{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 Open-Source-Tools zur Sicherheits\u00fcberwachung von Cloud-Systemen, die Sie kennen sollten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die weitverbreitete Nutzung von Cloud-Computing unterst\u00fctzt Unternehmen beim Wachstum. Doch die Anwendung neuer Plattformen bringt auch neue Bedrohungen mit sich. Die Unterst\u00fctzung durch ein internes Team, das f\u00fcr die \u00dcberwachung der Sicherheit von Cloud-Diensten verantwortlich ist, gestaltet sich als anspruchsvoll. Die bestehenden \u00dcberwachungstools sind teuer und langsam. Sie lassen sich nur schwer verwalten, insbesondere wenn es darum geht, die Sicherheit einer gro\u00dffl\u00e4chigen Cloud-Infrastruktur zu gew\u00e4hrleisten. Um ihre Cloud-Sicherheit auf hohem Niveau zu halten, ben\u00f6tigen Unternehmen leistungsstarke, flexible und benutzerfreundliche Tools, deren M\u00f6glichkeiten die fr\u00fcheren Optionen \u00fcbertreffen. Hier kommen Open-Source-Technologien ins Spiel, die helfen, Budgets f\u00fcr Sicherheit zu sparen und von Fachleuten entwickelt werden, die ihr Handwerk verstehen.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

In dem Artikel, dessen \u00dcbersetzung wir heute ver\u00f6ffentlichen, wird ein \u00dcberblick \u00fcber 7 Open-Source-Tools zur Sicherheits\u00fcberwachung von Cloud-Systemen gegeben. Diese Tools sind darauf ausgelegt, Hacker und Cyberkriminelle zu bek\u00e4mpfen, indem sie Anomalien und unsichere Handlungen erkennen.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> ist ein System f\u00fcr die tiefgehende \u00dcberwachung und Analyse von Betriebssystemen, das es Sicherheitsexperten erm\u00f6glicht, komplexe Datenanalysen mit SQL durchzuf\u00fchren. Das Osquery-Framework kann auf Linux, macOS, Windows und FreeBSD eingesetzt werden. Es stellt das Betriebssystem (OS) in Form einer leistungsstarken relationalen Datenbank dar, was es Sicherheitsexperten erm\u00f6glicht, das OS durch SQL-Abfragen zu untersuchen. Beispielsweise kann man mit einer Abfrage Informationen \u00fcber laufende Prozesse, geladene Kernel-Module, offene Netzwerkverbindungen, installierte Browsererweiterungen, Hardwareereignisse und die Hash-Werte von Dateien abrufen.<\/p>\n

Das Osquery-Framework wurde von Facebook entwickelt. Der Quellcode wurde 2014 ver\u00f6ffentlicht, nachdem das Unternehmen erkannte, dass nicht nur es selbst Werkzeuge zur \u00dcberwachung von Low-Level-Mechanismen in Betriebssystemen ben\u00f6tigt. Seitdem nutzen Fachleute aus Unternehmen wie Dactiv, Google, Kolide, Trail of Bits, Uptycs und vielen anderen Osquery. ank\u00fcndigt<\/a><\/noindex> Es wurde k\u00fcrzlich bekannt, dass die Linux Foundation und Facebook einen Fonds zur Unterst\u00fctzung von Osquery gr\u00fcnden wollen.<\/p>\n

Der Host-\u00dcberwachungsdaemon Osquery, genannt osqueryd, erm\u00f6glicht die Planung von Abfragen zum Sammeln von Daten aus der gesamten Infrastruktur einer Organisation. Der Daemon sammelt die Ergebnisse der Abfragen und erstellt Protokolle, die den Zustand der Infrastruktur dokumentieren. Dies kann Sicherheitsexperten helfen, \u00fcber den Status des Systems informiert zu bleiben und ist besonders n\u00fctzlich, um Anomalien zu erkennen. Die Aggregationsm\u00f6glichkeiten von Osquery k\u00f6nnen genutzt werden, um die Suche nach bekannten und unbekannten Malware zu erleichtern sowie um Eindringstellen in das System zu identifizieren und nach installierten Programmen zu suchen. Hier<\/a><\/noindex> Material, in dem Details zur Auffindung von Anomalien mit Osquery zu finden sind.<\/p>\n

