5 системи за управление на събития по сигурността с отворен код

С какво добрият специалист по сигурност в ИТ сферата се различава от обикновения? Не, не е в това, че той по памет може да назове броя на съобщенията, които мениджър Игор изпрати вчера на колежката Мария. Добрият специалист по сигурност се опитва да разпознава възможни нарушения предварително и да ги улавя в реално време, полагайки всички усилия, за да не се допуска продължение на инцидента. Системите за управление на събития по сигурността (SIEM, от Security information and event management) значително улесняват задачата за бързо фиксиране и блокиране на всякакви опити за нарушения.

Традиционно SIEM системите обединяват в себе си системата за управление на информационната сигурност и системата за управление на събитията по сигурността. Важна особеност на системите е анализът на събитията по сигурността в реално време, което позволява реакция преди настъпването на съществени щети.

Основни задачи на SIEM системите:

• Събиране и нормализиране на данни
• Корелация на данни
• Известия
• Визуализация на данни
• Организация на съхраняване на данни
• Търсене и анализ на данни
• Отчетност

Причини за високото търсене на SIEM системи

В последно време сложността и координацията на атаките срещу информационните системи значително нараснаха. Наред с това се усложнява и комплексът от средства за защита на информацията — мрежови и хостови системи за откриване на прониквания, DLP системи, антивирусни системи и защитни стени, скенери за уязвимости и други. Всяко средство за защита генерира поток от събития с различна детайлизация и често атаката може да се забележи само при взаимодействието на събития от различни системи.

За всевъзможни търговски SIEM системи е написано много написано, но ние предлагаме кратък обзор на безплатни, напълно функционални опенсорс SIEM системи, които нямат изкуствени ограничения на броя потребители или обемите на съхранявани данни и лесно се мащабират и поддържат. Надяваме се, че това ще помогне да оцените потенциала на подобни системи и да вземете решение дали да интегрирате такива решения в бизнес процесите на компанията.

AlienVault OSSIM

AlienVault OSSIM – това е open-source версия на AlienVault USM, една от водещите търговски SIEM системи. OSSIM представлява фреймуърк, състоящ се от няколко проекта с отворен код, включително мрежова система за откриване на прониквания Snort, система за мониторинг на мрежи и узли Nagios, хостова система за откриване на прониквания OSSEC и скенер за уязвимости OpenVAS.

За мониторинг на устройствата се използва AlienVault Agent, който изпраща дневници от хоста в формат syslog към платформата GELF или може да се използва плъгин за интеграция с трети страни, като услугата за реверсивно прокси на сайтове Cloudflare или системата за многофакторна автентикация Okta.

Версията USM се различава от OSSIM с разширената функционалност за управление на дневниците, мониторинг на облачната инфраструктура, автоматизация и актуализирана информация за заплахи и визуализация.

Предимства

• Изградена на доказани open-source проекти;
• Голямо общество от потребители и разработчици.

Недостатъци

• Не поддържа мониторинг на облачни платформи (например, AWS или Azure);
• Отсъства управление на логове, визуализация, автоматизация и интеграция с трети страни.

Source

MozDef (Mozilla Defense Platform)

Разработената от Mozilla SIEM система MozDef се използва за автоматизация на процесите по обработка на инциденти в сигурността. Системата е разработена от нула за максимална производителност, мащабируемост и отказоустойчивост, със микросервизна архитектура – всеки сервис работи в контейнер Docker.

Както OSSIM, MozDef е изградена на доказани с времето open-source проекти, включващи модул за индексиране на логове и търсене Elasticsearch, платформа Meteor за изграждане на гъвкав уеб интерфейс и плъгин Kibana за визуализация и изграждане на графики.

Корелацията на събития и известията се извършват с помощта на заявки към Elasticsearch, което позволява написването на собствени правила за обработка на събития и известия с помощта на Python. Според информация от Mozilla, MozDef може да обработва над 300 милиона събития на ден. MozDef приема събития само в JSON формат, но има интеграция с трети страни.

