{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 Open-Source-Tools zur \u00dcberwachung der Sicherheit von Cloud-Systemen, die man kennen sollte","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die breite Verbreitung von Cloud-Computing erm\u00f6glicht es Unternehmen, ihr Gesch\u00e4ft zu skalieren. Doch die Einf\u00fchrung neuer Plattformen bedeutet auch das Auftreten neuer Bedrohungen. Die Unterst\u00fctzung eines eigenen Teams innerhalb der Organisation, das f\u00fcr die \u00dcberwachung der Sicherheit von Cloud-Diensten zust\u00e4ndig ist, ist eine herausfordernde Aufgabe. Die vorhandenen \u00dcberwachungstools sind teuer und langsam. Sie sind nur schwer zu handhaben, wenn es darum geht, die Sicherheit einer umfassenden Cloud-Infrastruktur zu gew\u00e4hrleisten. Unternehmen ben\u00f6tigen leistungsstarke, flexible und benutzerfreundliche Tools, die \u00fcber die M\u00f6glichkeiten der zuvor verf\u00fcgbaren L\u00f6sungen hinausgehen, um ihre Cloud-Sicherheit auf hohem Niveau aufrechtzuerhalten. Hier kommen Open-Source-Technologien ins Spiel, die helfen, Budgets f\u00fcr Sicherheitsma\u00dfnahmen einzusparen und von Fachleuten entwickelt werden, die ihr Handwerk verstehen.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

In dem Artikel, dessen \u00dcbersetzung wir heute ver\u00f6ffentlichen, wird ein \u00dcberblick \u00fcber 7 Open-Source-Tools zur \u00dcberwachung der Sicherheit von Cloud-Systemen gegeben. Diese Tools sind darauf ausgelegt, Hacker und Cyberkriminelle durch die Erkennung von Anomalien und unsicheren Handlungen abzuwehren.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> ist ein System zur Low-Level-\u00dcberwachung und Analyse von Betriebssystemen, das Sicherheitsfachleuten erm\u00f6glicht, komplexe Datenuntersuchungen mit SQL durchzuf\u00fchren. Das Osquery-Framework kann unter Linux, macOS, Windows und FreeBSD betrieben werden. Es stellt das Betriebssystem (OS) als eine leistungsstarke relationale Datenbank dar. Dies erm\u00f6glicht es Sicherheitsfachleuten, das OS durch die Ausf\u00fchrung von SQL-Abfragen zu untersuchen. Zum Beispiel kann man mit einer Abfrage Informationen \u00fcber laufende Prozesse, geladene Kernel-Module, offene Netzwerkverbindungen, installierte Browsererweiterungen, Hardwareereignisse und Hash-Werte von Dateien erhalten.<\/p>\n

Das Osquery-Framework wurde von Facebook entwickelt. Der Code wurde 2014 ver\u00f6ffentlicht, nachdem das Unternehmen erkannt hatte, dass auch andere Organisationen Werkzeuge zur \u00dcberwachung der Low-Level-Mechanismen von Betriebssystemen ben\u00f6tigen. Seitdem nutzen Fachleute aus Unternehmen wie Dactiv, Google, Kolide, Trail of Bits, Uptycs und vielen anderen Osquery. K\u00fcrzlich wurde angek\u00fcndigt<\/a><\/noindex> berichtet, dass die Linux Foundation und Facebook einen Unterst\u00fctzungsfonds f\u00fcr Osquery gr\u00fcnden wollen.<\/p>\n

Der Osquery-Host-Monitoring-Daemon, bekannt als osqueryd, erm\u00f6glicht die Planung von Abfragen, die darauf abzielen, Daten aus der gesamten Infrastruktur einer Organisation zu sammeln. Der Daemon sammelt die Ergebnisse der Abfragen und erstellt Protokolle, die den Zustand der Infrastruktur widerspiegeln. Dies kann Sicherheitsfachleuten helfen, sich \u00fcber die Situation im System auf dem Laufenden zu halten und ist besonders n\u00fctzlich zur Erkennung von Anomalien. Die Protokollaggregationsm\u00f6glichkeiten von Osquery k\u00f6nnen verwendet werden, um die Suche nach bekannten und unbekannten Malware-Programmen zu erleichtern sowie die Eintrittspunkte von Angreifern in das System zu identifizieren und nach deren installierten Programmen zu suchen. Hier<\/a><\/noindex> Material, in dem Details zur Erkennung von Anomalien mit Osquery zu finden sind.<\/p>\n

