SELKS 10, eine Distribution zur Erstellung von Intrusion Detection Systemen, ist verfügbar.

Das Unternehmen Stamus Networks hat eine spezialisierte Distribution namens SELKS 10 veröffentlicht, die für den Einsatz von Systemen zur Erkennung und Verhinderung von Netzwerkangriffen sowie für die Organisation der Reaktion auf entdeckte Bedrohungen und die Überwachung der Netzwerksicherheit konzipiert ist. Den Benutzern wird eine sofort einsatzbereite Lösung zur Verwaltung der Netzwerksicherheit zur Verfügung gestellt, die sofort nach dem Download verwendet werden kann. Die Distribution unterstützt den Live-Betrieb und das Starten in Virtualisierungs- oder Containerumgebungen. Die Ergebnisse des Projekts werden unter der GPLv3-Lizenz verteilt. Es wurden zwei ISO-Abbilder erstellt: eines mit der grafischen Benutzeroberfläche Xfce (3,5 GB) und eines, das im Konsolenmodus läuft (2,7 GB).

Die Distribution basiert auf dem Debian-Paket und verwendet das offene Angriffserkennungssystem Suricata. Die Daten aus verschiedenen Quellen werden mit der Logstash-Plattform verarbeitet und in einem ElasticSearch-Speicher abgelegt. Für die Überwachung des aktuellen Zustands und der erkannten Vorfälle wird eine Web-Oberfläche bereitgestellt, die auf der Kibana-Oberfläche basiert. Zur Verwaltung von Regeln und zur Visualisierung der damit verbundenen Aktivitäten wird die Web-Oberfläche Stamus CE verwendet. Zum Paket sind auch ein System zur Erfassung, Speicherung und Indizierung von Netzwerkpaketen (Arkime), ein Interface zur Bewertung der aufgetretenen Ereignisse (EveBox) und ein Datenanalysator (CyberChef) enthalten.

Hauptverbesserungen:

• Zusätzliche Funktionen aus der parallel entwickelten kommerziellen Plattform SSP (Stamus Security Platform) wurden in die Benutzeroberfläche übertragen. Es wurde daran gearbeitet, die Web-Oberfläche zu vereinfachen und Informationen zur Bedrohungserkennung, zur Suche nach verdächtigen Aktivitäten und zur Analyse von Beweisen zu zentralisieren.
  
• Die Möglichkeit des selektiven Paketfangs, der mit den erkannten Ereignissen zusammenhängt, wurde hinzugefügt, sowie deren Export aus der Benutzeroberfläche zur Analyse verdächtiger Aktivitäten im PCAP-Format. Die exportierten Dumps enthalten vollständige Daten zu der Netzwerk-Sitzung, die mit der festgestellten Bedrohung assoziiert ist. Der Dump kann zur Analyse des Vorfalls sowohl in SELKS als auch in Drittanbietertools wie Wireshark verwendet werden.
  
• Das System zur Erfassung, Speicherung und Indizierung von Netzwerkpaketen Arkime wurde auf Version 5.0 aktualisiert, die nun die gleichzeitige Suche nach Informationen über mehrere Objekte in offenen Quellen (OSINT) unterstützt. Das Design des Detailinformationsbereichs wurde geändert, ein einheitliches Konfigurationssystem wurde implementiert, die Unterstützung für die Methoden zur Erstellung von Verkehrsdrucken JA4 und JA4+ wurde hinzugefügt, und die Möglichkeit zum Importieren gespeicherter PCAP-Dumps wurde realisiert.
• Anstelle von SQLite wird nun die Datenbank PostgreSQL zur Datenspeicherung verwendet.
• Das Basispaket wurde auf Debian 12 aktualisiert.

Quelle: opennet.ru