2. Sicherheits- und Verteidigungsmechanismen

Suricata-IDS/IPS-Konfiguration

• Betriebsmodus: Suricata ist im Modus Inline IPS (netmap) aktiviert, um Bedrohungen zu blockieren. Für Stabilität wurde der VM-Adaptertyp auf E1000 mit aktiviertem Promiscuous mode gesetzt.
• Regelsätze: Deep Packet Inspection (DPI) wird mithilfe der Regelsätze emerging-exploit, emerging-scan und emerging-malware angewendet.
• Benutzerdefinierte Regel: Wenn innerhalb von 10 Sekunden 20 oder mehr SYN-Verbindungsversuche in Richtung des Ziels erkannt werden, wird ein „Nmap Scan“-Alert ausgelöst und die IP des Angreifers (192.168.20.50) wird automatisch zur Liste „Block Offenders“ hinzugefügt.

SIEM (Elastic Stack) und Log-Management

• Log-Weiterleitung: pfSense-Logs werden über Remote Syslog an den Server unter 192.168.10.55 auf Port 5140 weitergeleitet. Suricata-Logs werden im Format EVE JSON exportiert und über Filebeat in ELK aufgenommen.
• Windows-Überwachungsrichtlinie: „Audit Logon Events“ (Ereignis-ID 4625) wurde auf der Windows-Maschine aktiviert, um die Verfolgung fehlgeschlagener Anmeldeversuche (Brute-Force) im SIEM zu ermöglichen.

3. Tests, Validierung und Fehlerbehebung

Zu den wichtigsten Herausforderungen und umgesetzten Lösungen bei der Laboreinrichtung gehören:

• Problem: Angriffe waren weder in der Firewall noch in Suricata sichtbar.
  • Lösung: Angreifer (Kali) und Opfer (Windows) befanden sich im selben Subnetz, sodass der Datenverkehr nicht durch die Firewall lief. Kali wurde auf eine separate, isolierte Schnittstelle (OPT1) verschoben.
• Problem: Brute-Force-Angriffe erschienen nicht im SIEM.
  • Lösung: In der lokalen Windows-Sicherheitsrichtlinie wurden Überwachungsrichtlinien aktiviert, um sicherzustellen, dass Logs mit Event ID 4625 erzeugt werden.
• Problem: Der ELK-Server stürzte während des Dateneingangs ab.
  • Lösung: Die RAM-Zuweisung für die Host-Maschine und die Java Virtual Machine (JVM) für Elasticsearch wurde auf 2-4 GB erhöht.

4. Verifikationsszenarien des Projekts

1. Netzwerkkonnektivität: Das Routing wurde über pfSense verifiziert, wodurch der Datenverkehr zwischen Netzwerken und die Isolationsregeln bestätigt wurden.
2. Angriffssimulation: nmap -sS-Scans von Kali Linux wurden von pfSense sofort erkannt und die IP des Angreifers wurde erfolgreich blockiert.
3. Überwachung: Brute-Force-Simulationen mit Hydra und Suricata-Alerts wurden über das Kibana-Dashboard erfolgreich in Echtzeit überwacht.

Hinweis: Dieses Projekt ist eine vollständige Cybersicherheits-Laborumgebung, die ausschließlich für Bildungs- und Praxiszwecke erstellt wurde.