7 инструмента за наблюдение на облачната сигурност с отворен код, които трябва да знаете

Широкото възприемане на облачните изчисления помага на компаниите да мащабират своя бизнес. Но използването на нови платформи означава и появата на нови заплахи. Подкрепата на вашия собствен екип в рамките на организацията, отговорна за наблюдението на сигурността на облачните услуги, не е лесна задача. Съществуващите инструменти за мониторинг са скъпи и бавни. Те до известна степен са трудни за управление, ако трябва да осигурите сигурността на широкомащабна облачна инфраструктура. Компаниите, които искат да запазят облачната си сигурност на високо ниво, се нуждаят от инструменти, които са мощни, гъвкави и разбираеми отвъд наличните преди. Тук много полезни са технологиите с отворен код, които спестяват бюджети за сигурност и са създадени от специалисти, които знаят много за своя бизнес.

Статията, чийто превод публикуваме днес, предоставя преглед на 7 инструмента с отворен код за наблюдение на сигурността на облачните системи. Тези инструменти са предназначени да предпазват от хакери и киберпрестъпници чрез откриване на аномалии и опасни дейности.

1. Оскери

Оскери е система за мониторинг и анализ на ниско ниво на операционни системи, която позволява на професионалистите по сигурността да извършват комплексно извличане на данни с помощта на SQL. Рамката Osquery може да работи на Linux, macOS, Windows и FreeBSD. Той представя операционната система (ОС) като високопроизводителна релационна база данни. Това позволява на специалистите по сигурността да изследват операционната система чрез изпълнение на SQL заявки. Например, използвайки заявка, можете да разберете за изпълнявани процеси, за заредени модули на ядрото, за отворени мрежови връзки, за инсталирани разширения на браузъра, за хардуерни събития, за хеш суми на файлове.

Рамката Osquery е създадена от Facebook. Кодът му беше отворен през 2014 г., след като компанията осъзна, че не само самата компания се нуждае от инструменти за наблюдение на механизмите на ниско ниво на операционните системи. Оттогава Osquery се използва от експерти от компании като Dactiv, Google, Kolide, Trail of Bits, Uptycs и много други. Наскоро беше обявено че Linux Foundation и Facebook ще създадат фонд в подкрепа на Osquery.

Демонът за наблюдение на хост на Osquery, наречен osqueryd, ви позволява да планирате заявки, които събират данни от цялата инфраструктура на вашата организация. Демонът събира резултати от заявки и създава регистрационни файлове, които отразяват промените в състоянието на инфраструктурата. Това може да помогне на професионалистите по сигурността да бъдат в крак със състоянието на нещата в системата и е особено полезно за откриване на аномалии. Възможностите на Osquery за агрегиране на журнали могат да се използват за улесняване на търсенето на известен и непознат зловреден софтуер, както и за идентифициране къде нарушителите са влезли в системата и за намиране на програмите, които са инсталирали. тук е материал, където можете да намерите подробности за откриването на аномалии с помощта на Osquery.

2.GoAudit

Система Linux одит се състои от два основни компонента. Първият е някакъв код на ниво ядро, предназначен да прихваща и наблюдава системни повиквания. Вторият компонент е демон на потребителското пространство, наречен auditd. Той отговаря за записването на резултатите от одита на диск. GoAudit, система, създадена от компанията Застой и пуснат през 2016 г. е предназначен да замени auditd. Има подобрени възможности за регистриране чрез преобразуване на многоредови съобщения за събития, генерирани от системата за одит на Linux, в единични JSON петна, което улеснява анализирането. Благодарение на GoAudit можете да получите директен достъп до механизмите на ниво ядро ​​през мрежата. Освен това можете да активирате минимално филтриране на събития на самия хост (или да деактивирате изцяло филтрирането). В същото време GoAudit е проект, предназначен не само за сигурност. Този инструмент е предназначен да бъде многофункционален инструмент за специалисти по системна поддръжка или разработка. Помага за справяне с проблеми в мащабни инфраструктури.

Системата GoAudit е написана на Golang. Това е безопасен за тип и високоефективен език. Преди да инсталирате GoAudit, уверете се, че вашата версия на Golang е по-висока от 1.7.

