7 инструмента с отворен код за мониторинг на сигурността на облачните системи, които трябва да знаете

Широкото разпространение на облачните изчисления помага на компаниите да разширят бизнеса си. Но внедряването на нови платформи означава и появата на нови заплахи. Осигуряването на собствен екип в организацията, отговорен за мониторинга на сигурността на облачните услуги, е предизвикателство. Съществуващите инструменти за мониторинг са скъпи и бавни. Те, до известна степен, са трудни за управление, когато е необходимо да се осигури сигурността на мащабна облачна инфраструктура. За да поддържат облачната си сигурност на високо ниво, компаниите се нуждаят от мощни, гъвкави и интуитивни инструменти, чийто капацитет надхвърля това, което е било достъпно преди. Именно тук се проявяват много полезно отворените технологии, които помагат за спестяване на бюджети за сигурност и се създават от специалисти, които разбират от работата си.

В статията, превод на която публикуваме днес, е представен обзор на 7 отворени инструмента за мониторинг на сигурността на облачни системи. Тези инструменти са предназначени за защита от хакери и киберпрестъпци чрез откриване на аномалии и небезопасни действия.

1. Osquery

Osquery е система за ниско ниво мониторинг и анализ на операционни системи, която позволява на специалистите по сигурност да провеждат сложни изследвания на данни, използвайки SQL. Фреймворкът Osquery може да работи на Linux, macOS, Windows и FreeBSD. Той представя операционната система (ОС) под формата на високопроизводителна релационна база данни. Това позволява на специалистите по сигурност да изследват ОС, като изпълняват SQL заявки. Например, с помощта на заявка може да се узнае за текущите процеси, заредените модули на ядрото, отворените мрежови връзки, инсталираните разширения на браузъра, хардуерните събития и хеш-сумите на файловете.

Фреймворкът Osquery е създаден от Facebook. Неговият код беше отворен през 2014 година, след като компанията осъзна, че в инструментите за наблюдение на ниско равнище механизми на операционните системи имат нужда не само те. Оттогава Osquery се използва от специалисти от компании като Dactiv, Google, Kolide, Trail of Bits, Uptycs и много други. Напоследък имаше обявено информация за това, че Linux Foundation и Facebook планират да създадат фонд за подкрепа на Osquery.

Демонът за мониторинг на хостове Osquery, наречен osqueryd, позволява планиране на изпълнението на заявки, насочени към събиране на данни от цялата инфраструктура на организацията. Демонът събира резултатите от заявките и създава журнали, които отразяват промените в състоянието на инфраструктурата. Това може да помогне на специалистите по сигурност да бъдат в течение на състоянието на системата и е особено полезно за откриване на аномалии. Възможностите на Osquery за агрегация на журнали могат да се използват за улесняване на търсенето на известни и неизвестни злонамерени програми, както и за откриване на места за проникване на злоуморци в системата и за търсене на инсталирани от тях програми. Ето материал, в който можете да намерите подробности относно откритията на аномалии с помощта на Osquery.

2. GoAudit

Система аудит на Linux се състои от два основни компонента. Първият — това е някакъв код на ниво ядро, предназначен за прихващане и мониторинг на системните повици. Вторият компонент — това е демон, работещ в потребителското пространство, наречен auditd. Той отговаря за записването на диска на резултатите от аудита. GoAudit, система, създадена от фирмата Slack и пусната през 2016 година, предназначена за замяна на auditd. Тя има подобрени възможности за логиране, благодарение на това, че конвертира многострочни съобщения за събития, генерирани от системата за аудит на Linux, в единични BLOB-обекти JSON, което улеснява анализа. С помощью GoAudit можете директно да взаимодействате с механизмите на ниво ядро през мрежата. Освен това, можете да включите минимална филтрация на събитията на самия хост (или напълно да деактивирате филтрацията). При това GoAudit е проект, предназначен не само за осигуряване на сигурност. Този инструмент е замислен като многофункционално средство за специалисти, занимаващи се с поддръжка на системи или разработка. Той помага в борбата с проблемите в мащабни инфраструктури.

Системата GoAudit е написана на Golang. Това е типобезопасен и високо производителен език. Преди инсталацията на GoAudit, уверете се, че версията на Golang, която имате, е по-висока от 1.7.

