Den brede udbredelse af cloud computing hjælper virksomheder med at skalere deres forretning. Men anvendelsen af nye platforme betyder også, at der opstår nye trusler. At have et internt team, som står for overvågning af sikkerheden i cloud-tjenester, er en udfordring. De eksisterende overvågningsværktøjer er dyre og langsomme. Det kan være vanskeligt at håndtere dem, når man skal sikre en stor cloud-infrastruktur. For at opretholde et højt niveau af cloud-sikkerhed har virksomheder brug for kraftfulde, fleksible og brugervenlige værktøjer, hvis muligheder overstiger dem, der tidligere har været tilgængelige. Her kommer open source-teknologier virkelig til sin ret, idet de hjælper med at spare penge på sikkerhed og udvikles af fagfolk, der virkelig forstår deres område.
I den artikel, hvis oversættelse vi offentliggør i dag, gives der en oversigt over 7 open source-værktøjer til overvågning af sikkerheden i cloud-systemer. Disse værktøjer er designet til at beskytte mod hackere og cyberkriminelle ved at opdage anomalier og usikre handlinger.
1. Osquery
er et system til lavniveau-overvågning og analyse af operativsystemer, der giver sikkerhedsspecialister mulighed for at udføre komplekse dataanalyser ved hjælp af SQL. Osquery-rammen kan køre på Linux, macOS, Windows og FreeBSD. Den repræsenterer operativsystemet (OS) som en højtydende relationel database, hvilket gør det muligt for sikkerhedsspecialister at undersøge OS ved at udføre SQL-forespørgsler. For eksempel kan man med en forespørgsel få information om kørende processer, indlæste kernel-moduler, åbne netværksforbindelser, installerede browser-udvidelser, hardware-begivenheder og hash-værdier for filer.
Osquery-rammen blev skabt af Facebook. Dens kode blev åbnet i 2014, efter at virksomheden indså, at der var behov for værktøjer til overvågning af lavniveau-mekanismer i operativsystemer, ikke kun for dem selv. Siden da har osquery blevet brugt af specialister fra virksomheder som Dactiv, Google, Kolide, Trail of Bits, Uptycs og mange andre. For nylig var der nyt om, at Linux Foundation og Facebook planlægger at oprette et støttefond for Osquery.
Overvågningsdæmonen for værter, kaldet osqueryd, muliggør planlægning af udførelse af forespørgsler, der sigter mod at indsamle data fra hele organisationens infrastruktur. Dæmonen samler resultaterne af forespørgslerne og opretter logfiler, der afspejler ændringer i infrastrukturens tilstand. Dette kan hjælpe sikkerhedsspecialister med at holde sig opdaterede om systemets status og er især nyttigt til at identificere anomalier. Osquerys muligheder for logaggregatering kan bruges til at lette opdagelsen af kendte og ukendte malware, samt til at identificere indtrængningssteder og finde installerede programmer fra angribere. materiale, hvor du kan finde detaljer om opdagelse af anomalier ved hjælp af Osquery.
2. GoAudit
System består af to hovedkomponenter. Den første er en slags kernekode, der er designet til at opsnappe og overvåge systemopkald. Den anden komponent er en dæmon, der kører i brugerrummet, kaldet . Den er ansvarlig for at skrive auditresultaterne til disk. , et system skabt af og udgivet i 2016, er designet til at erstatte auditd. Det har forbedrede logningsmuligheder, da det konverterer multilinje hændelsesbeskeder genereret af Linux audit-systemet til enkeltstående BLOB-objekter i JSON-format, hvilket forenkler analysen. Med GoAudit kan man direkte tilgå kerne mekanismerne over et netværk. Derudover kan minimal hændelsesfiltering aktiveres på selve værten (eller filtreringen kan helt deaktiveres). GoAudit er dog et projekt, der ikke kun fokuserer på sikkerhed. Dette værktøj er tænkt som et multifunktionelt redskab for teknikere, der arbejder med systemsupport eller udvikling. Det hjælper med at tackle problemer i store infrastrukturer.
GoAudit-systemet er skrevet i Golang. Dette er et type-sikkert og højtydende sprog. Før installation af GoAudit skal du sikre dig, at du har versionen af Golang, der er højere end 1.7.