2. GoAudit<\/h2>\n

\nDas System Linux-Audit<\/a><\/noindex> besteht aus zwei Hauptkomponenten. Die erste ist ein Code auf Kernel-Ebene, der dazu dient, Systemaufrufe abzufangen und zu \u00fcberwachen. Die zweite Komponente ist ein im Benutzermodus arbeitender Daemon, der genannt wird auditd<\/a><\/noindex>. Er ist verantwortlich f\u00fcr das Speichern der Auditergebnisse auf der Festplatte. GoAudit<\/a><\/noindex>, ein System, das von der Firma Slack<\/a><\/noindex> entwickelt und 2016 ver\u00f6ffentlicht wurde, soll auditd ersetzen. Es bietet verbesserte Protokollierungsfunktionen, da es mehrzeilige Ereignismeldungen, die vom Linux-Audit-System generiert werden, in einheitliche JSON-BLOB-Objekte konvertiert, was die Analyse vereinfacht. Mit GoAudit kann direkt auf die Mechanismen der Kernel-Ebene \u00fcber das Netzwerk zugegriffen werden. Dar\u00fcber hinaus kann eine minimale Ereignisfilterung direkt auf dem Host aktiviert (oder vollst\u00e4ndig deaktiviert) werden. Bei all dem ist GoAudit ein Projekt, das nicht nur auf Sicherheit abzielt. Dieses Werkzeug ist als multifunktionales Mittel f\u00fcr Fachleute gedacht, die sich mit Systemsupport oder -entwicklung besch\u00e4ftigen. Es hilft, Probleme in gro\u00dfangelegten Infrastrukturen zu l\u00f6sen.<\/p>\n

Das GoAudit-System ist in Golang geschrieben. Dies ist eine typsichere und leistungsstarke Sprache. \u00dcberpr\u00fcfen Sie vor der Installation von GoAudit, ob Ihre vorhandene Golang-Version \u00e4lter als 1.7 ist.<\/p>\n

3. Grapl<\/h2>\n

\nProjekt Grapl<\/a><\/noindex> (Graph Analytics Platform) wurde im M\u00e4rz letzten Jahres als Open Source ver\u00f6ffentlicht. Es handelt sich um eine vergleichsweise neue Plattform zur Identifizierung von Sicherheitsproblemen, zur Durchf\u00fchrung von Computerforensik und zur Erstellung von Vorfallberichten. Angreifer arbeiten h\u00e4ufig mit einer Art Graphmodell, um Kontrolle \u00fcber ein bestimmtes System zu erlangen und andere Netzwerksysteme zu erkunden, beginnend mit diesem System. Daher ist es nur nat\u00fcrlich, dass auch Systemverteidiger ein auf einem Graphmodell basierendes System verwenden, das die Besonderheiten der Beziehungen zwischen Systemen ber\u00fccksichtigt. Grapl zeigt einen Ansatz zur Identifizierung und Reaktion auf Vorf\u00e4lle, der auf einem Graphmodell basiert und nicht auf einem Protokollmodell.<\/p>\n

Das Grapl-Tool nimmt sicherheitsrelevante Protokolle (Sysmon-Logs oder Logs im Standard-JSON-Format) an und konvertiert sie in Untergraphen (indem es \"Identifikationsinformationen\" f\u00fcr jeden Knoten bestimmt). Danach f\u00fcgt es die Untergraphen zu einem Gesamgraphen (Master Graph) zusammen, der die Aktivit\u00e4ten darstellt, die in den analysierten Umgebungen durchgef\u00fchrt wurden. Anschlie\u00dfend f\u00fchrt Grapl Analysatoren (Analyzers) auf dem erhaltenen Graphen aus, die \"Angreifermuster\" verwenden, um Abweichungen und verd\u00e4chtige Muster zu identifizieren. Wenn der Analysator einen verd\u00e4chtigen Untergraphen erkennt, erzeugt Grapl das Engagement-Objekt, das f\u00fcr Ermittlungen vorgesehen ist. Engagement ist eine Python-Klasse, die beispielsweise in ein in AWS bereitgestelltes Jupyter Notebook geladen werden kann. Grapl kann au\u00dferdem die Informationssammlung zur Untersuchung eines Vorfalls durch die Erweiterung des Graphen skalieren.<\/p>\n

