Das Unternehmen Stamus Networks hat die Veröffentlichung des spezialisierten Distributions SELKS 10 bekannt gegeben, das für die Implementierung von Systemen zur Erkennung und Verhinderung von Netzwerkeinbrüchen sowie zur Organisation von Reaktionen auf identifizierte Bedrohungen und zur Netzwerksicherheit überwacht. Den Benutzern wird eine vollständig einsatzbereite Lösung zur Verwaltung der Netzwerksicherheit angeboten, die sofort nach dem Herunterladen verwendet werden kann. Die Distribution unterstützt den Live-Betrieb und kann in Virtualisierungs- oder Containerumgebungen gestartet werden. Die Ergebnisse des Projekts werden unter der GPLv3-Lizenz verteilt. Es stehen zwei ISO-Images zum Download zur Verfügung: eines mit der grafischen Benutzeroberfläche Xfce (3,5 GB) und eines im Konsolenmodus (2,7 GB).
Die Distribution basiert auf der Debian-Paketbasis und verwendet das Open-Source-Angriffserkennungssystem Suricata. Die von verschiedenen Quellen stammenden Daten werden über die Plattform Logstash verarbeitet und in einem ElasticSearch-Speicher gespeichert. Um den aktuellen Zustand und die identifizierten Vorfälle zu überwachen, steht eine Web-Oberfläche zur Verfügung, die auf dem Kibana-Interface basiert. Zur Verwaltung von Regeln und zur Visualisierung der dazugehörigen Aktivitäten wird die Web-Oberfläche Stamus CE genutzt. Darüber hinaus umfasst das Paket das System zur Erfassung, Speicherung und Indizierung von Netzwerkpaketen Arkime, eine Schnittstelle zur Bewertung von Vorfällen namens EveBox und den Datenanalysator CyberChef.
Wesentliche Verbesserungen:
- Zusätzliche Funktionen aus der parallel entwickelten kommerziellen Plattform SSP (Stamus Security Platform) wurden in die Benutzeroberfläche integriert. Es wurde an der Vereinfachung der Web-Oberfläche gearbeitet und Informationen zur Bedrohungserkennung, zur Suche nach verdächtigen Aktivitäten und zur Analyse von Beweismitteln wurden zusammengeführt.
- Die Möglichkeit zur selektiven Erfassung von Paketen, die mit identifizierten Ereignissen verbunden sind, und deren Export aus der Benutzeroberfläche zur Analyse verdächtiger Aktivitäten im PCAP-Format wurde hinzugefügt. Die exportierten Dumps enthalten vollständige Informationen über die Netzwerksitzung, die mit der identifizierten Bedrohung assoziiert ist. Der Dump kann zur Vorfallanalyse sowohl innerhalb von SELKS als auch in Drittanbieter-Tools wie Wireshark verwendet werden.
- Das System zur Erfassung, Speicherung und Indizierung von Netzwerkpaketen Arkime wurde auf Version 5.0 aktualisiert, die mehrere Objekte in offenen Quellen (OSINT) gleichzeitig suchen kann, das Design des Detailinformationsbereichs geändert hat, ein einheitliches KonfigurationsSubsystem implementiert und die Unterstützung für die Methoden zur Erstellung von Traffic-Fingerprints JA4 und JA4+ hinzugefügt hat sowie die Möglichkeit zur Importierung gespeicherter PCAP-Dumps realisiert hat.
- Anstelle von SQLite wird die Datenbank PostgreSQL zur Speicherung verwendet.
- Die Paketbasis wurde auf Debian 12 aktualisiert.
Quelle: opennet.ru