3. Grapl
Projekt (Graph Analytics Platform) blev overført til åbent kildekode i marts sidste år. Det er en relativt ny platform til opdagelse af sikkerhedsproblemer, til at udføre computerkriminalitetsundersøgelser og til at skabe hændelsesrapporter. Angribere arbejder ofte ved hjælp af noget, der ligner en grafmodel, hvor de får kontrol over et bestemt system og undersøger andre netværkssystemer, der starter med dette system. Derfor er det helt naturligt, at systembeskyttere også vil bruge en mekanisme baseret på en graf over forbindelserne mellem netværkssystemerne, der tager højde for forholdene mellem systemerne. Grapl viser et forsøg på at anvende metoder til at opdage hændelser og reagere på dem baseret på en grafmodel og ikke på en logmodel.
Grapl-værktøjet modtager logs, der er relateret til sikkerhed (Sysmon-logs eller logs i standard JSON-format) og konverterer dem til undergrafer (bestemmer 'identifikationsoplysninger' for hver node). Derefter kombinerer det undergraferne til en mastergraf (Master Graph), som repræsenterer de handlinger, der er udført i de analyserede miljøer. Derefter kører Grapl analysatorer (Analyzers) på den opnåede graf ved hjælp af 'angriberens signaturer' til at opdage anomalier og mistænkelige mønstre. Når analysatoren opdager en mistænkelig undergraf, genererer Grapl et Engagement-konstrukt, der er beregnet til at gennemføre undersøgelser. Engagement er en Python-klasse, der kan indlæses for eksempel i Jupyter Notebook, der er deployeret i AWS-miljøet. Grapl kan desuden skalere indsamlingsprocessen for efterforskning af hændelsen gennem grafudvidelse.
Hvis du vil forstå Grapl bedre - kan du se interessante video - optagelse af præsentationen fra BSides Las Vegas 2019.
4. OSSEC
— dette er et projekt, der blev grundlagt i 2004. Dette projekt kan generelt karakteriseres som en open source-platform til sikkerhedsovervågning, der er designet til at analysere værter og opdage indtrængen. OSSEC downloades mere end 500.000 gange om året. Denne platform anvendes primært som et værktøj til indtrængningsdetektion på servere. Det gælder både lokale og cloud-baserede systemer. OSSEC bruges desuden ofte som et værktøj til at undersøge overvågningslogfiler og analysere firewalls, indtrængningsdetekteringssystemer, webservere samt til at studere autentifikationslogfiler.
OSSEC kombinerer funktionerne fra et host-baseret indtrængningsdetekteringssystem (HIDS, Host-Based Intrusion Detection System) med et sikkerhedshændelsesstyringssystem (SIM, Security Incident Management) og et sikkerhedsoplysnings- og hændelseshåndteringssystem (SIEM, Security Information and Event Management). OSSEC har desuden evnen til at udføre realtids filintegritetsovervågning. Dette inkluderer f.eks. overvågning af Windows-registret og opdagelse af rootkits. OSSEC kan underrette relevante personer om opdagede problemer i realtid og hjælper med at reagerer hurtigt på fundne trusler. Denne platform understøtter Microsoft Windows og de fleste moderne Unix-lignende systemer, herunder Linux, FreeBSD, OpenBSD og Solaris.
OSSEC-platformen består af en central kontrolenhed, en manager, der bruges til at indsamle og overvåge information fra agenter (små programmer installeret på de systemer, der skal overvåges). Manageren installeres på et Linux-system, som gemmer en database, der anvendes til at kontrollere filintegriteten. Den gemmer desuden logfiler og optegnelser om hændelser og resultater af systemrevisioner.
Projektet OSSEC understøttes i øjeblikket af virksomheden Atomicorp. Virksomheden kuraterer den gratis open source-version og tilbyder desuden kommerciel version af produktet. en podcast, hvor projektlederen for OSSEC taler om den seneste version af systemet — OSSEC 3.0. Her diskuteres også projektets historie, og hvad der adskiller det fra moderne kommercielle systemer, der anvendes inden for computer sikkerhed.
5. Suricata
— et open source-projekt, der er fokuseret på at løse de grundlæggende opgaver inden for computersikkerhed. Specifikt inkluderer det et indtrængningsdetekteringssystem, et indtrængningsforebyggelsessystem og et værktøj til overvågning af netværkssikkerhed.
