Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

pfSense en OPNsense

De collector toestaan op pfSense of OPNsense met Suricata of Snort: Pass List, Suppress List en een pass-regel in OPNsense.

Draait er op pfSense of OPNsense een IDS/IPS zoals Suricata of Snort, dan kan die de scan van de collector als aanval zien en het IP-adres blokkeren. In dit artikel zorg je dat de collector niet geblokkeerd wordt, met een uitzondering voor alleen zijn IP-adres.

Wat je nodig hebt

  • COLLECTOR_IP: het IP-adres van de collector;
  • PLATFORM_FQDN: het adres van het portaal (bijv. portal.obsolens.com).

Beide staan in het portaal onder Toegang regelen bij de collector. Kies daar pfSense / OPNsense (Suricata, Snort) bij Stappen voor voor de stappen met ingevulde waarden.

Kijk eerst in welke modus het pakket draait: legacy blocking mode (blokkeert het IP-adres van de "offender") of inline IPS mode (laat pakketten vallen op drop-regels). Dat bepaalt welke uitzondering werkt.

pfSense: Pass List (legacy blocking mode)

Een Pass List voorkomt dat het IP-adres door Block Offenders wordt geblokkeerd.

  1. Ga naar Services > Suricata (of Snort) en open het tabblad Pass Lists.
  2. Klik Add en voeg COLLECTOR_IP toe. Sla de lijst op.
  3. Open de instellingen van de interface waarop het pakket draait.
  4. Kies bij Pass List de lijst die je net maakte en sla op.

Het menupad voor Suricata is niet bevestigd in de documentatie van de fabrikant. De documentatie van Netgate voor Snort 3 bevestigt alleen dat Pass Lists en Suppression Lists bestaan en dat een Pass List aan een instance gekoppeld moet worden.

pfSense: Suppress List

Met een Suppress List geeft een specifieke signature voor dit IP-adres geen alert en geen blokkade meer. De inspectie van het verkeer gaat wel door.

  1. Ga naar het tabblad Alerts.

  2. Klik op het +-icoon naast de alert die op de collector afging.

  3. Of bewerk de Suppress List met de hand, met de standaard threshold-syntax:

    suppress gen_id 1, sig_id <SID>, track by_src, ip COLLECTOR_IP

Deze syntax is niet bevestigd op docs.netgate.com.

Let op: in inline IPS mode beschermt een Pass List niet tegen drop-regels. Gebruik dan een suppress-regel, of zet de betreffende SID's op alert in plaats van drop. Dat laatste is niet bevestigd in de documentatie van de fabrikant.

OPNsense: pass-regel

  1. Ga naar Services > Intrusion Detection > Administration.
  2. Open het tabblad User defined en klik +.
  3. Vul bij Source IP COLLECTOR_IP in en kies bij Action Pass.
  4. Sla de regel op.

Pass werkt alleen in IPS-modus. Dat er een pass-actie en een veld voor het bron-IP bestaan, is bevestigd via de API-velden (ids_user_rule). De exacte GUI-labels zijn niet bevestigd in de documentatie van de fabrikant.

Losse regels kun je ook per ruleset uitzetten of omzetten via het menu Policy.

Firewallregels en het platform

Scant de collector andere VLAN's, dan moet er ook een gewone firewallregel zijn van COLLECTOR_IP naar die netwerken (zie Meerdere VLAN's scannen). Voor de verbinding met het platform is uitgaand HTTPS naar PLATFORM_FQDN genoeg. Gebruik je een webproxy of webfilter op de firewall, zet PLATFORM_FQDN dan op de allowlist.

Controleren

  1. Voer op de collector obsolens-collector diagnose uit.
  2. Start in het portaal Nu scannen en kijk in het blok Netwerken of alle VLAN's antwoorden.
  3. Controleer in de alerts en de lijst met geblokkeerde adressen van Suricata of Snort dat COLLECTOR_IP er niet meer in staat.

Bronnen

Zie ook