3. Grapl

Проект Grapl (Graph Analytics Platform) беше преведен в категорията с отворен код през март миналата година. Това е сравнително нова платформа за откриване на проблеми със сигурността, за провеждане на компютърна криминалистична експертиза и за генериране на доклади за инциденти. Нападателите често работят, използвайки нещо като граф модел, получавайки контрол над определена система и изследвайки други мрежови системи, започвайки от тази система. Поради това е напълно естествено защитниците на системите също да използват механизъм, основан на граф модела на връзките на мрежовите системи, вземащ предвид особеностите на отношението между системите. Grapl демонстрира опит за прилагане на мерки за откриване на инциденти и реакция на тях, основани на граф модела, а не на модел на журнал.

Инструментът Grapl приема логове, свързани със сигурността (Sysmon логове или логове в стандартен JSON формат) и ги конвертира в подграфи (определяйки "идентификационна информация" за всеки възел). След това той обединява подграфите в общ граф (Master Graph), който представлява действията, извършени в анализираните среди. След това Grapl стартира анализатори (Analyzers) на получения граф, използвайки "сигнатури на нападателя", за да открие аномалии и подозрителни модели. Когато анализаторът открие подозрителен подграф, Grapl генерира конструкция Engagement, предназначена за провеждане на разследвания. Engagement е Python клас, който може да бъде зареден, например, в Jupyter Notebook, разположен в среда на AWS. Grapl освен това може да увеличава мащабите на събиране на информация за разследване на инциденти чрез разширяване на графа.

Ако искате да разберете по-добре Grapl — можете да гледате е интересно видео — запис от лекция на BSides Las Vegas 2019.

4. OSSEC

OSSEC — е проект, основан през 2004 година. Този проект може да бъде описан като отворена платформа за мониторинг на сигурността, която е предназначена за анализ на хостове и откриване на прониквания. Годишно OSSEC се изтегля повече от 500000 пъти. Тази платформа се използва главно като средство за откриване на прониквания на сървъри. Освен това, тя обхваща както локални, така и облачни системи. OSSEC често се използва и като инструмент за проучване на мониторингови дневници и анализ на защитни стени, системи за откриване на прониквания, уеб сървъри, а също и за изучаване на дневници на автентикация.

OSSEC комбинира възможностите на системата за откриване на прониквания на хостове (HIDS, Host-Based Intrusion Detection System) със системата за управление на инциденти в сферата на сигурността (SIM, Security Incident Management) и със системата за управление на информацията за сигурността и събитията (SIEM, Security Information and Event Management). OSSEC може също така да извършва мониторинг на целостта на файловете в реално време. Например, това включва мониторинг на регистъра на Windows и откриване на rootkit-ове. OSSEC известява заинтересованите страни за откритите проблеми в реално време и помага за бърза реакция на посочените заплахи. Тази платформа поддържа Microsoft Windows и повечето съвременни Unix-подобни системи, включително Linux, FreeBSD, OpenBSD и Solaris.

Платформата OSSEC се състои от централен управляващ компонент, мениджър, който се използва за получаване и мониторинг на информация от агенти (малки програми, инсталирани в системите, които трябва да бъдат наблюдавани). Мениджърът се инсталира на Linux система, която съхранява базата данни, използвана за проверка на целостта на файловете. Тя освен това съхранява дневници и записи за събития и резултати от одитите на системите.

Подкрепата на проекта OSSEC в момента се осъществява от компанията Atomicorp. Компанията управлява безплатната отворена версия и също така предлага разширена търговска версия на продукта. Ето подкаст, в който мениджърът на проекта OSSEC говори за новата версия на системата — OSSEC 3.0. Там също се обсъжда историята на проекта и какво го отличава от съвременните търговски системи, използвани в сферата на компютърната сигурност.

5. Suricata

Suricata — това е open source проект, насочен към решаването на основни задачи за осигуряване на компютърна сигурност. По-специално, той включва система за откриване на прониквания, система за предотвратяване на прониквания и инструмент за мониторинг на мрежовата сигурност.

