Veröffentlichung der Distribution SELKS 7.0, die auf den Aufbau von Systemen zur Erkennung von Eindringlingen abzielt

Das Unternehmen Stamus Networks hat die spezialisierte Distribution SELKS 7.0 veröffentlicht, die für den Einsatz von Systemen zur Erkennung und Verhinderung von Netzwerkangriffen sowie zur Reaktion auf erkannte Bedrohungen und zur Überwachung der Netzwerksicherheit bestimmt ist. Den Nutzern wird eine sofort einsatzbereite Lösung zur Verwaltung der Netzwerksicherheit angeboten, die nach dem Download umgehend verwendet werden kann. Die Distribution unterstützt den Live-Betrieb und den Einsatz in virtualisierten Umgebungen oder Containern. Die Entwicklungen des Projekts werden unter der GPLv3-Lizenz verbreitet. Die Größe des bootfähigen Abbilds beträgt 3 GB.

Das System basiert auf einem Debian-Paketarchiv und der Open-Source-IDS-Plattform Suricata. Die Daten werden mit Logstash verarbeitet und in einem ElasticSearch-Speicher gespeichert. Um den aktuellen Status und erkannte Vorfälle zu verfolgen, steht eine webbasierte Benutzeroberfläche zur Verfügung, die auf Kibana basiert. Für die Verwaltung der Regeln und die Visualisierung der zugehörigen Aktivitäten wird die webbasierte Oberfläche Scirius CE verwendet. Außerdem gehören zum System das Paketaufnahme-Tool Arkime, eine Schnittstelle zur Auswertung von Ereignissen namens EveBox und der Datenanalysator CyberChef.

Neben der Aktualisierung des Paketarchivs wurden in der neuen Version folgende Verbesserungen hervorgehoben:

• Erstellung eines Pakets zur Bereitstellung in containerbasierten Isolationssystemen, die Docker unterstützen.
• Vollautomatisiertes System zur Reproduktion von Aktivitäten anhand gespeicherter Logs im PCAP-Format, das zur Überprüfung der Wirksamkeit implementierter Sicherheitsmaßnahmen, zur Analyse von Vorfällen oder im Ausbildungsprozess verwendet werden kann.
• Das Filterset zur Erkennung von Cyberbedrohungen (Threat Hunting) wurde erweitert und verbessert, sodass schädliche Aktivitäten und Zugriffsverletzungen schnell durch die Analyse von Logs von Suricata und NSM (Network Security Monitor) identifiziert werden können.
• Das Paket CyberChef wurde integriert, das es ermöglicht, Daten, die mit Ereignissen, Protokollbetrieb und von Suricata erstellten Aufzeichnungen in Zusammenhang stehen, zu kodieren, dekodieren und zu analysieren.
• In die Kibana-Oberfläche wurden 6 neue Bereiche zur Visualisierung und Überwachung von Aktivitäten in Zusammenhang mit den Protokollen SNMP, RDP, SIP, HTTP2, RFB, GENEVE, MQTT und DCERPC hinzugefügt.

Quelle: opennet.ru