This paper provides details on installing Snort on the virtual machine and configuring it for intrusion detection. The architecture here is based on a VM integrated IDS on Azure and demonstrates how a VM instance in the cloud can be secured through an IDS. Firewalls may be considered the first line of defense but they fail to secure systems from inside attacks. Next, two other areas (where Snort is less widely used) are briefly explored, namely library systems and mobile devices. Finally, this paper makes further recommendations on how a cloud network can be secured by distributed placement of the IDS and on each VM instances.

研究动机与目标

• 评估Snort作为云环境中虚拟机基础设施的入侵检测系统（IDS）的有效性。
• 将Snort的应用范围从传统网络安全扩展至移动设备和图书馆系统等新兴领域。
• 提出一种基于在各虚拟机实例上部署Snort的分布式IDS架构，以提升对内部威胁的检测能力。
• 为在Microsoft Azure的Ubuntu Server上部署和配置Snort提供实用的实施指南。
• 证明Snort可作为可扩展的开源解决方案，用于保护虚拟化和移动环境。

提出的方法

• 在Microsoft Azure云基础设施中，将Snort作为Ubuntu Server 16.04的虚拟机进行部署。
• 将Snort配置为基于签名的IDS，用于监控网络流量并检测已知攻击模式。
• 将IDS作为虚拟机集成的安全层，嵌入云架构中，以监控内部和外部网络流量。
• 评估Snort在防火墙单独防护不足的云环境中检测入侵的能力。
• 提出一种分布式部署模型，即在每个虚拟机实例上安装Snort，以检测横向移动和内部威胁。
• 使用开源工具和标准配置实践，确保云环境中系统的可扩展性与可维护性。

实验结果

研究问题

• RQ1 如何在基于虚拟机的云环境中有效部署和配置Snort作为IDS？
• RQ2 仅依赖防火墙保护云工作负载存在哪些局限性？Snort如何解决这些问题？
• RQ3 Snort能否适应移动设备和图书馆系统等非传统环境的使用？
• RQ4 在云网络中将Snort IDS实例分布部署在多个虚拟机上有哪些优势？
• RQ5 虚拟机集成的Snort部署如何提升对内部人员攻击和横向移动攻击的检测能力？

主要发现

• Snort在云环境中成功检测到已知攻击模式，证明其作为基于签名的IDS在虚拟化基础设施中的可行性。
• 在Microsoft Azure的Ubuntu Server 16.04上部署Snort在云环境中具备可行性与可扩展性，适用于云环境的入侵检测。
• 仅靠防火墙无法充分保护云系统，尤其在应对内部威胁时，凸显了引入如Snort等额外检测层的必要性。
• 在各虚拟机实例上分布部署Snort，显著提升了对内部网络流量的可见性，并增强了对横向移动攻击的检测能力。
• 本研究证实，Snort可有效扩展至传统网络边界之外，应用于移动设备及图书馆网络等专用系统。
• 该架构支持分层防御模型，Snort通过提供深度包检测和实时威胁检测，与防火墙形成互补。