7 опенсорсни инструменти за мониторинг на сигурността на облачните системи, за които трябва да знаете

Широкото разпространение на облачните изчисления помага на компаниите да разширят бизнеса си. Но прилагането на нови платформи води до поява на нови заплахи. Поддържането на собствен екип в организацията, който да отговаря за мониторинга на сигурността на облачните услуги, е сложно начинание. Съществуващите инструменти за мониторинг са скъпи и бавни. С тях управлението е трудно, особено когато става въпрос за осигуряване на сигурността на мащабна облачна инфраструктура. Компаниите имат нужда от мощни, г灵ки и интуитивни инструменти, чиито възможности надвишават наличните преди това. Тук опенсорс технологиите се явяват изключително полезни, тъй като помагат за спестяване на бюджети за сигурност и се създават от специалисти, разбиращи в своята област.

В статията, преводът на която публикуваме днес, е представен преглед на 7 опенсорс инструмента за мониторинг на сигурността на облачните системи. Тези инструменти са предназначени за защита от хакери и киберпрестъпници чрез откритие на аномалии и небезопасни действия.

1. Osquery

Osquery — е система за нискоуровнев мониторинг и анализ на операционни системи, която позволява на специалистите по сигурност да извършват сложни анализи на данни, използвайки SQL. Фреймворкът Osquery може да работи на Linux, macOS, Windows и FreeBSD. Той представя операционната система (ОС) под формата на високо производителна релационна база данни. Това позволява на специалистите по сигурност да изследват ОС чрез изпълнение на SQL запитвания. Например, с помощта на запитване може да се извлече информация за изпълняващи се процеси, заредени модули на ядрото, отворени мрежови връзки, инсталирани разширения на браузъра, хардуерни събития и хеш суми на файлове.

Фреймворкът Osquery е създаден от Facebook. Неговият код беше отворен през 2014 година, след като компанията осъзна, че инструментите за наблюдение на нискоуровневите механизми на операционните системи са необходими не само на нея. От тогава Osquery се използва от специалисти в компании като Dactiv, Google, Kolide, Trail of Bits, Uptycs и от много други. Наскоро беше обявено обявено, че Linux Foundation и Facebook планират да създадат фонд за подкрепа на Osquery.

Демонът за мониторинг на хостове Osquery, наречен osqueryd, позволява планирането на изпълнение на заявки, насочени към събиране на данни от цялата инфраструктура на организацията. Демонът събира резултатите от заявките и създава журнали, които отразяват промените в състоянието на инфраструктурата. Това може да помогне на специалистите по сигурността да следят състоянието на системата и е особено полезно за откриване на аномалии. Възможностите на Osquery за агрегация на журнали могат да се използват за улесняване на търсенето на известни и неизвестни зловредни програми, както и за откриване на места на проникване от злонамерени лица в системата и за търсене на инсталираните от тях програми. Ето материал, в който можете да намерите подробности за открития на аномалии с помощта на Osquery.

2. GoAudit

Система одит на Linux състои се от две основни компоненти. Първият е определен код на ядро, предназначен за прихващане и наблюдение на системни повиквания. Вторият компонент е демон, работещ в потребителското пространство, наречен auditd. Той отговаря за записването на резултатите от одита на диск. GoAudit, система, създадена от компанията Slack и пусната на пазара през 2016 г., е предназначена да замени auditd. Тя има подобрени възможности за логване, тъй като преобразува многострочни съобщения за събития, генерирани от системата за одит на Linux, в единни BLOB обекти JSON, което улеснява анализа. С помощта на GoAudit можете директно да се обърнете към механизмите на ядрото по мрежата. Освен това може да се включи минимална филтрация на събитията на самия хост (или напълно да се деактивира филтрацията). Освен това GoAudit е проект, насочен не само към осигуряване на сигурност. Този инструмент е замислен като многофункционално средство за специалисти, занимаващи се с поддръжката на системи или разработката. Той помага за справяне с проблеми в големи инфраструктури.

Системата GoAudit е написана на Golang. Това е типобезопасен и високопроизводителен език. Преди инсталирането на GoAudit, уверете се, че имате версия на Golang, по-висока от 1.7.

