Розробка оптимізованих правил IPS для виявлення багатовекторних атак

Abstract

У кваліфікаційній роботі магістра проведено дослідження методів захисту мережевої інфраструктури від багатовекторних DDoS-атак та інших кіберзагроз шляхом впровадження системи виявлення та запобігання вторгненням (IPS) на базі маршрутизатора pfSense та системи Snort. У першому розділі здійснено огляд різних типів DDoS-атак, їхніх характеристик та наслідків для організацій. У другому розділі розроблено та налаштовано тестове лабораторне середовище на базі гіпервізора VMware ESXi. Це середовище включає маршрутизатор pfSense, сервер Ubuntu Linux та атакуючі машини на базі Parrot Security OS. Проведено тестування середовища, яке підтвердило коректну взаємодію між усіма компонентами та готовність до моделювання кіберзагроз. У третьому розділі змодельовано різні типи кіберзагроз, включаючи DDoS-атаки типів SYN Flood, UDP Flood, ICMP Flood, HTTP Flood, а також атаки типу Brute-force. Розроблено оптимізовані правила для системи Snort, спрямовані на ефективне виявлення та блокування цих загроз з мінімізацією хибних спрацьовувань. Проведено тестування розроблених правил IPS, яке підтвердило їхню ефективність у виявленні та блокуванні різних типів атак, включаючи багатовекторні. In the master's thesis, the researchers investigated methods of protecting network infrastructure from multi-vector DDoS attacks and other cyber threats by implementing an intrusion detection and prevention system (IPS) based on the pfSense router and Snort system. The first section provides an overview of the different types of DDoS attacks, their characteristics, and the consequences for organisations. In the second section, a test lab environment based on the VMware ESXi hypervisor is designed and configured. This environment includes a pfSense router, an Ubuntu Linux server, and attack machines based on Parrot Security OS. The environment was tested, which confirmed the correct interaction between all components and readiness for cyber threat modelling. In the third section, various types of cyber threats were modelled, including DDoS attacks such as SYN Flood, UDP Flood, ICMP Flood, HTTP Flood, and Brute-force attacks. Optimised rules for the Snort system were developed to effectively detect and block these threats while minimising false positives. The developed IPS rules were tested, which confirmed their effectiveness in detecting and blocking various types of attacks, including multi-vector attacks.