3 Grapl

Проект Grapl (Graph Analytics Platform) беше прехвърлен в категорията с отворен код през март миналата година. Това е сравнително нова платформа за откриване на проблеми със сигурността, за извършване на компютърна криминалистика и за генериране на доклади за инциденти. Нападателите често работят, използвайки нещо като графичен модел, придобивайки контрол над определена система и изследвайки други мрежови системи, започвайки от тази система. Следователно е съвсем естествено защитниците на системата също да използват механизъм, базиран на графовия модел на свързване на мрежови системи, който отчита особеностите на отношенията между системите. Grapl демонстрира опит за прилагане на мерки за откриване на инциденти и реагиране на базата на графичен модел, а не на лог модел.

Инструментът Grapl взема регистрационни файлове, свързани със сигурността (регистрационни файлове на Sysmon или обикновени регистрационни файлове в JSON) и ги преобразува в подграфи (дефинирайки „информация за самоличност“ за всеки възел). След това той комбинира подграфите в обща графика (Master Graph), която представя действията, извършени в анализираните среди. След това Grapl изпълнява анализатори на получената графика, използвайки „сигнатури на нападател“, за да открие аномалии и подозрителни модели. Когато анализаторът открие подозрителен подграф, Grapl генерира конструкция Engagement за разследване. Engagement е клас на Python, който може да бъде зареден например в Jupyter Notebook, внедрен в AWS среда. Grapl също така може да увеличи мащаба на събирането на информация за разследване на инцидента чрез разширяване на графиката.

Ако искате да станете по-добри с Grapl, можете да погледнете този Интересно видео е запис на изпълнение от BSides Las Vegas 2019.

4 ОССЕК

OSSEC е проект, основан през 2004 г. Този проект като цяло може да се опише като платформа за наблюдение на сигурността с отворен код, предназначена за анализ на хостове и откриване на проникване. OSSEC се изтегля над 500000 XNUMX пъти годишно. Тази платформа се използва главно като инструмент за откриване на проникване в сървър. Освен това говорим както за локални, така и за облачни системи. OSSEC също често се използва като инструмент за изследване на регистрационни файлове за наблюдение и анализ на защитни стени, системи за откриване на проникване, уеб сървъри и за изследване на регистрационни файлове за удостоверяване.

OSSEC съчетава базирана на хост система за откриване на проникване (HIDS) с управление на инциденти със сигурността (SIM) и управление на информация за сигурността и събития (SIEM). OSSEC също може да наблюдава целостта на файловете в реално време. Това е например наблюдение на системния регистър на Windows, откриване на руткитове. OSSEC е в състояние да уведомява заинтересованите страни за открити проблеми в реално време и помага за бързо реагиране на открити заплахи. Тази платформа поддържа Microsoft Windows и повечето модерни Unix-подобни системи, включително Linux, FreeBSD, OpenBSD и Solaris.

Платформата OSSEC се състои от централен контролен обект, мениджър, използван за получаване и наблюдение на информация от агенти (малки програми, инсталирани на системи, които трябва да бъдат наблюдавани). Мениджърът е инсталиран на Linux система, която поддържа база данни, използвана за проверка на целостта на файловете. Той също така поддържа регистрационни файлове и записи на събития и резултати от одит на системата.

Проектът OSSEC в момента се поддържа от Atomicorp. Компанията подготвя безплатна версия с отворен код и в допълнение предлага удължен комерсиална версия на продукта. тук е подкаст, в който ръководителят на проекта OSSEC говори за най-новата версия на системата - OSSEC 3.0. Той също така говори за историята на проекта и как се различава от съвременните търговски системи, използвани в областта на компютърната сигурност.

5. сурикат

Suricata е проект с отворен код, фокусиран върху решаването на основните проблеми на компютърната сигурност. По-специално, той включва система за откриване на проникване, система за предотвратяване на проникване и инструмент за наблюдение на мрежовата сигурност.

Този продукт е пуснат на пазара през 2009 г. Работата му се основава на правила. Тоест този, който го използва, има възможност да опише определени характеристики на мрежовия трафик. Ако правилото се задейства, Suricata генерира известие, блокирайки или прекъсвайки подозрителната връзка, което отново зависи от зададените правила. Проектът също така поддържа многопоточност. Това прави възможно бързото обработване на голям брой правила в мрежи, които носят голямо количество трафик. Благодарение на поддръжката на многопоточност, съвсем обикновен сървър може успешно да анализира трафика със скорост от 10 Gb / s. В същото време администраторът не трябва да ограничава набора от правила, използвани за анализ на трафика. Suricata също поддържа хеширане и извличане на файлове.

