Наличен е SELKS 10, дистрибутив за изграждане на системи за откриване на настъпления

Компания Stamus Networks публикува новата версия на специализиран дистрибутив SELKS 10, предназначен за внедряване на системи за откриване и предотвратяване на мрежови атаки, както и за организиране на реакция на откритите заплахи и мониторинг на сигурността на мрежата. На потребителите се предоставя напълно готово решение за управление на мрежовата сигурност, което може да се използва веднага след изтегляне. Дистрибутивът поддържа работа в Live режим и се стартира в среди за виртуализация или контейнери. Разработките на проекта се разпространяват под лиценз GPLv3. За изтегляне са създадени два ISO образа: с графичен интерфейс Xfce (3.5 GB) и работещ в конзолен режим (2.7 GB).

Дистрибутивът е построен на базата на пакети Debian и използва откритата система за откриване на атаки Suricata. Данните, постъпващи от различни източници, се обработват с помощта на платформата Logstash и се съхраняват в хранилището ElasticSearch. За проследяване на текущото състояние и откритите инциденти се предлага уеб интерфейс, реализиран върху интерфейса на Kibana. За управление на правилата и визуализиране на свързаната с тях активност се използва уеб интерфейс Stamus CE. Включени са също система за улавяне, съхранение и индексиране на мрежови пакети Arkime, интерфейс за оценка на настъпилите събития EveBox и анализатор на данни CyberChef.

Основни подобрения:

• В интерфейса на потребителя са добавени допълнителни възможности от паралелно развиваната търговска платформа SSP (Stamus Security Platform). Извършена е работа по опростяване на уеб интерфейса и обединяване на информацията за откриване на заплахи, търсене на подозрителна активност и анализ на доказателства.
  
• Добавена е възможност за селективно улавяне на пакети, свързани с откритите събития, и тяхното експортиране от интерфейса за анализ на подозрителна активност в формат PCAP. Експортираните дъмпове съдържат пълни данни за мрежовата сесия, асоциирана с откритата заплаха. Дъмпът може да се използва за анализ на инцидента както в самия SELKS, така и в външни инструменти, като Wireshark.
  
• Системата за захващане, съхранение и индексиране на мрежови пакети Arkime е обновена до версия 5.0, която добавя поддръжка за едновременен търсене на информация за няколко обекта в отворени източници (OSINT), променен е дизайнът на блока с детайлна информация, внедрена е унифицирана подсистема за конфигуриране, добавена е поддръжка на методите за генериране на отпечатъци на трафика JA4 и JA4+, и реализирана е възможността за импортиране на запазени PCAP дампове.
• Вместо SQLite за съхранение на данни е използвана СУБД PostgreSQL.
• Пакетната база е обновена до Debian 12.

Източник: opennet.ru