Wenn Sie Grapl besser verstehen m\u00f6chten, k\u00f6nnen Sie sich dieses<\/a><\/noindex> ein interessantes Video ansehen \u2013 eine Aufzeichnung eines Vortrags von BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 dies ist ein Projekt, das im Jahr 2004 gegr\u00fcndet wurde. Dieses Projekt kann insgesamt als eine Open-Source-Sicherheits\u00fcberwachungsplattform charakterisiert werden, die f\u00fcr die Analyse von Hosts und zur Erkennung von Einbr\u00fcchen konzipiert ist. J\u00e4hrlich wird OSSEC \u00fcber 500.000 Mal heruntergeladen. Diese Plattform wird haupts\u00e4chlich als Mittel zur Erkennung von Einbr\u00fcchen auf Servern verwendet. Dabei handelt es sich sowohl um lokale als auch um Cloud-Systeme. OSSEC wird dar\u00fcber hinaus h\u00e4ufig als Werkzeug zur Untersuchung von \u00dcberwachungsprotokollen und zur Analyse von Firewalls, Intrusion Detection Systemen, Web-Servern sowie zur Analyse von Authentifizierungsprotokollen eingesetzt.<\/p>\n

OSSEC kombiniert die Funktionen eines Host-basierten Intrusion Detection Systems (HIDS) mit einem Security Incident Management System (SIM) und einem Security Information and Event Management System (SIEM). Dar\u00fcber hinaus kann OSSEC die Integrit\u00e4t von Dateien in Echtzeit \u00fcberwachen. Zum Beispiel werden das Windows-Register \u00fcberwacht und Rootkits erkannt. OSSEC kann betroffene Personen in Echtzeit \u00fcber entdeckte Probleme informieren und dabei helfen, schnell auf gefundene Bedrohungen zu reagieren. Diese Plattform unterst\u00fctzt Microsoft Windows und die meisten modernen Unix-\u00e4hnlichen Systeme, einschlie\u00dflich Linux, FreeBSD, OpenBSD und Solaris.<\/p>\n

Die OSSEC-Plattform besteht aus einer zentralen Steuereinheit, einem Manager, der verwendet wird, um Informationen von Agenten (kleine Programme, die auf den zu \u00fcberwachenden Systemen installiert sind) zu empfangen und zu \u00fcberwachen. Der Manager wird auf einem Linux-System installiert, das eine Datenbank speichert, die zur \u00dcberpr\u00fcfung der Dateiintegrit\u00e4t verwendet wird. Au\u00dferdem speichert es Protokolle und Aufzeichnungen \u00fcber Ereignisse sowie \u00fcber Audit-Ergebnisse der Systeme.<\/p>\n

Die Unterst\u00fctzung des OSSEC-Projekts wird derzeit von der Firma Atomicorp \u00fcbernommen. Das Unternehmen betreut die kostenlose Open-Source-Version und bietet dar\u00fcber hinaus eine erweiterte<\/a><\/noindex> Kommerzielle Version des Produkts. Hier<\/a><\/noindex> Podcast, in dem der Projektmanager von OSSEC \u00fcber die neueste Version des Systems \u2014 OSSEC 3.0 \u2014 spricht. Es wird auch die Geschichte des Projekts behandelt und was es von modernen kommerziellen Systemen unterscheidet, die im Bereich der Computersicherheit verwendet werden.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 dies ist ein Open-Source-Projekt, das auf die L\u00f6sung grundlegender Probleme der Computersicherheit ausgerichtet ist. Insbesondere geh\u00f6rt ein System zur Erkennung von Eindringlingen, ein System zur Verhinderung von Eindringlingen und ein Werkzeug zur \u00dcberwachung der Netzwerksicherheit dazu.<\/p>\n

Dieses Produkt wurde im Jahr 2009 eingef\u00fchrt. Seine Funktionsweise basiert auf Regeln. Das bedeutet, dass der Benutzer die M\u00f6glichkeit hat, bestimmte Merkmale des Netzwerkverkehrs zu beschreiben. Wenn eine Regel ausgel\u00f6st wird, generiert Suricata eine Benachrichtigung, blockiert oder trennt die verd\u00e4chtige Verbindung, was wiederum von den festgelegten Regeln abh\u00e4ngt. Dar\u00fcber hinaus unterst\u00fctzt das Projekt den Multithreading-Betrieb. Dies erm\u00f6glicht eine schnelle Verarbeitung einer gro\u00dfen Anzahl von Regeln in Netzwerken, in denen gro\u00dfe Datenmengen flie\u00dfen. Dank der Unterst\u00fctzung f\u00fcr Multithreading kann ein ganz normaler Server erfolgreich Verkehr analysieren, der mit Geschwindigkeiten von 10 Gbit\/s verl\u00e4uft. Dabei muss der Administrator nicht den Satz von Regeln einschr\u00e4nken, die zur Analyse des Verkehrs verwendet werden. Suricata unterst\u00fctzt zudem das Hashing und die Extraktion von Dateien.<\/p>\n