Този продукт се появи през 2009 година. Неговата работа е основана на правила. Тоест — потребителят може да опише определени характеристики на мрежовия трафик. Ако правилото сработи, Suricata генерира уведомление, блокирайки или прекъсвайки подозрителна връзка, което отново зависи от зададените правила. Проектът поддържа работа в многопоточен режим. Това позволява бърза обработка на голямо количество правила в мрежи, през които преминават високи обеми трафик. Благодарение на поддръжката на многопоточност, съвсем обикновен сървър може успешно да анализира трафик със скорост до 10 Гбит/с. При това администраторът не е принуден да ограничава набора от правила, използвани за анализ на трафика. Suricata също така поддържа хеширане и извличане на файлове.

Suricata може да бъде настроена за работа на обикновени сървъри или на виртуални машини, например в AWS, използвайки наскоро появилата се в продукта възможност monitoring на трафик.

Проектът поддържа Lua скриптове, с които могат да се създават сложна и детайлна логика за анализ на заплахите.

Проектът Suricata се управлява от Open Information Security Foundation (OISF).

6. Zeek (Bro)

Както Suricata, Zeek (този проект преди се наричаше Bro и беше преименуван на Zeek на събитието BroCon 2018) — това също е система за откриване на прониквания и инструмент за мониторинг на мрежовата сигурност, който може да открива аномалии, като подозрителни или опасни действия. Zeek се различава от традиционните IDS, тъй като, за разлика от системите, основани на правила, които откриват изключения, Zeek също така улавя метаданни, свързани с дейностите в мрежата. Това се прави, за да се разбере по-добре контекстът на необичайното мрежово поведение. Например, анализирайки HTTP извикване или процедура за обмен на сертификати за сигурност, можем да погледнем на протокола, заглавките на пакети, домейните.

Ако разглеждаме Zeek като инструмент за мрежова безопасност, може да се каже, че той предоставя на специалиста възможността да проведе разследване на инцидент, като научи какво се е случило преди или по време на инцидента. Освен това, Zeek конвертира данни за мрежовия трафик в събития с висок ред и предоставя възможност за работа с интерпретатор на скриптове. Интерпретаторът поддържа програмния език, използван за организиране на взаимодействието със събитията и за изясняване на това какво точно означават тези събития в контекста на мрежовата безопасност. Програмният език на Zeek може да се използва за настройка на интерпретацията на метаданните по начин, който е необходим за конкретната организация. Той позволява изграждането на сложни логически условия, използвайки оператори AND, OR и NOT. Това предоставя на потребителите възможност да настроят процедурата за анализ на техните среди. Вярно е, че в сравнение с Suricata, Zeek може да изглежда доста сложен инструмент при провеждане на разузнаване на заплахите за безопасността.

Ако се интересувате от подробности за Zeek — свържете се с този видео.

7. Panther

Panther е мощна, първоначално облачно ориентирана платформа за организиране на непрекъснато мониторинг на безопасността. Тя е оповестена като опенсорсна наскоро. В основата на проекта стои основният архитект StreamAlert е решение за автоматизирана аналитика на логове, чийто код беше открит от компанията Airbnb. Panther предоставя на потребителя единна система за централно откритие на заплахи във всички среди и за организиране на реакция на тях. Тази система може да расте заедно с размера на обслужваната инфраструктура. Откритията на заплахи са организирани с помощта на прозрачни детерминистични правила, което е направено, за да се намали процентът на фалшивите положителни резултати и да се намали ненужната тежест върху специалистите по безопасност.

Сред основните възможности на Panther могат да се отбележат следните:

• Откритие на неоторизиран достъп до ресурси чрез анализ на логовете.
• Търсене на заплахи, реализирано чрез търсене в логовете на показатели, указващи на проблеми с безопасността. Търсенето се провежда с използване на стандартизирани полета за данни на Panther.
• Проверка на съответствие стандартите SOC/PСI/HIPAA с използването на вградени механизми на Panther.
• Защита на облачните ресурси чрез автоматично корigиране на конфигурационни грешки, които, ако бъдат използвани от злонамерени лица, могат да доведат до сериозни проблеми.

Panther се разгръща в AWS облака на организацията с помощта на AWS CloudFormation. Това позволява на потребителя винаги да контролира данните си.

Итог

Мониторингът на сигурността на системите е в наши дни изключително важна задача. За решаването на този проблем компаниите от всякакъв мащаб могат да се възползват от опенсорс инструменти, които предлагат множество възможности и почти никакви разходи или са безплатни.

Уважаеми читатели! Какви инструменти за мониторинг на сигурността използвате?

Източник: habr.com