Široké rozšíření cloudových technologií pomáhá firmám v rozšiřování jejich podnikání. Avšak používání nových platforem také znamená vznik nových hrozeb. Podpora vlastní týmu v rámci organizace, odpovědného za monitoring bezpečnosti cloudových služeb, není jednoduchá záležitost. Existující monitorovací nástroje jsou drahé a pomalé. V určitém smyslu je obtížné je spravovat, pokud je třeba zajistit bezpečnost rozsáhlé cloudové infrastruktury. Firmy potřebují silné, flexibilní a srozumitelné nástroje, jejichž možnosti přesahují to, co bylo dříve dostupné, aby udržely svou cloudovou bezpečnost na vysoké úrovni. Právě zde přicházejí velmi vhod opensorové technologie, které pomáhají šetřit rozpočty na bezpečnost a jsou vytvářeny specialisty, kteří ví, co dělají.
V článku, jehož překlad dnes zveřejňujeme, je představeno 7 opensorových nástrojů pro monitorování bezpečnosti cloudových systémů. Tyto nástroje jsou určeny k ochraně před hackery a kybernetickými zločinci detekcí anomálií a nebezpečných činností.
1. Osquery
je systém pro nízkoúrovňový monitoring a analýzu operačních systémů, který umožňuje specialistům na bezpečnost provádět složitá data vyšetřování pomocí SQL. Rámec Osquery může běžet na Linuxu, macOS, Windows a FreeBSD. Představuje operační systém (OS) jako vysoce výkonnou relační databázi. To umožňuje specialistům na bezpečnost zkoumat OS pomocí vykonávání SQL dotazů. Například pomocí dotazu lze zjistit, jaké procesy se aktuálně vykonávají, jaké moduly jádra jsou načteny, jaká síťová spojení jsou otevřena, jaké rozšíření prohlížeče jsou nainstalována, jaké události hardware se vyskytly a jaké jsou hash hodnoty souborů.
Rámec Osquery byl vytvořen Facebookem. Jeho kód byl otevřen v roce 2014, poté co společnost pochopila, že v nástrojích pro sledování nízkoúrovňových mechanismů operačních systémů potřebuje nejen ona sama. Od té doby Osquery používají specialisté z firem jako Dactiv, Google, Kolide, Trail of Bits, Uptycs a z mnoha dalších. Nedávno bylo oznámeno, že Linux Foundation a Facebook plánují vytvořit fond na podporu Osquery.
Demon monitorování hostitelů Osquery, nazývaný osqueryd, umožňuje plánovat provádění dotazů, které mají za cíl sbírat data z celé infrastruktury organizace. Demon shromažďuje výsledky dotazů a vytváří protokoly, které odrážejí změny stavu infrastruktury. To může pomoci bezpečnostním specialistům být informováni o stavu systému a je zvláště užitečné pro odhalování anomálií. Možnosti Osquery pro agregaci protokolů lze využít k usnadnění vyhledávání známých a neznámých malwaru, stejně jako k odhalování míst, kde se útočníci dostali do systému a k vyhledávání jejich nainstalovaných programů. materiál, ve kterém lze najít podrobnosti o odhalování anomálií pomocí Osquery.
2. GoAudit
Systém se skládá ze dvou hlavních komponentů. První je určitý kód na úrovni jádra určený k zachycování a monitorování systémových volání. Druhá komponenta je démon, který běží v uživatelském prostoru, nazývaný . Odpovídá za zapisování výsledků auditu na disk. , systém vyvinutý společností a vydaný v roce 2016, má za cíl nahradit auditd. Nabízí vylepšené možnosti logování díky tomu, že převádí vícerozměrné zprávy o událostech generovaných systémem auditu Linux do jednotných BLOB-objektů JSON, což usnadňuje analýzu. Díky GoAudit lze přímo přistupovat k mechanismům na úrovni jádra prostřednictvím sítě. Dále lze aktivovat minimální filtrování událostí přímo na hostiteli (nebo zcela deaktivovat filtrování). GoAudit je projekt navržený nejen k zajištění bezpečnosti. Tento nástroj má být mnohostranným prostředkem pro specialisty v oblasti podpory systémů nebo vývoje. Pomáhá řešit problémy ve velkoplošných infrastrukturách.
Systém GoAudit je napsán v jazyce Golang. Je to typově bezpečný a vysoce výkonný jazyk. Před instalací GoAudit zkontrolujte, zda máte verzi Golang vyšší než 1.7.
