Die weitverbreitete Nutzung von Cloud-Computing unterstützt Unternehmen beim Wachstum. Doch die Anwendung neuer Plattformen bringt auch neue Bedrohungen mit sich. Die Unterstützung durch ein internes Team, das für die Überwachung der Sicherheit von Cloud-Diensten verantwortlich ist, gestaltet sich als anspruchsvoll. Die bestehenden Überwachungstools sind teuer und langsam. Sie lassen sich nur schwer verwalten, insbesondere wenn es darum geht, die Sicherheit einer großflächigen Cloud-Infrastruktur zu gewährleisten. Um ihre Cloud-Sicherheit auf hohem Niveau zu halten, benötigen Unternehmen leistungsstarke, flexible und benutzerfreundliche Tools, deren Möglichkeiten die früheren Optionen übertreffen. Hier kommen Open-Source-Technologien ins Spiel, die helfen, Budgets für Sicherheit zu sparen und von Fachleuten entwickelt werden, die ihr Handwerk verstehen.
In dem Artikel, dessen Übersetzung wir heute veröffentlichen, wird ein Überblick über 7 Open-Source-Tools zur Sicherheitsüberwachung von Cloud-Systemen gegeben. Diese Tools sind darauf ausgelegt, Hacker und Cyberkriminelle zu bekämpfen, indem sie Anomalien und unsichere Handlungen erkennen.
1. Osquery
ist ein System für die tiefgehende Überwachung und Analyse von Betriebssystemen, das es Sicherheitsexperten ermöglicht, komplexe Datenanalysen mit SQL durchzuführen. Das Osquery-Framework kann auf Linux, macOS, Windows und FreeBSD eingesetzt werden. Es stellt das Betriebssystem (OS) in Form einer leistungsstarken relationalen Datenbank dar, was es Sicherheitsexperten ermöglicht, das OS durch SQL-Abfragen zu untersuchen. Beispielsweise kann man mit einer Abfrage Informationen über laufende Prozesse, geladene Kernel-Module, offene Netzwerkverbindungen, installierte Browsererweiterungen, Hardwareereignisse und die Hash-Werte von Dateien abrufen.
Das Osquery-Framework wurde von Facebook entwickelt. Der Quellcode wurde 2014 veröffentlicht, nachdem das Unternehmen erkannte, dass nicht nur es selbst Werkzeuge zur Überwachung von Low-Level-Mechanismen in Betriebssystemen benötigt. Seitdem nutzen Fachleute aus Unternehmen wie Dactiv, Google, Kolide, Trail of Bits, Uptycs und vielen anderen Osquery. Es wurde kürzlich bekannt, dass die Linux Foundation und Facebook einen Fonds zur Unterstützung von Osquery gründen wollen.
Der Host-Überwachungsdaemon Osquery, genannt osqueryd, ermöglicht die Planung von Abfragen zum Sammeln von Daten aus der gesamten Infrastruktur einer Organisation. Der Daemon sammelt die Ergebnisse der Abfragen und erstellt Protokolle, die den Zustand der Infrastruktur dokumentieren. Dies kann Sicherheitsexperten helfen, über den Status des Systems informiert zu bleiben und ist besonders nützlich, um Anomalien zu erkennen. Die Aggregationsmöglichkeiten von Osquery können genutzt werden, um die Suche nach bekannten und unbekannten Malware zu erleichtern sowie um Eindringstellen in das System zu identifizieren und nach installierten Programmen zu suchen. Material, in dem Details zur Auffindung von Anomalien mit Osquery zu finden sind.
