Netgear R7800 Nighthawk OpenWRT IDS/IPS Kurulumu ve Test Sonuçları

Herkese Selamlar,

MiniSOC ağımda deneysel amaçlarla kullandığım Fortigate 60E firewall mevcut bunu yaklaşık 6 ay önce satın almıştım. Ağımı geliştirirken yaklaşık 2 ay önce 2. R7800'ü satın alıp test ağımı alt ağlara ayırmıştım.

Bu testi daha önceden yapıp LinkedIn üzerinde parça parça yayınlamıştım ancak Medium üzerine yayınlamamışım, bu nedenle bloguma taşımaya karar verdim.

IPS nedir IDS nedir?

IPS: Intrusion Prevention System veya siber saldırı önleme sistemi.

IDS: Intrusion Detection System veya siber saldırı tespit sistemi.

IDS ağ üzerinde dinleme yapar ve saldırıya müdahile etmez sadece loglama yapar, IPS ise olayı görür ve müdahile eder. Ancak IPS’ler klasik anti virüsler gibi çalıştığından imza veri setiyle çalışırlar yani ezberlerinde olan bir saldırı veya exploit varsa engellerler sezgisel yetenekleri pek yoktur onun yerine NDR’lar vardır yani network detection response yapıları ancak bu şu an konumuz değil.

Kısa bir girizgah yaptıktan sonra ben bir router üzerine neden bu kurulumları yaptığımı açıklayayım. Fortigate 60E için lisans alamıyorum ne yazık ki distiribitörler bu ürünün yakında EOL olacağından lisans satışını artık yapmıyorlar. Bu nedenle 2 ay önce router kendi öz savunmasını gerçekleştirebilir mi sorusunun peşine düşmüştüm. Firewall saldırıyı geçirirse router tutabilir mi olarak düşünüyordum.

Snort Denemesi

İlk başta kurulumları OpenWRT paketler arayüzünden yapmıştım ve Snort desteği olduğunu gördüm.

Öncellikle snort 3.1 kurdum sorunlar yaşayınca 2.9 versiyonunu kurdum ancak sorunlar kesilmedi.

Problemi anlamaya çalışıyordum.

Snort’un sürekli crash verip router’ın yavaş çalışması ve ağın çökmesinin tek bir nedeni vardı.

https://openwrt.org/docs/guide-user/services/snort

Sorun aslında çok bariz belliydi, snort kurmak Netgear Nighthawk R7800 için ağır geliyordu. İçinde olan işlemci için çok ağırdı ve router snort’u durduruyordu bu sebepten çökmeler meydana geliyordu.

Netstinky IDS Kurulumu ve Denemeleri

Snort üzerinde başarısızlık elde edince aramalarıma devam ettim ve Netstinky desteği olduğunu fark ettim.

Kurulumları yapmıştım ancak sorun şu ki, Netstinky itibari tarama ve loglama yapabiliyor bu ne demek?

Snort ve Suricata genelde kural setleri ile yani davranışsal taramalar, loglamalar yaparlar. Siz kural yazabiliyorsunuz ve gömülü imza setlerinde olmayan saldırı veya taramaları tespit edebiliyorsunuz.

Ancak Netstinky tarafında bu durum değişiyor çünkü Netstinky tamamen itibari tarama yapıyor yani besleme (feed) tabanlı bir yapısı var. İçinde olan imza seti güncellendiği sürece taramaları veya saldırıları tespit edebiliyor siz kural yazamıyorsunuz.

Peki bu ne anlama geliyor? Ne anlama geldiğini aşağıda olan testle sizlere anlatmaya devam edeyim.

Nmap Aracıyla Netstinky Scan Testleri

Netstinky üzerinde kural yazamadığımızı ve itibari bir tarama yaptığını belirtmiştik. Kural setlerinde Nmap ve türevi araçları yakalayacak bir kural seti yoksa Netstinky bu tip taramaları yakalayamıyor. Peki ne yapabilir? Kendi imza setinde olan C2 sunucuları ile haberleşme, malware sunucularının tespiti veya zararlı IP’lerin tespiti gibi tespitler yapabilir.

Nmap ile ağ taraması yaptırdım ancak loglara sol üst tarafta herhangi bir kayıt düşmüyor görüldüğü üzere.

Ancak bu durum ne yazık ki günümüzde olan karmaşık saldırılar için yetersiz fakat hiç yoktan iyidir. Bilgisayarlarınızdan birisine malware bulaştıysa kötünün iyisi olarak Netstinky belki bu izi tespit edebilir fakat gerçek bir hacker saldırısında bu saldırı izlerini görmesi ve loglaması pek yüksek ihtimal değildir.

Peki Bir Router Kendi Öz Savunmasını Yapabilir Mi?

Cevap teknik olarak evet. Peki neden evet? Eğer router’ınız güçlü bir işlemciye ve fazla RAM belleğe sahipse teorik olarak kendi öz savunmasını IPS aracılığı ile yapabilir Firewall yapısı daha sağlamlaşır ve IDS ile loglaması yapılır.

OpenWRT minimum Snort için Raspberry Pi 4 ve benzeri bir cihaz önermiş ancak şunu belirtmem gerekiyor. Snort ve Suricata gibi araçların stabil çalışacağı işlemci mimarisi genelde x86 ve amd64 platformudur. Sebebiyse bu mimarilerde yıllarca çalıştırılmış ve optimizasyon paketleri geliştirilmiştir.

Raspberry Pi 5 veya 4 üzerinde IPS teorik olarak çalışabilir ama stabil çalışmama ihtimali vardır.

Yazımı okuduğunuz için teşekkür ederim. Başka bir yazıya kadar görüşmek üzere.