{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 open source v\u00e6rkt\u00f8jer til overv\u00e5gning af sikkerheden i cloud-systemer, som du b\u00f8r kende.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Den brede udbredelse af cloud computing hj\u00e6lper virksomheder med at skalere deres forretning. Men anvendelsen af nye platforme betyder ogs\u00e5, at der opst\u00e5r nye trusler. At have et internt team, som st\u00e5r for overv\u00e5gning af sikkerheden i cloud-tjenester, er en udfordring. De eksisterende overv\u00e5gningsv\u00e6rkt\u00f8jer er dyre og langsomme. Det kan v\u00e6re vanskeligt at h\u00e5ndtere dem, n\u00e5r man skal sikre en stor cloud-infrastruktur. For at opretholde et h\u00f8jt niveau af cloud-sikkerhed har virksomheder brug for kraftfulde, fleksible og brugervenlige v\u00e6rkt\u00f8jer, hvis muligheder overstiger dem, der tidligere har v\u00e6ret tilg\u00e6ngelige. Her kommer open source-teknologier virkelig til sin ret, idet de hj\u00e6lper med at spare penge p\u00e5 sikkerhed og udvikles af fagfolk, der virkelig forst\u00e5r deres omr\u00e5de.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

I den artikel, hvis overs\u00e6ttelse vi offentligg\u00f8r i dag, gives der en oversigt over 7 open source-v\u00e6rkt\u00f8jer til overv\u00e5gning af sikkerheden i cloud-systemer. Disse v\u00e6rkt\u00f8jer er designet til at beskytte mod hackere og cyberkriminelle ved at opdage anomalier og usikre handlinger.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> er et system til lavniveau-overv\u00e5gning og analyse af operativsystemer, der giver sikkerhedsspecialister mulighed for at udf\u00f8re komplekse dataanalyser ved hj\u00e6lp af SQL. Osquery-rammen kan k\u00f8re p\u00e5 Linux, macOS, Windows og FreeBSD. Den repr\u00e6senterer operativsystemet (OS) som en h\u00f8jtydende relationel database, hvilket g\u00f8r det muligt for sikkerhedsspecialister at unders\u00f8ge OS ved at udf\u00f8re SQL-foresp\u00f8rgsler. For eksempel kan man med en foresp\u00f8rgsel f\u00e5 information om k\u00f8rende processer, indl\u00e6ste kernel-moduler, \u00e5bne netv\u00e6rksforbindelser, installerede browser-udvidelser, hardware-begivenheder og hash-v\u00e6rdier for filer.<\/p>\n

Osquery-rammen blev skabt af Facebook. Dens kode blev \u00e5bnet i 2014, efter at virksomheden inds\u00e5, at der var behov for v\u00e6rkt\u00f8jer til overv\u00e5gning af lavniveau-mekanismer i operativsystemer, ikke kun for dem selv. Siden da har osquery blevet brugt af specialister fra virksomheder som Dactiv, Google, Kolide, Trail of Bits, Uptycs og mange andre. For nylig var der tilkendegivet<\/a><\/noindex> nyt om, at Linux Foundation og Facebook planl\u00e6gger at oprette et st\u00f8ttefond for Osquery.<\/p>\n

