Публикуван е Clear NDR 1.0, дистрибутив за създаване на системи за откриване на нахлувания

Компания Stamus Networks публикува специализиран дистрибутив Clear NDR 1.0, предназначен за разгръщане на системи за откриване и предотвратяване на мрежови нападения, както и за организиране на реакция на идентифицираните заплахи и мониторинг на мрежовата сигурност. Потребителите получават готово решение за управление на мрежовата сигурност, което може да се използва веднага след изтегляне. Дистрибутивът поддържа работа в Live-режим и стартиране в среди за виртуализация или контейнери. Наработките на проекта се разпространяват под лицензия GPLv3. Размерът на зареденото изображение е 3,9 ГБ.

Дистрибутивът е построен на пакетната база Debian и използва отворената система за откриване на атаки Suricata. Данните, постъпващи от различни източници, се съхраняват в хранилище OpenSearch. За следене на текущото състояние и идентифицираните инциденти е предложен уеб-интерфейс, реализиран върху интерфейса Kibana. За управление на правилата и визуализиране на свързаната с тях активност се използва уеб-интерфейсът Stamus. В него също така са включени система за улавяне, съхранение и индексиране на мрежови пакети Arkime, интерфейс за оценяване на настъпилите събития EveBox и колектор на данни Fluentd.

Последните 10 години дистрибутивът се развиваше под името SELKS, но беше преименуван на Clear NDR след признание за готовността на продукта за приложение в работни решения за малки и средни предприятия, както и разделянето на дистрибутива на издания Community и Enterprise. Enterprise-версията се отличава с интеграция с системи за машинно обучение, разширени средства за класификация на трафика, интеграция с външни системи за реагиране на заплахи, ежедневно обновление на правилата за откриване на нападения и техническа поддръжка.

Основни промени:

• Три варианта за разгръщане: ISO-образ с графичен интерфейс за тези, които предпочитат настройка чрез GUI, ISO-образ с консолна среда за сървъри и версия за стартиране в изолирани контейнери.
• Системата за откриване и предотвратяване на мрежови нападения Suricata е актуализирана до версия 8.x.
• Извършен е преход от платформата за търсене, анализ и съхранение на данни Elasticsearch към форк OpenSearch 2.
• Добавена е поддръжка на протокола MCP (Model Context Protocol) за интеграция с AI-платформи, позволяваща предоставяне на AI-асистенти достъп до събраните данни и инструменти на Clear NDR.
• В уеб интерфейса са предложени нови панелки за контролен център и модули за визуализация на данни. Предложени са повече от 400 модула за визуализация и 58 нови панелки за контролен център.
• Добавена е поддръжка за автоматична обработка на потоци информация за заплахи, която не изисква ръчно написване на правила за Suricata.
• Ускорен е процесът на реагиране при инциденти със сигурността. Добавена е възможност за достъп в два кликвания до доказателствата, свързани с инцидента, като логове, записи на потоци трафик, открити операции с файлове и PCAP дъмпове.
• Обезпечена е възможността за интеграция на потребителския интерфейс с други системи.
• Разширени са възможностите за управление на срока на съхранение на данни (Data Retention).
• Вградени са механизми за уведомяване за новини и нови версии.

Източник: opennet.ru