2. GoAudit
System besteht aus zwei Hauptkomponenten. Die erste ist ein Code auf Kernel-Ebene, der für die Abfangung und Überwachung von Systemaufrufen zuständig ist. Die zweite Komponente ist ein im Benutzerspeicher laufender Daemon, der verantwortlich ist für das Speichern der Auditergebnisse auf der Festplatte. , ein System, das von der Firma und wurde 2016 veröffentlicht, um auditd zu ersetzen. Es bietet verbesserte Logging-Funktionen, indem es mehrzeilige Ereignismeldungen des Linux-Audit-Systems in einheitliche JSON-BLOB-Objekte konvertiert, was die Analyse erleichtert. Mit GoAudit kann direkt auf Kernel-Level-Mechanismen über das Netzwerk zugegriffen werden. Außerdem ist es möglich, eine minimale Ereignisfilterung direkt auf dem Host einzuschalten (oder die Filterung vollständig zu deaktivieren). Dabei ist GoAudit ein Projekt, das nicht nur auf die Sicherheit abzielt. Dieses Tool ist als multifunktionales Mittel für Fachleute konzipiert, die sich mit Systemadministration oder Entwicklung beschäftigen. Es hilft, Probleme in großflächigen Infrastrukturen zu bekämpfen.
Das GoAudit-System ist in Golang geschrieben. Dies ist eine typsichere und leistungsstarke Sprache. Stellen Sie vor der Installation von GoAudit sicher, dass Ihre installierte Golang-Version höher als 1.7 ist.
3. Grapl
Projekt (Graph Analytics Platform) wurde im März letzten Jahres zu einer Open-Source-Plattform. Dies ist eine vergleichsweise neue Plattform zur Erkennung von Sicherheitsproblemen, zur Durchführung von Computerforensik und zur Erstellung von Zwischenfallberichten. Angreifer nutzen oft eine Art Graphmodell, um Kontrolle über ein bestimmtes System zu erlangen und andere Netzwerke zu erkunden, beginnend mit diesem System. Daher ist es nur logisch, dass auch Systemverteidiger einen Mechanismus verwenden, der auf einem Graphmodell basiert, das die Besonderheiten der Beziehungen zwischen Systemen berücksichtigt. Grapl zeigt einen Versuch zur Anwendung von Maßnahmen zur Erkennung und Reaktion auf Vorfälle, basierend auf einem Graphmodell und nicht auf einem Protokollmodell.
Das Grapl-Tool akzeptiert sicherheitsrelevante Protokolle (Sysmon-Protokolle oder Protokolle im regulären JSON-Format) und wandelt sie in Untergraphen um (indem es die "Identifikationsinformationen" für jeden Knoten bestimmt). Anschließend kombiniert es die Untergraphen zu einem Gesamtnetzwerk (Master Graph), das die in den analysierten Umgebungen durchgeführten Aktionen darstellt. Danach führt Grapl Analysatoren (Analyzers) auf dem erhaltenen Graphen aus, indem es "Angreifermuster" nutzt, um Anomalien und verdächtige Muster zu erkennen. Wenn der Analysator einen verdächtigen Untergraphen identifiziert, generiert Grapl eine Engagement-Klasse, die für Ermittlungen vorgesehen ist. Engagement ist eine Python-Klasse, die beispielsweise in einem Jupyter Notebook, das in einer AWS-Umgebung bereitgestellt wird, geladen werden kann. Darüber hinaus kann Grapl die Informationssammlung zur Untersuchung eines Vorfalls durch die Erweiterung des Graphen skalieren.
Wenn Sie mehr über Grapl erfahren möchten, können Sie ein interessantes Video ansehen — eine Aufzeichnung des Vortrags von BSides Las Vegas 2019.
4. OSSEC
— ist ein Projekt, das 2004 gegründet wurde. Dieses Projekt lässt sich insgesamt als eine Open-Source-Plattform zur Sicherheitsüberwachung charakterisieren, die auf die Analyse von Hosts und die Erkennung von Eindringlingen abzielt. OSSEC wird jährlich über 500.000 Mal heruntergeladen. Diese Plattform dient hauptsächlich als Intrusion-Detection-System für Server, sowohl in lokalen als auch in Cloud-Umgebungen. Darüber hinaus wird OSSEC häufig als Werkzeug zur Untersuchung von Überwachungsprotokollen und zur Analyse von Firewalls, Intrusion-Detection-Systemen und Webservern sowie zur Überprüfung von Authentifizierungsprotokollen eingesetzt.