Overv\u00e5gningsd\u00e6monen for v\u00e6rter, kaldet osqueryd, muligg\u00f8r planl\u00e6gning af udf\u00f8relse af foresp\u00f8rgsler, der sigter mod at indsamle data fra hele organisationens infrastruktur. D\u00e6monen samler resultaterne af foresp\u00f8rgslerne og opretter logfiler, der afspejler \u00e6ndringer i infrastrukturens tilstand. Dette kan hj\u00e6lpe sikkerhedsspecialister med at holde sig opdaterede om systemets status og er is\u00e6r nyttigt til at identificere anomalier. Osquerys muligheder for logaggregatering kan bruges til at lette opdagelsen af kendte og ukendte malware, samt til at identificere indtr\u00e6ngningssteder og finde installerede programmer fra angribere. Her er<\/a><\/noindex> materiale, hvor du kan finde detaljer om opdagelse af anomalier ved hj\u00e6lp af Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSystem audit af Linux<\/a><\/noindex> best\u00e5r af to hovedkomponenter. Den f\u00f8rste er en slags kernekode, der er designet til at opsnappe og overv\u00e5ge systemopkald. Den anden komponent er en d\u00e6mon, der k\u00f8rer i brugerrummet, kaldet auditd<\/a><\/noindex>. Den er ansvarlig for at skrive auditresultaterne til disk. GoAudit<\/a><\/noindex>, et system skabt af Slack<\/a><\/noindex> og udgivet i 2016, er designet til at erstatte auditd. Det har forbedrede logningsmuligheder, da det konverterer multilinje h\u00e6ndelsesbeskeder genereret af Linux audit-systemet til enkeltst\u00e5ende BLOB-objekter i JSON-format, hvilket forenkler analysen. Med GoAudit kan man direkte tilg\u00e5 kerne mekanismerne over et netv\u00e6rk. Derudover kan minimal h\u00e6ndelsesfiltering aktiveres p\u00e5 selve v\u00e6rten (eller filtreringen kan helt deaktiveres). GoAudit er dog et projekt, der ikke kun fokuserer p\u00e5 sikkerhed. Dette v\u00e6rkt\u00f8j er t\u00e6nkt som et multifunktionelt redskab for teknikere, der arbejder med systemsupport eller udvikling. Det hj\u00e6lper med at tackle problemer i store infrastrukturer.<\/p>\n

GoAudit-systemet er skrevet i Golang. Dette er et type-sikkert og h\u00f8jtydende sprog. F\u00f8r installation af GoAudit skal du sikre dig, at du har versionen af Golang, der er h\u00f8jere end 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjekt Grapl<\/a><\/noindex> (Graph Analytics Platform) blev overf\u00f8rt til \u00e5bent kildekode i marts sidste \u00e5r. Det er en relativt ny platform til opdagelse af sikkerhedsproblemer, til at udf\u00f8re computerkriminalitetsunders\u00f8gelser og til at skabe h\u00e6ndelsesrapporter. Angribere arbejder ofte ved hj\u00e6lp af noget, der ligner en grafmodel, hvor de f\u00e5r kontrol over et bestemt system og unders\u00f8ger andre netv\u00e6rkssystemer, der starter med dette system. Derfor er det helt naturligt, at systembeskyttere ogs\u00e5 vil bruge en mekanisme baseret p\u00e5 en graf over forbindelserne mellem netv\u00e6rkssystemerne, der tager h\u00f8jde for forholdene mellem systemerne. Grapl viser et fors\u00f8g p\u00e5 at anvende metoder til at opdage h\u00e6ndelser og reagere p\u00e5 dem baseret p\u00e5 en grafmodel og ikke p\u00e5 en logmodel.<\/p>\n

Grapl-v\u00e6rkt\u00f8jet modtager logs, der er relateret til sikkerhed (Sysmon-logs eller logs i standard JSON-format) og konverterer dem til undergrafer (bestemmer 'identifikationsoplysninger' for hver node). Derefter kombinerer det undergraferne til en mastergraf (Master Graph), som repr\u00e6senterer de handlinger, der er udf\u00f8rt i de analyserede milj\u00f8er. Derefter k\u00f8rer Grapl analysatorer (Analyzers) p\u00e5 den opn\u00e5ede graf ved hj\u00e6lp af 'angriberens signaturer' til at opdage anomalier og mist\u00e6nkelige m\u00f8nstre. N\u00e5r analysatoren opdager en mist\u00e6nkelig undergraf, genererer Grapl et Engagement-konstrukt, der er beregnet til at gennemf\u00f8re unders\u00f8gelser. Engagement er en Python-klasse, der kan indl\u00e6ses for eksempel i Jupyter Notebook, der er deployeret i AWS-milj\u00f8et. Grapl kan desuden skalere indsamlingsprocessen for efterforskning af h\u00e6ndelsen gennem grafudvidelse.<\/p>\n

