Opciones para reducir las intrusiones falsas positivas

Introducción

Un sistema de prevención de intrusiones puede generar alertas excesivas en una regla de Snort determinada. Las alertas pueden ser verdaderas positivas o falsas positivas. Si está recibiendo muchas alertas falsas positivas, hay varias opciones disponibles para reducirlas.  Este artículo ofrece un resumen de las ventajas y desventajas de cada opción.

Opciones para reducir las alertas falsas positivas

Nota: Estas opciones no suelen ser la mejor opción, sino la única solución en circunstancias específicas.

1. Informe al soporte técnico de Cisco

Si encuentra una regla Snort que activa alertas sobre tráfico benigno, notifíquelo al Soporte Técnico de Cisco.  Una vez que se informa, un ingeniero de soporte al cliente pasa el problema al equipo de investigación de vulnerabilidades (VRT). VRT investiga posibles mejoras en la regla. Las reglas mejoradas normalmente están disponibles para el informador tan pronto como estén disponibles, y también se agregan a la siguiente actualización oficial de la regla.

2. Confiar o permitir regla

La mejor opción para permitir que el tráfico de confianza pase a través de un dispositivo Sourcefire sin inspección es habilitar la acción Trust o Allow sin una política de intrusiones asociada. Para configurar una regla Trust o Allow, navegue hasta Policies > Access Control > Add Rule.

Nota: Las reglas Trust o Allow que coinciden con el tráfico y que no están configuradas para que coincidan con los usuarios, las aplicaciones o las URL tendrán un impacto mínimo en el rendimiento general de un dispositivo Sourcefire, ya que estas reglas se pueden procesar en el hardware FirePOWER.

Figura: Configuración de una regla de confianza

3. Deshabilitar reglas innecesarias

Puede inhabilitar las reglas de Snort que se dirigen a vulnerabilidades antiguas y corregidas. Mejora el rendimiento y reduce los falsos positivos. El uso de las recomendaciones de FireSIGHT puede ayudar en esta tarea.  Además, las reglas que a menudo generan alertas de baja prioridad o alertas que no son procesables pueden ser buenas candidatas para la eliminación de una política de intrusiones.

4. Umbral

Puede utilizar Threshold para reducir el número de eventos de intrusión. Esta es una buena opción para configurar cuando se espera que una regla active regularmente un número limitado de eventos en el tráfico normal, pero podría ser una indicación de un problema si más de un cierto número de paquetes coinciden con la regla.  Puede utilizar esta opción para reducir el número de eventos desencadenados por reglas ruidosas. 

Figura: Configuración del umbral

5. Supresión

Puede utilizar Suppression para eliminar completamente la notificación de eventos. Se configura de forma similar a la opción Threshold.

Precaución: La supresión puede provocar problemas de rendimiento, porque mientras no se genera ningún evento, Snort todavía tiene que procesar el tráfico.

Nota: La supresión no impide que las reglas de descarte descarten tráfico, por lo que el tráfico puede perderse silenciosamente cuando coincide con la regla de descarte.

6. Reglas de ruta rápida

Al igual que las reglas Trust y Allow de una política de control de acceso, las reglas de ruta rápida también pueden eludir la inspección.  Por lo general, el Soporte Técnico de Cisco no recomienda el uso de las reglas de trayecto rápido porque están configuradas en la ventana Avanzado de la página Dispositivo y pueden pasarse por alto fácilmente mientras que las reglas de control de acceso son casi siempre suficientes. 

Figura: Opción Reglas de ruta rápida en la ventana Avanzadas.

La única ventaja de utilizar reglas de trayecto rápido es que pueden manejar un mayor volumen máximo de tráfico.  Las reglas de ruta rápida procesan el tráfico en el nivel de hardware (conocido como NMSB) y teóricamente pueden gestionar hasta 200 Gbps de tráfico.  Por el contrario, las reglas con las acciones Trust y Allow se promueven al motor de flujo de red (NFE) y pueden gestionar un máximo de 40 Gbps de tráfico.

Nota: Las reglas de ruta rápida solo están disponibles en los dispositivos de la serie 8000 y en el 3D9900.

7. Reglas de paso

Para evitar que una regla específica se active en el tráfico de un host determinado (mientras que se debe inspeccionar otro tráfico de ese host), utilice una regla pass type Snort. De hecho, esta es la única manera de lograrlo.  Si bien las reglas de aprobación son efectivas, pueden ser muy difíciles de mantener porque las reglas de aprobación se escriben manualmente.  Además, si las reglas de paso originales se modifican mediante una actualización de reglas, todas las reglas de paso relacionadas deben actualizarse manualmente. De lo contrario, pueden volverse ineficaces.

8. Variable SNORT_BPF

La variable Snort_BPF en una política de intrusiones permite que cierto tráfico omita la inspección.  Aunque esta variable fue una de las primeras opciones en las versiones de software antiguas, el Soporte Técnico de Cisco recomienda utilizar una regla de política de control de acceso para eludir la inspección, ya que es más granular, más visible y mucho más fácil de configurar.