OSSEC kombiniert die Möglichkeiten eines hostbasierten Intrusion Detection Systems (HIDS) mit einem Sicherheitsvorfallmanagement-System (SIM) und einem Sicherheitsinformations- und Ereignismanagement-System (SIEM). Zudem kann OSSEC die Integrität von Dateien in Echtzeit überwachen. Dazu gehört beispielsweise die Überwachung der Windows-Registry und die Erkennung von Rootkits. OSSEC kann interessierte Parteien in Echtzeit über erkannte Probleme informieren und hilft dabei, schnell auf entdeckte Bedrohungen zu reagieren. Diese Plattform unterstützt Microsoft Windows und die meisten modernen Unix-ähnlichen Systeme, einschließlich Linux, FreeBSD, OpenBSD und Solaris.
Die OSSEC-Plattform besteht aus einer zentralen Verwaltungseinheit, dem Manager, der verwendet wird, um Informationen von Agenten (kleine Programme, die auf den zu überwachenden Systemen installiert sind) zu erhalten und zu überwachen. Der Manager wird auf einem Linux-System installiert, das eine Datenbank speichert, die zur Überprüfung der Dateiintegrität verwendet wird. Zudem speichert es Protokolle sowie Ereignis- und Auditprotokolle.
Der OSSEC Projekt wird derzeit von der Firma Atomicorp unterstützt. Die Firma betreut die kostenlose Open-Source-Version und bietet zusätzlich kommerziellen Version des Produkts an. ein Podcast, in dem der Projektmanager von OSSEC über die neueste Version des Systems – OSSEC 3.0 – spricht. Dort wird auch die Geschichte des Projekts sowie die Unterschiede zu modernen kommerziellen Systemen im Bereich der Cybersicherheit erörtert.
5. Suricata
ist ein Open-Source-Projekt, das sich auf die wesentlichen Aufgaben der Gewährleistung der Computersicherheit konzentriert. Insbesondere umfasst es ein Intrusion Detection System, ein Intrusion Prevention System und ein Werkzeug zur Überwachung der Netzsicherheit.
Dieses Produkt wurde 2009 eingeführt. Seine Funktionsweise basiert auf Regeln. Das bedeutet, dass Benutzer die Möglichkeit haben, bestimmte Merkmale des Netzwerkverkehrs zu beschreiben. Wenn eine Regel greift, generiert Suricata eine Benachrichtigung und blockiert oder trennt die verdächtige Verbindung, was wiederum von den festgelegten Regeln abhängt. Das Projekt unterstützt zudem den Multithread-Betrieb. Dies ermöglicht eine schnelle Verarbeitung einer Vielzahl von Regeln in Netzwerken mit hohem Datenverkehr. Dank der Unterstützung von Multithreading kann ein gängiger Server erfolgreich Datenverkehr mit Geschwindigkeiten von bis zu 10 Gbit/s analysieren. Dabei ist der Administrator nicht gezwungen, die Anzahl der zur Analyse verwendeten Regeln zu beschränken. Suricata unterstützt darüber hinaus Hashing und das Extrahieren von Dateien.
Suricata kann für den Betrieb auf gewöhnlichen Servern oder virtuellen Maschinen, wie beispielsweise in AWS, konfiguriert werden, unter Nutzung der neu eingeführten Funktionalität im Produkt. .
Das Projekt unterstützt Lua-Skripte, mit denen komplexe und detaillierte Logik für die Analyse von Bedrohungssignaturen erstellt werden kann.
Das Suricata-Projekt wird von der Open Information Security Foundation (OISF) betrieben.
6. Zeek (Bro)
Wie Suricata, (das Projekt hieß früher Bro und wurde auf der BroCon 2018 in Zeek umbenannt) — ist ebenfalls ein System zur Erkennung von Eindringlingen und ein Werkzeug zur Überwachung der Netzwerksicherheit, das Anomalien wie verdächtige oder gefährliche Aktivitäten erkennen kann. Zeek unterscheidet sich von herkömmlichen IDS, da es im Gegensatz zu regelbasierten Systemen, die Ausnahmen identifizieren, auch Metadaten erfasst, die mit dem Geschehen im Netzwerk verbunden sind. Dies geschieht, um den Kontext ungewöhnlichen Netzwerkverhaltens besser zu verstehen. Dadurch ist es beispielsweise möglich, bei der Analyse eines HTTP-Calls oder eines Verfahrens zum Austausch von Sicherheitzertifikaten einen Blick auf das Protokoll, die Paketheader und die Domainnamen zu werfen.