3. Grapl
Projekt (Graph Analytics Platform) byl převeden do kategorie open-source v březnu loňského roku. Je to relativně nová platforma pro odhalování problémů se zabezpečením, provádění počítačové forenzní analýzy a vytváření zpráv o incidentech. Útočníci často operují pomocí něčeho jako modelu grafu, přičemž získávají kontrolu nad konkrétním systémem a zkoumají další síťové systémy začínající tímto systémem. Je tedy přirozené, že i obránci systémů budou používat mechanismus založený na modelu grafu vztahů síťových systémů, který zohledňuje charakteristiky vztahů mezi systémy. Grapl demonstruje snahu o aplikaci opatření pro odhalování incidentů a reakci na ně, založených na modelu grafu, nikoli na modelu logu.
Nástroj Grapl přijímá logy související se zabezpečením (logy Sysmon nebo logy ve standardním formátu JSON) a převádí je na podgrafy (identifikuje "identifikační informace" pro každý uzel). Následně spojuje podgrafy do hlavního grafu (Master Graph), který reprezentuje akce provedené v analyzovaných prostředích. Poté Grapl spouští na získaném grafu analyzátory (Analyzers) používající "útočné podpisy" pro odhalování anomálií a podezřelých vzorů. Když analyzátor odhalí podezřelý podgraf, Grapl generuje konstrukci Engagement, určenou pro provádění vyšetřování. Engagement je Python třída, kterou lze načíst například do Jupyter Notebooku nasazeného ve prostředí AWS. Grapl navíc umí škálovat sběr informací pro vyšetřování incidentu prostřednictvím rozšíření grafu.
Pokud se chcete lépe seznámit s Grapl — můžete se podívat na zajímavé video — záznam vystoupení z BSides Las Vegas 2019.
4. OSSEC
— je projekt, který byl založen v roce 2004. Tento projekt lze obecně charakterizovat jako open-source platformu pro monitorování zabezpečení, zaměřenou na analýzu hostitelů a detekci narušení. Každý rok si OSSEC stáhne více než 500 000 uživatelů. Tato platforma se převážně používá jako nástroj pro detekci narušení na serverech. Přičemž se jedná jak o lokální, tak o cloudové systémy. OSSEC se často používá také jako nástroj pro analýzu protipohybových protokolů a souvisejících firewallů, systémů detekce narušení, webových serverů a také pro studium autentizačních protokolů.
OSSEC kombinuje schopnosti hostitelského systému detekce narušení (HIDS, Host-Based Intrusion Detection System) se systémem správy incidentů v oblasti zabezpečení (SIM, Security Incident Management) a se systémem správy informací o zabezpečení a bezpečnostních událostech (SIEM, Security Information and Event Management). OSSEC dokáže také provádět monitorování integrity souborů v reálném čase. Například monitorování registru systému Windows, detekci rootkitů. OSSEC je schopen informovat zainteresované strany o nalezených problémech v reálném čase a pomáhá rychle reagovat na objevené hrozby. Tato platforma podporuje Microsoft Windows a většinu moderních unixových systémů, včetně Linuxu, FreeBSD, OpenBSD a Solaris.
Platforma OSSEC se skládá z centrální řídící entity, manažera, který se používá k získávání a monitorování informací od agentů (malých programů instalovaných v systémech, které je třeba monitorovat). Manažer je instalován na systému Linux, který uchovává databázi používanou k ověřování integrity souborů. Navíc ukládá protokoly a záznamy o událostech a o výsledcích auditu systémů.
Podporou projektu OSSEC se v současnosti zabývá společnost Atomicorp. Společnost kurátorsky spravuje bezplatnou open-source verzi a navíc nabízí komerční verzi produktu. podcast, ve kterém manažer projektu OSSEC hovoří o nové verzi systému — OSSEC 3.0. Zmiňuje se tam také o historii projektu a o tom, čím se liší od moderních komerčních systémů používaných v oblasti počítačové bezpečnosti.
5. Suricata
— je open-source projekt zaměřený na řešení základních úkolů v oblasti počítačové bezpečnosti. V jeho rámci se nachází systém pro detekci průniků, systém pro prevenci průniků a nástroj pro monitorování síťové bezpečnosti.
