UDM SE – не обнаруживает внутренние сканы.

UDM SE – не обнаруживает внутренние сканы., wifiman

scottysau

Guest

09.02.2025 05:43:00

Привет!
Это мой первый пост на этом форуме, так что, пожалуйста, простите, если я разместил его не в том разделе.

Вопрос:
Почему UDM SE (работает на UniFi OS 4.1.13, Network 9.0.114) не обнаруживает внутренние сканирования?

Как я узнал? Я только что обрушил на свою внутреннюю сеть сканирование Metasploit, и не было ни единой вспышки. Это немного сбивает с толку.

Другие файрволы имеют эту функциональность (да, я проверил). Похоже, что интерфейс IDS/IPS смотрит только на интерфейс bridge.

Это довольно серьезный недочет, на мой взгляд. Да, я в курсе о honeypot – жду, пока Metasploit его расстроит (сканирование всё ещё идет – оно очень обширное).

Если у вас не подключено устройство Ubiquiti к SIEM, вы не будете знать, что происходит.

Практически всё, что я читаю об утечках данных, говорит о том, что взлом исходит изнутри.

Они проникают внутрь, проводят разведку и выясняют, стоите ли вы того, и выкачивают ваши данные (это гораздо сложнее обнаружить). Они составляют карту вашей сети, и потом — бац — выводят вас из строя.

Для устройства практически корпоративного уровня я бы предположил, что внутреннее сканирование портов должно быть в списке IDS/IPS.

Текущая возможность отключить сигнатуру для определенного устройства или сети была бы достаточной для сетевых администраторов, чтобы управлять соответствующими правилами IDS/IPS.

Может быть, это в CyberSecure by Proofpoint, которого мы все ещё ждём в Австралии.

Пожалуйста, примите это к сведению.

Спасибо.

scottysau

Guest

11.02.2025 03:47:00

Трэвис, я повторно запустил сканирование. Вчера я обнаружил и исправил проблему с продлением DHCP4 lease на Kali LXC. Повторно запустил тест только для ipv4 (как в оригинальном тесте), но на этот раз ipv4 lease продлился корректно, а не завершился с ошибкой. DHCP lease устанавливаются на 6 часов, сканирование занимает больше времени, так как я проверяю и UDP, и TCP. Использовал следующую команду: db_nmap -Pn -sS -sU -O -sV 192.168.0.0/16.

У меня теперь есть результаты внутри IDS/IPS системы. Система работает как положено для IPV4, я позже протестирую ipv6. Придётся съесть скромный пирог. IDS/IPS система работает правильно и обнаруживает сканирование изнутри сети. Есть оповещения для UniFi контроллера и адреса honeypot для ipv4. Приношу извинения. Пожалуйста, удалите эту тему.

travis.vitek Guest	#3 10.02.2025 04:04:00 Ты предлагаешь, чтобы IPS/IDS обнаруживали перебор портов, а не обязательно используемую уязвимость?

scottysau

Guest

10.02.2025 00:49:00

Трэвис, спасибо за ответ. IDS/IPS полностью включен в соответствии с рекомендациями лучших практик. Если будет возможность, попробуй поколдовать с Metasploit, и посмотри, куда он тебя приведет, или любым другим сканером портов (Ubiquiti Wifiman подойдет, но придется делать это по устройству). Моя гипотеза здесь в том, что у тебя дома есть своя лаборатория с разными сервисами, с которыми можно поэкспериментировать. Я все еще уверен, что хороший IDS/IPS должен обнаруживать сканирование внутренней сети, а у меня всего 4 подсети. Очевидно, это усложняется с использованием VLAN, что тоже считается лучшей практикой. Microsoft, например, если у тебя есть лицензия Microsoft Defender for Endpoint (Business — самый дешевый вариант), позволяет отслеживать и регулярно сканировать сети на наличие устройств (с некоторыми оговорками) – тоже не обнаруживается. Пожалуйста, прими во внимание мои отзывы, и я по-прежнему считаю, что серия маршрутизаторов/шлюзов UDM должна обнаруживать это.

С уважением,
Леон Скотт.

travis.vitek

Guest

09.02.2025 17:29:00

Я скачал metasploit и немного покопался в нём, но это не то, что можно просто навести на сеть и запустить. Попробую разобраться с ним позже. Я понятия не имею, что у вас работает в сети и насколько хорошо вы знаете эти инструменты, поэтому делаю некоторые предположения. Если вы это уже знаете, пожалуйста, проигнорируйте.

В общем, проверка или запуск эксплойта в metasploit не вызовут срабатывания IPS/IDS, если Suricata не увидит соответствующий трафик.

Представьте, что вы пытаетесь использовать metasploit, чтобы убедиться, что IPS/IDS обнаруживает попытку эксплуатации SSH в вашей сети. Если в вашей сети ничего не запущено как SSH-сервер, metasploit не сможет установить соединение с SSH-сервером, и без сокета он не отправит полезную нагрузку, которую ищет IPS/IDS.

travis.vitek Guest	#6 09.02.2025 15:46:00 Просто чтобы убедиться, что все в порядке: сканируешь ли ты хост в одной VLAN с другой VLAN? Можно выбрать сети, которые отслеживаются, в UniFi Network > Settings > Security > Protection > Selected Networks. Я никогда не запускал metasploit, но ожидал бы, что стандартный IPS/IDS хотя бы частично обнаружит этот трафик. Поиграю с этим сегодня утром.

Читают тему (гостей: 1)