Издаден е дистрибутивът SELKS 7.0, насочен към създаване на системи за откриване на нашествия

Компания Stamus Networks публикува нова версия на специализирания дистрибутив SELKS 7.0, предназначен за внедряване на системи за откриване и предотвратяване на мрежови атаки, както и за реакция на откритите заплахи и мониторинг на мрежовата сигурност. Потребителите получават напълно готово решение за управление на мрежовата безопасност, което може да се използва веднага след изтеглянето. Дистрибуцията поддържа работа в Live-режим и стартиране в среди за виртуализация или контейнери. Резултатите от проекта се разпространяват под лиценза GPLv3. Размер на ISO образа е 3 ГБ.

Системата е изградена на пакетната основа Debian и отворената платформа IDS Suricata. Данните се обработват с Logstash и се съхраняват в ElasticSearch. За проследяване на текущото състояние и откритите инциденти се предлага уеб интерфейс, реализиран на базата на Kibana. За управление на правилата и визуализиране на свързаната с тях активност се използва уеб интерфейсът Scirius CE. Включени са също така система за улов на пакети Arkime, интерфейс за оценка на събитията EveBox и анализаторът CyberChef.

Освен актуализирането на пакетната база в новата версия се открояват следните подобрения:

• Създаване на пакет за внедряване в системи за контейнерна изолация, поддържащи Docker.
• Напълно автоматизирана система за възпроизвеждане на активността от съхранените логове в PCAP формат, която може да бъде използвана за тестване на работоспособността на внедрените защитни мерки, за анализ на инциденти или в процеса на обучение.
• Разширен и подобрен набор от филтри за откриване на киберзаплахи (threat hunting), които позволяват бързо откриване на злонамерена активност и нарушения на достъпа чрез търсене в логовете на Suricata и NSM (Network Security Monitor).
• Интегриран е пакетът CyberChef, който позволява кодиране, декодиране и анализ на данни, свързани със събитията, работата на протоколите и записите, създадени от Suricata.
• В интерфейса на Kibana са добавени 6 нови раздела за визуализация и мониторинг на активността, свързана с протоколите SNMP, RDP, SIP, HTTP2, RFB, GENEVE, MQTT и DCERPC.

Източник: opennet.ru