Tento produkt vznikl v roce 2009. Jeho činnost je založena na pravidlech. To znamená, že uživatel má možnost popsat určité rysy síťového provozu. Pokud je pravidlo aktivováno, Suricata generuje upozornění, blokuje nebo přerušuje podezřelé spojení, což opět závisí na stanovených pravidlech. Projekt navíc podporuje vícevláknový režim. To umožňuje rychlé zpracování velkého počtu pravidel v sítích, kterými procházejí velké objemy dat. Díky podpoře vícevláknovosti je běžný server schopen úspěšně analyzovat provoz při rychlosti 10 Gb/s. Přitom není třeba omezovat sadu pravidel používaných k analýze provozu. Suricata navíc podporuje hashování a extrakci souborů.
Suricatu lze nakonfigurovat pro běh na běžných serverech nebo virtuálních strojích, například v AWS, s využitím nedávno přidané možnosti v produktu. .
Projekt podporuje Lua skripty, pomocí kterých lze vytvářet složitou a podrobnou logiku analýzy sigantů hrozeb.
O projekt Suricata se stará Open Information Security Foundation (OISF).
6. Zeek (Bro)
Stejně jako Suricata, (tento projekt byl dříve znám jako Bro a přejmenován na Zeek na akci BroCon 2018) — je také systém pro detekci průniků a nástroj pro monitorování síťové bezpečnosti, který může odhalovat anomálie, jako jsou podezřelé nebo nebezpečné aktivity. Zeek se od tradičních IDS liší tím, že na rozdíl od systémů založených na pravidlech, které odhalují výjimky, také zachycuje metadata spojená s děním v síti. To se děje, aby se lépe porozumělo kontextu neobvyklého síťového chování. Umožňuje to například při analýze HTTP volání nebo procedury výměny bezpečnostních certifikátů podívat se na protokol, na hlavičky paketů, na doménová jména.
Pokud se na Zeek podíváme jako na nástroj pro síťovou bezpečnost, můžeme říci, že poskytuje specialistovi možnost provést vyšetřování incidentu, zjistit, co se stalo před nebo během incidentu. Zeek navíc převádí data o síťovém provozu na vysoceúrovňové události a umožňuje práci s interpretátorem skriptů. Interpretátor podporuje programovací jazyk, který se používá k organizaci interakce s událostmi a k určení, co tyto události znamenají z pohledu síťové bezpečnosti. Programovací jazyk Zeek může být použit k přizpůsobení interpretace metadat tak, jak to vyžaduje konkrétní organizace. Umožňuje vytvářet složité logické podmínky pomocí operátorů AND, OR a NOT. To uživatelům dává možnost přizpůsobit postup analýzy jejich prostředí. Je však třeba poznamenat, že ve srovnání se Suricatou se Zeek může jevit jako poměrně složitý nástroj pro provádění průzkumu bezpečnostních hrozeb.
Pokud máte zájem o podrobnosti o Zeek, obraťte se na videu.
7. Panther
je výkonná, zpočátku zaměřená na cloud platforma pro organizaci nepřetržitého monitorování bezpečnosti. Nedávno přešla na open-source. Na počátku projektu stojí hlavní architekt je řešení pro automatizovanou analýzu protokolů, jehož kód uvolnila společnost Airbnb. Panther poskytuje uživateli jednotný systém pro centralizované odhalování hrozeb ve všech prostředích a organizaci reakce na ně. Tento systém je schopný růst spolu se size obsluhované infrastruktury. Odhalování hrozeb je organizováno pomocí průhledných deterministických pravidel, což je uděláno tak, aby se snížil procentní podíl falešně pozitivních alarmů a snížila se zátěž na specialisty na bezpečnost.
Mezi hlavní funkce Panther patří následující:
- Odhalení neoprávněného přístupu k prostředkům analýzou protokolů.
- Vyhledávání hrozeb realizované prostřednictvím prohledávání protokolů ukazatelů, které naznačují problémy s bezpečností. Vyhledávání se provádí s využitím standardizovaných datových polí Panther.
- Kontrola systému na dodržování standardů SOC/PCI/HIPAA pomocí mechanismů Panther.
- Ochrana cloudových zdrojů díky automatickému opravování chyb v konfiguraci, které, pokud jimi budou zneužity, mohou způsobit závažné problémy.
Panther se nasazuje v cloudovém AWS organizace pomocí AWS CloudFormation. To uživateli umožňuje mít vždy kontrolu nad svými daty.
Závěry
Monitorování bezpečnosti systémů je dnes nejdůležitější úkol. Při řešení tohoto problému mohou firmám jakékoli velikosti pomoci open-source nástroje, které nabízejí mnoho možností a jsou téměř zdarma nebo bez nákladů.
Vážení čtenáři! Jaké nástroje pro monitorování bezpečnosti používáte?
Zdroj: habr.com