Suricata kann so konfiguriert werden, dass es auf \u00fcblichen Servern oder virtuellen Maschinen, beispielsweise in AWS, betrieben wird, mithilfe der neu hinzugef\u00fcgten Funktionalit\u00e4t im Produkt. traffic-monitoring<\/a><\/noindex>.<\/p>\n

Das Projekt unterst\u00fctzt Lua-Skripte, mit denen komplexe und detaillierte Logik zur Analyse von Bedrohungssignaturen erstellt werden kann.<\/p>\n

Das Projekt Suricata wird von der Open Information Security Foundation (OISF) betreut.<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nWie Suricata, Zeek<\/a><\/noindex> (dieses Projekt hie\u00df fr\u00fcher Bro und wurde auf der BroCon 2018 in Zeek umbenannt) \u2014 ist ebenfalls ein System zur Erkennung von Eindringlingen und ein Werkzeug zur \u00dcberwachung der Netzwerksicherheit, das Anomalien wie verd\u00e4chtige oder gef\u00e4hrliche Aktivit\u00e4ten erkennen kann. Zeek unterscheidet sich von traditionellen IDS, da es im Gegensatz zu regelbasierten Systemen, die Ausnahmen erfassen, auch Metadaten erfasst, die mit den Vorg\u00e4ngen im Netzwerk verbunden sind. Dies geschieht, um den Kontext des ungew\u00f6hnlichen Netzwerkverhaltens besser zu verstehen. Zum Beispiel kann man beim Analysieren eines HTTP-Calls oder eines Zertifikataustausch-Verfahrens auf das Protokoll, die Paketheader und die Domainnamen schauen.<\/p>\n

Wenn man Zeek als Werkzeug f\u00fcr Netzwerksicherheit betrachtet, kann man sagen, dass es dem Spezialisten die M\u00f6glichkeit gibt, eine Untersuchung eines Vorfalls durchzuf\u00fchren, indem er herausfindet, was vor oder w\u00e4hrend des Vorfalls passiert ist. Zeek wandelt au\u00dferdem Daten \u00fcber den Netzwerkverkehr in hochrangige Ereignisse um und erm\u00f6glicht die Arbeit mit einem Skript-Interpreter. Der Interpreter unterst\u00fctzt die Programmiersprache, die verwendet wird, um die Interaktion mit den Ereignissen zu organisieren und zu kl\u00e4ren, was diese Ereignisse im Hinblick auf Netzwerksicherheit bedeuten. Die Programmiersprache Zeek kann verwendet werden, um die Interpretation der Metadaten nach den Anforderungen der jeweiligen Organisation anzupassen. Sie erm\u00f6glicht die Erstellung komplexer logischer Bedingungen unter Verwendung der Operatoren AND, OR und NOT. Dies gibt den Nutzern die M\u00f6glichkeit, den Analyseprozess ihrer Umgebungen anzupassen. Es muss jedoch angemerkt werden, dass Zeek im Vergleich zu Suricata als ein relativ komplexes Werkzeug f\u00fcr die Sicherheitsbedrohungsaufkl\u00e4rung erscheinen kann.<\/p>\n

Wenn Sie mehr Informationen \u00fcber Zeek w\u00fcnschen, wenden Sie sich bitte an diesem<\/a><\/noindex> das Video.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> ist eine leistungsstarke, urspr\u00fcnglich auf die Cloud ausgerichtete Plattform f\u00fcr die kontinuierliche Sicherheits\u00fcberwachung. Es wurde k\u00fcrzlich zu Open Source. An der Spitze des Projekts steht der Hauptarchitekt StreamAlert<\/a><\/noindex> eine L\u00f6sung f\u00fcr automatisierte Protokollanalysen, deren Code von der Firma Airbnb ge\u00f6ffnet wurde. Panther bietet dem Nutzer ein einheitliches System f\u00fcr die zentrale Bedrohungserkennung in allen Umgebungen sowie f\u00fcr die Organisation der Reaktionen darauf. Dieses System kann zusammen mit der Gr\u00f6\u00dfe der verwalteten Infrastruktur wachsen. Die Bedrohungserkennung erfolgt durch klare deterministische Regeln, die darauf abzielen, die Rate falsch positiver Erkennungen zu senken und die unn\u00f6tige Belastung der Sicherheitsexperten zu verringern.<\/p>\n

Zu den Hauptfunktionen von Panther geh\u00f6ren:<\/p>\n