Suricata може да бъде конфигуриран да работи на обикновени сървъри или на виртуални машини, като AWS, като се използва функция, добавена наскоро към продукта трафик-мониторинг.

Проектът поддържа скриптове Lua, които могат да се използват за създаване на сложна и подробна логика за анализ на сигнатури на заплахи.

Проектът Suricata се управлява от Open Information Security Foundation (OISF).

6. Зийк (брато)

Като Суриката, Zeek (този проект преди се наричаше Bro и беше преименуван на Zeek на събитието BroCon 2018) също е система за откриване на проникване и инструмент за наблюдение на мрежовата сигурност, който може да открие аномалии като подозрителни или опасни дейности. Zeek се различава от традиционните IDS по това, че за разлика от базираните на правила системи, които откриват изключения, Zeek също улавя метаданни, свързани с това, което се случва в мрежата. Това се прави, за да се разбере по-добре контекстът на необичайно мрежово поведение. Това позволява, например, когато анализирате HTTP повикване или процедура за обмен на сертификати за сигурност, да разгледате протокола, заглавките на пакетите, имената на домейни.

Ако разглеждаме Zeek като инструмент за мрежова сигурност, тогава можем да кажем, че той дава възможност на специалист да разследва инцидент, като научи какво се е случило преди или по време на инцидента. Zeek също преобразува данните за мрежовия трафик в събития от високо ниво и прави възможна работа със скрипт интерпретатор. Интерпретаторът поддържа езика за програмиране, използван за взаимодействие със събития и за откриване какво точно означават тези събития по отношение на мрежовата сигурност. Езикът за програмиране Zeek може да се използва за персонализиране на интерпретацията на метаданните според нуждите на конкретна организация. Тя ви позволява да създавате сложни логически условия, като използвате операторите И, ИЛИ и НЕ. Това дава възможност на потребителите да персонализират как се анализират техните среди. Вярно е, че трябва да се отбележи, че в сравнение със Suricata, Zeek може да изглежда като доста сложен инструмент при провеждане на разузнаване за заплахи за сигурността.

Ако се интересувате от повече подробности за Zeek, моля свържете се с това видео.

7. Пантера

Пантера е мощна облачна платформа за непрекъснат мониторинг на сигурността. Наскоро беше прехвърлен в категорията с отворен код. В основата на проекта стои главният арх Предупреждение за поток е решение за автоматизиран анализ на списания, чийто код е с отворен код от Airbnb. Panther предоставя на потребителя единна система за централно откриване и реагиране на заплахи във всички среди. Тази система може да расте с размера на обслужваната инфраструктура. Откриването на заплахи е организирано с помощта на прозрачни детерминистични правила за намаляване на фалшивите положителни резултати и намаляване на ненужното натоварване за специалистите по сигурността.

Сред основните характеристики на Panther са следните:

• Откриване на неоторизиран достъп до ресурси чрез анализиране на регистрационни файлове.
• Сканиране на заплахи, реализирано чрез търсене на регистрационни файлове за индикатори, показващи проблеми със сигурността. Търсенето се извършва с помощта на стандартизирани полета с данни на Panter.
• Използване на проверка на системата за съответствие с SOC/PCI/HIPAA вградени Пантера механизми.
• Защитете облачните си ресурси чрез автоматично коригиране на грешки в конфигурацията, които, ако бъдат използвани, могат да причинят сериозни проблеми.

Panther се внедрява в AWS облака на организация с помощта на AWS CloudFormation. Това позволява на потребителя винаги да контролира данните си.

Резултати от

Мониторингът на сигурността на системите в наши дни е най-важната задача. Инструментите с отворен код могат да помогнат на компании от всякакъв размер да решат този проблем, като предоставят много възможности и почти нищо не струват или безплатно.

Уважаеми читатели! Какви инструменти за наблюдение на сигурността използвате?

Източник: www.habr.com