Предимства

• Не използва агенти – работи със стандартни JSON логове;
• Лесно се мащабира благодарение на микросервисната архитектура;
• Поддържа източници на данни от облачни услуги, включително AWS CloudTrail и GuardDuty.

Недостатъци

• Нова и по-малко утвърдена система.

Source

Wazuh

Wazuh започна да се развива като форк на OSSEC, една от най-популярните SIEM с отворен код. И сега е уникално собствено решение с нова функционалност, коригирани грешки и оптимизирана архитектура.

Системата е изградена на стека ElasticStack (Elasticsearch, Logstash, Kibana) и поддържа както събиране на данни на база агенти, така и прием на системни журнали. Това я прави ефективна за мониторинг на устройства, които генерират журнали, но не поддържат инсталирането на агент – мрежови устройства, принтери и периферни устройства.

Wazuh поддържа съществуващите агенти на OSSEC и дори предоставя ръководство за миграция от OSSEC към Wazuh. Въпреки че OSSEC все още активно се поддържа, Wazuh е разглеждан като продължение на OSSEC поради добавянето на нов уеб интерфейс, REST API, по-пълен набор от правила и много други подобрения.

Предимства

• Създадена и съвместима с популярната SIEM OSSEC;
• Поддържа различни опции за инсталиране: Docker, Puppet, Chef, Ansible;
• Поддържа мониторинг на облачни услуги, включително AWS и Azure;
• Включва обширен набор от правила за откриване на множество типове атаки и позволява съответствие с PCI DSS v3.1 и CIS.
• Интегрира се със системата за съхраняване и анализ на логове Splunk за визуализация на събития и поддръжка на API.

Недостатъци

• Сложна архитектура – изисква пълно разгръщане на Elastic Stack в допълнение към сървърните компоненти на Wazuh.

Source

Prelude OSS

Prelude OSS е open-source версия на търговската Prelude SIEM, разработена от френската компания CS. Решението представлява гъвкава модулна SIEM система, която поддържа множество формати на журнали, интеграция с външни инструменти като OSSEC, Snort и мрежовата система за откриване Suricata.

Всяко събитие се нормализира в съобщение по формата IDMEF, което улеснява обмена на данни с други системи. Но има и недостатък – Prelude OSS е силно ограничена по производителност и функционалност в сравнение с търговската версия Prelude SIEM и е предназначена предимно за малки проекти или за изучаване на решения SIEM и оценка на Prelude SIEM.

Предимства

• Тестирана система, развивана от 1998 г.;
• Поддържа множество различни формати на журнали;
• Нормализира данните до формата IMDEF, което позволява лесно предаване на данните в други системи за сигурност.

Недостатъци

• Значително ограничава функционалността и производителността в сравнение с други open-source SIEM системи.

Source

Sagan

Sagan е високопроизводителна SIEM, която подчертава съвместимостта със Snort. Освен че поддържа правила, написани за Snort, Sagan може да записва в базата данни на Snort и дори може да се използва с интерфейса Shuil. По същество, това е леко многопоточно решение, което предлага нови функции, като остава дружелюбно към потребителите на Snort.

Предимства

• Пълна съвместимост с базата данни на Snort, правилата и потребителския интерфейс;
• Многопоточната архитектура осигурява висока производителност.

Недостатъци

• Сравнително млад проект с малко общност;
• Сложен процес на инсталация, включващ компилиране на цялата SIEM от източниците.

Source

Заключение

Всяка от описаните SIEM системи има свои характеристики и ограничения, затова не могат да се нарекат универсално решение за всяка организация. Въпреки това, тези решения имат отворен код, което позволява разгръщане, тестване и оценка без излишни разходи.

Какво още интересно можете да прочетете в блога Cloud4Y

→ ВНИИТЕ на планетата: как в СССР създадоха системата за "умния дом"
→ Как невропредаватели помагат на човечеството
→ Киберстраховане на руския пазар
→ Светлина, камера… облак: как облаците променят киноиндустрията
→ Футбол в облаците — мода или необходимост?

Абонирайте се за нашия Telegram-канал, за да не пропуснете следващата статия! Пишем не повече от два пъти седмично и само по същество.

Източник: habr.com