Building IDS rules by means of a honeypot

Abstract

NORSK: Dagens samfunn har blitt veldig avhengig av datasystemer for å være produktive. Det er derfor viktig at disse systemene har en høy grad av tilgjengelighet (oppetid). En faktor som har muligheten til å redusere tilgjengeligheten er datanettverks angrep (CNA). (CNA defineres som metoder hvis hensikt er å ødelegge, endre eller hindre informasjon i datamaskiner, datanettverk eller nettverket i seg selv). Dessverre er det en økning i antall angrep over internett fra år til år. Disse angrepene inkluderer blant annet innbrudd, DoS, phishing, spam og ormer. Noen av disse angrepene kan "ødelegge" et stort antall maskiner på kort tid. For å redusere denne trusselen er det ønskelig å ha et system som har muligheten til å se nye angrep og behandle disse. Denne masteroppgaven vil fokusere på hvor gode IDS regler som kan bli generert automatisk basert på informasjon hentet fra en enkel honeypot. Resultatene er basert på data samlet inn av en nettverks IDS ved navn SNORT, en lav interaksjons honeypot ved navn honeyd og en sårbarhets skanner ved navn Nessus. Resultatene våres viser at honeyd logger tilstrekkelig informasjon til å kunne generere funksjonable SNORT regler, men enkelte felter i reglene er ikke mulig å finne basert på loggene.

ENGELSK: In today’s society people become more and more dependent on computer systems. It is therefore vital that such systems are up and running at all times. One factor that has the power to destroy the availability is computer network attacks (CNA). (CNA are defined as "methods aimed at destroying, altering or obstructing information in computers, computer networks or the networks themselves"). Unfortunately, the Internet show an increasing trend regarding the usage of malicious activities such as intrusion attempts, denial-of-service attacks, phishing, spamming and worms. Some automated attacks can compromise a large number of computers in a short period of time. To try to minimize this threat, it would be nice to have a security system which has the ability to detect new attacks and react on them. This thesis focuses on seeing how good IDS rules that can be generated automatically based on data logged by a simple honypot. The results are based on data collected by a network intrusion detection system named SNORT, a low-interaction honeypot named honeyd and a vulnerability scanner named Nessus. Results found in this thesis claim that honeyd logs sufficient information to make functional SNORT rules out of, but some rule options are not possible to determine.