3. Grapl

Проект Grapl (Graph Analytics Platform) беше преведен в категорията на опенсорсни решения през март миналата година. Това е сравнително нова платформа за откриване на проблеми със сигурността, провеждане на компютърно криминалистично изследване и генериране на доклади за инциденти. Атакуващите често работят, използвайки нещо като графов модел, получавайки контрол върху определена система и изследвайки други мрежови системи, започвайки от тази система. Следователно е напълно естествено защитниците на системите да използват механизъм, основан на графовия модел на връзките между мрежовите системи, който отчита особеностите на отношенията между системите. Grapl демонстрира опит за прилагане на мерки за идентифициране на инциденти и реагиране на тях, базирайки се на графов модел, а не на модел на журнал.

Инструментът Grapl приема журнали, свързани със сигурността (логи Sysmon или логи в обикновен JSON формат) и ги конвертира в подграфи (определяйки „идентификационна информация“ за всеки възел). След това той обединява подграфите в общ граф (Master Graph), който представя действията, извършени в анализираните среди. След това Grapl прилага анализатори (Analyzers) на получения граф, използвайки „сигнатури на атакуващия“ за идентифициране на аномалии и подозрителни модели. Когато анализаторът открие подозрителен подграф, Grapl генерира Engagement конструкт, предназначен за провеждане на разследвания. Engagement е Python клас, който може да бъде зареден, например, в Jupyter Notebook, разположен в среда AWS. Grapl също така може да разширява обхвата на събирането на информация за разследване на инцидент чрез разширяване на графа.

Ако искате да разберете по-добре Grapl — можете да изгледате това интересно видео — запис от представяне на BSides Las Vegas 2019.

4. OSSEC

OSSEC — е проект, основан през 2004 година. Проектът може да бъде описан като опенсорсна платформа за мониторинг на сигурността, насочена към анализ на хостове и откриване на натрапване. Годишно OSSEC се изтегля повече от 500000 пъти. Тази платформа се използва основно като средство за откриване на натрапване на сървъри. Става въпрос както за локални, така и за облачни системи. OSSEC, в допълнение, често се използва като инструмент за анализ на логовете за мониторинг и анализ на защитни стени, системи за откриване на натрапване, уеб сървъри, а също и за изследване на журнали за удостоверяване.

OSSEC комбинира възможностите на хостова система за откритие на натрапване (HIDS, Host-Based Intrusion Detection System) с управление на инциденти в областта на сигурността (SIM, Security Incident Management) и управление на информацията за сигурността и събитията (SIEM, Security Information and Event Management). OSSEC също така извършва мониторинг на целостта на файловете в реално време. Например, мониторинг на Windows регистъра, откриване на руткити. OSSEC уведомява заинтересованите лица за откритите проблеми в реално време и помага за бързо реагиране на намерените заплахи. Тази платформа поддържа Microsoft Windows и повечето съвременни Unix-подобни системи, включително Linux, FreeBSD, OpenBSD и Solaris.

Платформата OSSEC се състои от централна управляваща единица, мениджър, използван за получаване и мониторинг на информация от агенти (малки програми, инсталирани в системи, които трябва да бъдат мониторирани). Мениджърът се инсталира на Linux система, която съхранява база данни, използвана за проверка на целостта на файловете. Също така съхранява логове и записи за събития и резултати от одити на системи.

Подкрепата за проекта OSSEC в момента е поета от компанията Atomicorp. Компанията управлява безплатната опенсорсна версия и освен това предлага разширена комерсиална версия на продукта. Ето подкаст, в който мениджърът на проекта OSSEC обсъжда новата версия на системата — OSSEC 3.0. Там също така се говори за историята на проекта и за това какво го отличава от съвременните търговски системи, използвани в областта на компютърната сигурност.

5. Suricata

Suricata — това е проект с отворен код, насочен към решаване на основни задачи за осигуряване на компютърна сигурност. В частност, той включва система за откриване на вторжения, система за предотвратяване на вторжения и инструмент за мониторинг на мрежовата сигурност.

Този продукт се появи през 2009 година. Неговата работа е базирана на правила. Тоест — лицето, което го използва, има възможност да опише определени характеристики на мрежовия трафик. Ако правило сработи, Suricata генерира уведомление, блокирайки или прекъсвайки подозрителната връзка, което, отново, зависи от зададените правила. Проектът също така поддържа работа в многонишков режим. Това позволява бърза обработка на голямо количество правила в мрежи, през които преминават големи обеми трафик. Поради поддръжката на многопоточност, напълно обикновен сървър може успешно да анализира трафик, достигащ скорости от 10 Гбит/с. При това, администраторът не е принуден да ограничава набора от използвани за анализ на трафика правила. Suricata, освен това, поддържа хеширане и извличане на файлове.