Dette produkt blev lanceret i 2009. Dets funktioner er baseret på regler. Det vil sige, at brugeren har mulighed for at beskrive visse aspekter af netværkstrafik. Hvis en regel udløses, genererer Suricata en meddelelse, blokerer eller afbryder den mistænkelige forbindelse, hvilket igen afhænger af de angivne regler. Projektet understøtter desuden multitrådede operationer, hvilket giver mulighed for hurtig behandling af et stort antal regler i netværk med høj trafik. Takket være multitrådsunderstøttelse kan en almindelig server effektivt analysere trafik, der går med en hastighed på 10 Gbit/s. Administratoren behøver ikke at begrænse antallet af regler, der anvendes til trafik-analyse. Suricata understøtter desuden hashing og filudtrækning.
Suricata kan konfigureres til at køre på almindelige servere eller virtuelle maskiner, f.eks. i AWS, ved hjælp af den nyligt tilføjede funktion i produktet. .
Projektet understøtter Lua-scripts, som gør det muligt at skabe kompleks og detaljeret logik til trusselsignaturanalyse.
Suricata-projektet drives af Open Information Security Foundation (OISF).
6. Zeek (Bro)
Ligesom Suricata, (dette projekt hed tidligere Bro og blev omdøbt til Zeek ved BroCon 2018) — er også et indtrængningsdetekteringssystem og et værktøj til overvågning af netværkssikkerhed, der kan opdage anomalier såsom mistænkelige eller skadelige handlinger. Zeek adskiller sig fra traditionelle IDS ved, at det, i modsætning til regelsystemer der identificerer undtagelser, også indsamler metadata relateret til netværksaktiviteten. Dette gøres for bedre at forstå konteksten af usædvanlig netværksadfærd. For eksempel, når man analyserer en HTTP-anrop eller sikkerhedscertifikatudvekslingsprocedure, kan man se på protokollen, pakkeoverskrifterne og domænenavnene.
Når man betragter Zeek som et værktøj til netværkssikkerhed, kan man sige, at det giver specialister muligheden for at udføre en undersøgelse af hændelser ved at finde ud af, hvad der skete før eller under hændelsen. Zeek konverterer desuden netværkstrafikdata til høj-niveau hændelser og giver mulighed for at arbejde med en script-fortolker. Fortolkerens sprog bruges til at organisere interaktionen med hændelserne og til at finde ud af, hvad disse hændelser betyder i relation til netværkssikkerhed. Zeeks programmeringssprog kan bruges til at tilpasse fortolkningen af metadata, så det passer til den specifikke organisation. Det gør det muligt at opbygge komplekse logiske betingelser ved hjælp af operatorerne AND, OR og NOT. Dette giver brugerne mulighed for at tilpasse analysen af deres omgivelser. Det skal dog bemærkes, at Zeek kan virke som et ret komplekst værktøj til trusselsopsporing sammenlignet med Suricata.
Hvis du ønsker flere oplysninger om Zeek, skal du kontakte video.
7. Panther
er en kraftfuld platform, oprindeligt designet til cloud-baseret kontinuerlig sikkerhedsovervågning. Den er for nylig blevet open source. Bag projektet står hovedarkitekten et løsning til automatiseret loganalyse, hvis kode blev gjort offentlig af Airbnb. Panther giver brugeren et samlet system til centraliseret trusseldetektering på tværs af alle miljøer og til at organisere reaktioner på dem. Dette system kan vokse i takt med størrelsen af den betjente infrastruktur. Trusselsdetektering er organiseret gennem gennemsigtige deterministiske regler, hvilket er gjort for at reducere antallet af falske positiver og mindske belastningen på sikkerhedsspecialister.
Blandt Panther's vigtigste funktioner kan nævnes:
- Opdagelse af uautoriseret adgang til ressourcer ved at analysere logs.
- Søgen efter trusler udført gennem søgning i logfiler for indikatorer, der peger på sikkerhedsproblemer. Søgningen foretages ved hjælp af standardiserede datafelter fra Panther.
- Systemkontrol for overholdelse af SOC/PCI/HIPAA-standarder ved brug af Panther-mekanismer.
- Beskyttelse af cloudressourcer gennem automatisk rettelse af konfigurationsfejl, som kan udnyttes af angribere og føre til alvorlige problemer.
Panther implementeres i organisationens AWS-sky ved hjælp af AWS CloudFormation. Dette giver brugeren fuld kontrol over sine data.
Resumé
Sikkerhedsovervågning af systemer er i dag en af de vigtigste opgaver. I denne henseende kan open-source værktøjer, der tilbyder mange muligheder og næsten ikke koster noget eller er gratis, hjælpe virksomheder af enhver størrelse.
Kære læsere! Hvilke værktøjer til sikkerhedsovervågning bruger du?
Kilde: habr.com