Betrachtet man Zeek als ein Werkzeug für die Netzwerksicherheit, so kann man sagen, dass es Fachleuten ermöglicht, Vorfälle zu untersuchen, indem sie herausfinden, was vor oder während des Vorfalls passiert ist. Zeek konvertiert zudem Daten über den Netzwerkverkehr in hochgradige Ereignisse und bietet die Möglichkeit, mit einem Skript-Interpreter zu arbeiten. Der Interpreter unterstützt die Programmiersprache, die für die Interaktion mit den Ereignissen und zur Klärung der Bedeutung dieser Ereignisse im Hinblick auf die Netzwerksicherheit verwendet wird. Die Programmiersprache von Zeek kann angepasst werden, um die Interpretation von Metadaten gemäß den Anforderungen einer bestimmten Organisation zu gestalten. Sie ermöglicht die Erstellung komplexer logischer Bedingungen unter Verwendung der Operatoren AND, OR und NOT. Dies gibt den Nutzern die Möglichkeit, den Analyseprozess ihrer Umgebungen zu konfigurieren. Es ist jedoch zu beachten, dass Zeek im Vergleich zu Suricata als ein recht komplexes Werkzeug zur Bedrohungserkennung erscheinen kann.
Wenn Sie mehr über Zeek erfahren möchten, wenden Sie sich an Video angesehen werden.
7. Panther
— ist eine leistungsstarke, ursprünglich für den Cloud-Betrieb ausgelegte Plattform zur kontinuierlichen Sicherheitsüberwachung. Sie wurde kürzlich als Open Source verfügbar gemacht. An der Spitze des Projekts steht der Hauptarchitekt. — eine Lösung zur automatisierten Analyse von Protokollen, deren Code von Airbnb veröffentlicht wurde. Panther bietet dem Benutzer ein einheitliches System zur zentralen Bedrohungserkennung in allen Umgebungen und zur Reaktion darauf. Dieses System kann mit der Größe der unterstützten Infrastruktur wachsen. Die Bedrohungserkennung erfolgt durch transparente deterministische Regeln, die entwickelt wurden, um die Rate von Fehlalarmen zu reduzieren und die Belastung für Sicherheitsexperten zu minimieren.
Zu den wichtigsten Funktionen von Panther gehören folgende:
- Erkennung unbefugten Zugriffs auf Ressourcen durch Protokollanalyse.
- Bedrohungssuche, die durch die Suche nach Protokollen von Leistungsindikatoren, die auf Sicherheitsprobleme hinweisen, realisiert wird. Die Suche erfolgt mit standardisierten Datenfeldern von Panther.
- Überprüfung des Systems auf Einhaltung der SOC-/PCI-/HIPAA-Standards unter Verwendung von Panther-Mechanismen.
- Schutz von Cloud-Ressourcen durch automatisierte Korrekturen von Konfigurationsfehlern, die, wenn sie ausgenutzt werden, zu schwerwiegenden Problemen führen können.
Panther wird in der AWS-Cloud des Unternehmens mithilfe von AWS CloudFormation bereitgestellt. Dadurch hat der Benutzer stets die Kontrolle über seine Daten.
Ergebnisse
Die Überwachung der Systemsicherheit ist heutzutage eine der wichtigsten Aufgaben. Bei der Lösung dieser Herausforderung können Open-Source-Werkzeuge, die zahlreiche Möglichkeiten bieten und nahezu nichts kosten oder sogar kostenlos sind, Unternehmen jeder Größe unterstützen.
Sehr geehrte Leser! Welche Werkzeuge zur Sicherheitsüberwachung verwenden Sie?
Quelle: habr.com