Suricata може да бъде настроен за работа на обикновени сървъри или на виртуални машини, например, в AWS, с използването на новопоявилата се възможност в продукта traffic-monitoring.

Проектът поддържа Lua-скриптове, с помощта на които могат да се създават сложна и детайлна логика за анализ на сигнатури на заплахи.

Проектът Suricata се осъществява от Open Information Security Foundation (OISF).

6. Zeek (Bro)

Както Suricata, Zeek (този проект преди се наричаше Bro и беше прекръстен на Zeek на събитието BroCon 2018) — това също е система за откриване на вторжения и инструмент за мониторинг на мрежовата сигурност, който може да открива аномалии, като подозрителни или опасни действия. Zeek се различава от традиционните IDS, тъй като, в отличие от системи, основани на правила, които откриват изключения, Zeek също така улавя метаданни, свързани с това, което се случва в мрежата. Това се прави, за да се разбере по-добре контекста на необичайното мрежово поведение. Например, анализирайки HTTP-заявка или процедура за обмен на сертификати за сигурност, можем да погледнем протокола, заглавките на пакетите и домейн имената.

Ако разглеждаме Zeek като инструмент за мрежова сигурност, можем да кажем, че той предоставя на специалиста възможността да проведе разследване на инцидент, като научи какво е станало преди или по време на инцидента. Zeek също така преобразува данните за мрежовия трафик в събития с високо ниво и предлага възможност за работа с интерпретатор на скриптове. Интерпретаторът поддържа програмния език, използван за организиране на взаимодействието със събитията и за изясняване на това какво точно означават тези събития в контекста на мрежовата сигурност. Програмният език Zeek може да се използва за настройка на интерпретацията на метаданни, според нуждите на конкретната организация. Той позволява изграждане на сложни логически условия с използване на операторите AND, OR и NOT. Това дава на потребителите възможността да конфигурират процедурата за анализ на техните среди. Въпреки това, трябва да се отбележи, че в сравнение с Suricata, Zeek може да изглежда доста сложен инструмент при провеждането на разузнаване за заплахи.

Ако се интересувате от подробности за Zeek — обърнете се към това видео.

7. Panther

Panther е мощна, първоначално облачна платформа за организиране на непрекъснат мониторинг на сигурността. Тя беше направена с отворен код наскоро. В основата на проекта стои основният архитект StreamAlert е решение за автоматизирано анализиране на журнали, кодът на което беше отворен от компанията Airbnb. Panther предоставя на потребителя единна система за централизирано откриване на заплахи във всички среди и за организиране на реакция на тях. Тази система е способна да расте заедно с размера на обслужваната инфраструктура. Откритията на заплахи са организирани с помощта на прозрачни детерминирани правила, което е направено с цел да се намали процентът на фалшиви аларми и да се снизят ненужните натоварвания на специалистите по сигурността.

Сред основните възможности на Panther могат да се отбележат следните:

• Откритие на неразрешен достъп до ресурси чрез анализ на журнали.
• Търсене на заплахи, реализирано чрез запитвания в журналите за показатели, указващи проблеми със сигурността. Търсенето се извършва с използване на стандартизирани полета от данни на Panther.
• Проверка на системата за съответствие със стандартите SOC/PCI/HIPAA с помощта на вградени механизми Panther.
• Защита на облачните ресурси чрез автоматично коригиране на конфигурационни грешки, които, ако бъдат експлоатирани от злонамерени лица, биха могли да доведат до сериозни проблеми.

Panther се разгръща в AWS облака на организацията с помощта на AWS CloudFormation. Това позволява на потребителя да контролира данните си по всяко време.

Резюме

Мониторингът на сигурността на системите е важна задача в наши дни. Решаването на този проблем може да бъде подпомогнато от опенсурс инструменти, които предоставят множество възможности и са почти безплатни или напълно безплатни.

Уважаеми читатели! Кои инструменти за мониторинг на сигурността използвате?

Източник: habr.com