Hvis du vil forst\u00e5 Grapl bedre - kan du se dette<\/a><\/noindex> interessante video - optagelse af pr\u00e6sentationen fra BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 dette er et projekt, der blev grundlagt i 2004. Dette projekt kan generelt karakteriseres som en open source-platform til sikkerhedsoverv\u00e5gning, der er designet til at analysere v\u00e6rter og opdage indtr\u00e6ngen. OSSEC downloades mere end 500.000 gange om \u00e5ret. Denne platform anvendes prim\u00e6rt som et v\u00e6rkt\u00f8j til indtr\u00e6ngningsdetektion p\u00e5 servere. Det g\u00e6lder b\u00e5de lokale og cloud-baserede systemer. OSSEC bruges desuden ofte som et v\u00e6rkt\u00f8j til at unders\u00f8ge overv\u00e5gningslogfiler og analysere firewalls, indtr\u00e6ngningsdetekteringssystemer, webservere samt til at studere autentifikationslogfiler.<\/p>\n

OSSEC kombinerer funktionerne fra et host-baseret indtr\u00e6ngningsdetekteringssystem (HIDS, Host-Based Intrusion Detection System) med et sikkerhedsh\u00e6ndelsesstyringssystem (SIM, Security Incident Management) og et sikkerhedsoplysnings- og h\u00e6ndelsesh\u00e5ndteringssystem (SIEM, Security Information and Event Management). OSSEC har desuden evnen til at udf\u00f8re realtids filintegritetsoverv\u00e5gning. Dette inkluderer f.eks. overv\u00e5gning af Windows-registret og opdagelse af rootkits. OSSEC kan underrette relevante personer om opdagede problemer i realtid og hj\u00e6lper med at reagerer hurtigt p\u00e5 fundne trusler. Denne platform underst\u00f8tter Microsoft Windows og de fleste moderne Unix-lignende systemer, herunder Linux, FreeBSD, OpenBSD og Solaris.<\/p>\n

OSSEC-platformen best\u00e5r af en central kontrolenhed, en manager, der bruges til at indsamle og overv\u00e5ge information fra agenter (sm\u00e5 programmer installeret p\u00e5 de systemer, der skal overv\u00e5ges). Manageren installeres p\u00e5 et Linux-system, som gemmer en database, der anvendes til at kontrollere filintegriteten. Den gemmer desuden logfiler og optegnelser om h\u00e6ndelser og resultater af systemrevisioner.<\/p>\n

Projektet OSSEC underst\u00f8ttes i \u00f8jeblikket af virksomheden Atomicorp. Virksomheden kuraterer den gratis open source-version og tilbyder desuden en udvidet<\/a><\/noindex> kommerciel version af produktet. Her er<\/a><\/noindex> en podcast, hvor projektlederen for OSSEC taler om den seneste version af systemet \u2014 OSSEC 3.0. Her diskuteres ogs\u00e5 projektets historie, og hvad der adskiller det fra moderne kommercielle systemer, der anvendes inden for computer sikkerhed.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 et open source-projekt, der er fokuseret p\u00e5 at l\u00f8se de grundl\u00e6ggende opgaver inden for computersikkerhed. Specifikt inkluderer det et indtr\u00e6ngningsdetekteringssystem, et indtr\u00e6ngningsforebyggelsessystem og et v\u00e6rkt\u00f8j til overv\u00e5gning af netv\u00e6rkssikkerhed.<\/p>\n

Dette produkt blev lanceret i 2009. Dets funktioner er baseret p\u00e5 regler. Det vil sige, at brugeren har mulighed for at beskrive visse aspekter af netv\u00e6rkstrafik. Hvis en regel udl\u00f8ses, genererer Suricata en meddelelse, blokerer eller afbryder den mist\u00e6nkelige forbindelse, hvilket igen afh\u00e6nger af de angivne regler. Projektet underst\u00f8tter desuden multitr\u00e5dede operationer, hvilket giver mulighed for hurtig behandling af et stort antal regler i netv\u00e6rk med h\u00f8j trafik. Takket v\u00e6re multitr\u00e5dsunderst\u00f8ttelse kan en almindelig server effektivt analysere trafik, der g\u00e5r med en hastighed p\u00e5 10 Gbit\/s. Administratoren beh\u00f8ver ikke at begr\u00e6nse antallet af regler, der anvendes til trafik-analyse. Suricata underst\u00f8tter desuden hashing og filudtr\u00e6kning.<\/p>\n

