Günümüz siber saldırı ortamında, saldırganların kullandığı araçları ve yöntemleri anlamak, ağ güvenliği stratejilerinin temel taşlarından biridir. Suricata gibi gelişmiş IDS/IPS sistemleri, port taraması ve kötü niyetli aktiviteleri tespit ederek, bu saldırıların erken aşamada önlenmesine olanak tanır. Bu rehberde, Nmap ve Shodan gibi araçlarla gerçekleştirilen port taramalarını Suricata üzerinde nasıl tanıyıp, CLI kullanarak hızlı bloklama yapabileceğinizi detaylandırıyorum.
İlk olarak, port taraması kavramına değinelim. Nmap ve Shodan, ağ üzerindeki açık portları ve servisleri tespit etmek için yaygın biçimde kullanılır. Saldırganlar, bu araçlarla hedef sistemlerin zayıf noktalarını belirler. Suricata, özellikle belirli port tarama kalıplarını tanımada ve kötü niyetli aktiviteleri raporlamada oldukça etkilidir. Örneğin, Nmap'in SYN scan veya TCP connect scan gibi modları, belirli imza ve kurallarla tespit edilebilir. Suricata'nın kurallarını yapılandırırken, port taramasıyla ilişkili yaygın kalıpları ve davranışları içeren kurallar eklemek önemlidir.
İkincil olarak, Suricata'da port taraması tespit edilip, saldırganın IP'sini hızlıca engellemek için CLI komutlarını kullanmak en etkili yoldur. Aşağıda temel bir örnek adım yer almaktadır:
- Suricata log dosyalarını veya EVE JSON çıkışlarını izleyerek, belirli port taraması kalıplarını tespit edin.
- Tespit edilen IP adreslerini listeleyin.
- Terminalde, iptables veya nftables gibi araçlarla bu IP'leri anlık engelleyin.
Örneğin, iptables ile belli bir IP'yi engellemek için:
12
iptables -A INPUT -s -j DROP
Ayrıca, Suricata'nın kendi kurallarını kullanarak, saldırı tespit edildiğinde otomatik bloklama yapacak şekilde yapılandırabilirsiniz. Bunun için, "Barnyard2" veya "Suricata-Update" gibi araçlar ve scriptler kullanılır. Ayrıca, IDS/IPS sisteminizde, saldırı tespiti sonrası otomatik komut çalıştırmak için "alert" tetiklerini kullanabilirsiniz.
Son olarak, saldırıları erken tespit etmek ve hızla müdahale etmek, güvenlik duvarı ve IDS/IPS entegrasyonu ile mümkündür. Suricata, doğru kurallar ve yapılandırma ile, saldırıların ilk aşamalarında aktif olarak devreye girer. Bu sayede, port taraması yapan kötü niyetli IP’leri hızla engelleyerek, sisteminizi koruma altına alabilirsiniz.
Bu yöntemler, güvenlik altyapınıza entegre edildiğinde, saldırıların önlenmesi ve saldırganların izlenmesi açısından önemli kazanımlar sağlar.