Suricata kan konfigureres til at k\u00f8re p\u00e5 almindelige servere eller virtuelle maskiner, f.eks. i AWS, ved hj\u00e6lp af den nyligt tilf\u00f8jede funktion i produktet. traffic-monitoring<\/a><\/noindex>.<\/p>\n

Projektet underst\u00f8tter Lua-scripts, som g\u00f8r det muligt at skabe kompleks og detaljeret logik til trusselsignaturanalyse.<\/p>\n

Suricata-projektet drives af Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nLigesom Suricata, Zeek<\/a><\/noindex> (dette projekt hed tidligere Bro og blev omd\u00f8bt til Zeek ved BroCon 2018) \u2014 er ogs\u00e5 et indtr\u00e6ngningsdetekteringssystem og et v\u00e6rkt\u00f8j til overv\u00e5gning af netv\u00e6rkssikkerhed, der kan opdage anomalier s\u00e5som mist\u00e6nkelige eller skadelige handlinger. Zeek adskiller sig fra traditionelle IDS ved, at det, i mods\u00e6tning til regelsystemer der identificerer undtagelser, ogs\u00e5 indsamler metadata relateret til netv\u00e6rksaktiviteten. Dette g\u00f8res for bedre at forst\u00e5 konteksten af us\u00e6dvanlig netv\u00e6rksadf\u00e6rd. For eksempel, n\u00e5r man analyserer en HTTP-anrop eller sikkerhedscertifikatudvekslingsprocedure, kan man se p\u00e5 protokollen, pakkeoverskrifterne og dom\u00e6nenavnene.<\/p>\n

N\u00e5r man betragter Zeek som et v\u00e6rkt\u00f8j til netv\u00e6rkssikkerhed, kan man sige, at det giver specialister muligheden for at udf\u00f8re en unders\u00f8gelse af h\u00e6ndelser ved at finde ud af, hvad der skete f\u00f8r eller under h\u00e6ndelsen. Zeek konverterer desuden netv\u00e6rkstrafikdata til h\u00f8j-niveau h\u00e6ndelser og giver mulighed for at arbejde med en script-fortolker. Fortolkerens sprog bruges til at organisere interaktionen med h\u00e6ndelserne og til at finde ud af, hvad disse h\u00e6ndelser betyder i relation til netv\u00e6rkssikkerhed. Zeeks programmeringssprog kan bruges til at tilpasse fortolkningen af metadata, s\u00e5 det passer til den specifikke organisation. Det g\u00f8r det muligt at opbygge komplekse logiske betingelser ved hj\u00e6lp af operatorerne AND, OR og NOT. Dette giver brugerne mulighed for at tilpasse analysen af deres omgivelser. Det skal dog bem\u00e6rkes, at Zeek kan virke som et ret komplekst v\u00e6rkt\u00f8j til trusselsopsporing sammenlignet med Suricata.<\/p>\n

Hvis du \u00f8nsker flere oplysninger om Zeek, skal du kontakte denne<\/a><\/noindex> video.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> er en kraftfuld platform, oprindeligt designet til cloud-baseret kontinuerlig sikkerhedsoverv\u00e5gning. Den er for nylig blevet open source. Bag projektet st\u00e5r hovedarkitekten StreamAlert<\/a><\/noindex> et l\u00f8sning til automatiseret loganalyse, hvis kode blev gjort offentlig af Airbnb. Panther giver brugeren et samlet system til centraliseret trusseldetektering p\u00e5 tv\u00e6rs af alle milj\u00f8er og til at organisere reaktioner p\u00e5 dem. Dette system kan vokse i takt med st\u00f8rrelsen af den betjente infrastruktur. Trusselsdetektering er organiseret gennem gennemsigtige deterministiske regler, hvilket er gjort for at reducere antallet af falske positiver og mindske belastningen p\u00e5 sikkerhedsspecialister.<\/p>\n

Blandt Panther's vigtigste funktioner kan n\u00e6vnes:<\/p>\n