2. GoAudit<\/h2>\n

\nSystem Linux-Audit<\/a><\/noindex> besteht aus zwei Hauptkomponenten. Die erste ist ein Code auf Kernel-Ebene, der f\u00fcr die Abfangung und \u00dcberwachung von Systemaufrufen zust\u00e4ndig ist. Die zweite Komponente ist ein im Benutzerspeicher laufender Daemon, der auditd<\/a><\/noindex>verantwortlich ist f\u00fcr das Speichern der Auditergebnisse auf der Festplatte. GoAudit<\/a><\/noindex>, ein System, das von der Firma Slack<\/a><\/noindex> und wurde 2016 ver\u00f6ffentlicht, um auditd zu ersetzen. Es bietet verbesserte Logging-Funktionen, indem es mehrzeilige Ereignismeldungen des Linux-Audit-Systems in einheitliche JSON-BLOB-Objekte konvertiert, was die Analyse erleichtert. Mit GoAudit kann direkt auf Kernel-Level-Mechanismen \u00fcber das Netzwerk zugegriffen werden. Au\u00dferdem ist es m\u00f6glich, eine minimale Ereignisfilterung direkt auf dem Host einzuschalten (oder die Filterung vollst\u00e4ndig zu deaktivieren). Dabei ist GoAudit ein Projekt, das nicht nur auf die Sicherheit abzielt. Dieses Tool ist als multifunktionales Mittel f\u00fcr Fachleute konzipiert, die sich mit Systemadministration oder Entwicklung besch\u00e4ftigen. Es hilft, Probleme in gro\u00dffl\u00e4chigen Infrastrukturen zu bek\u00e4mpfen.<\/p>\n

Das GoAudit-System ist in Golang geschrieben. Dies ist eine typsichere und leistungsstarke Sprache. Stellen Sie vor der Installation von GoAudit sicher, dass Ihre installierte Golang-Version h\u00f6her als 1.7 ist.<\/p>\n

3. Grapl<\/h2>\n

\nProjekt Grapl<\/a><\/noindex> (Graph Analytics Platform) wurde im M\u00e4rz letzten Jahres zu einer Open-Source-Plattform. Dies ist eine vergleichsweise neue Plattform zur Erkennung von Sicherheitsproblemen, zur Durchf\u00fchrung von Computerforensik und zur Erstellung von Zwischenfallberichten. Angreifer nutzen oft eine Art Graphmodell, um Kontrolle \u00fcber ein bestimmtes System zu erlangen und andere Netzwerke zu erkunden, beginnend mit diesem System. Daher ist es nur logisch, dass auch Systemverteidiger einen Mechanismus verwenden, der auf einem Graphmodell basiert, das die Besonderheiten der Beziehungen zwischen Systemen ber\u00fccksichtigt. Grapl zeigt einen Versuch zur Anwendung von Ma\u00dfnahmen zur Erkennung und Reaktion auf Vorf\u00e4lle, basierend auf einem Graphmodell und nicht auf einem Protokollmodell.<\/p>\n

Das Grapl-Tool akzeptiert sicherheitsrelevante Protokolle (Sysmon-Protokolle oder Protokolle im regul\u00e4ren JSON-Format) und wandelt sie in Untergraphen um (indem es die \"Identifikationsinformationen\" f\u00fcr jeden Knoten bestimmt). Anschlie\u00dfend kombiniert es die Untergraphen zu einem Gesamtnetzwerk (Master Graph), das die in den analysierten Umgebungen durchgef\u00fchrten Aktionen darstellt. Danach f\u00fchrt Grapl Analysatoren (Analyzers) auf dem erhaltenen Graphen aus, indem es \"Angreifermuster\" nutzt, um Anomalien und verd\u00e4chtige Muster zu erkennen. Wenn der Analysator einen verd\u00e4chtigen Untergraphen identifiziert, generiert Grapl eine Engagement-Klasse, die f\u00fcr Ermittlungen vorgesehen ist. Engagement ist eine Python-Klasse, die beispielsweise in einem Jupyter Notebook, das in einer AWS-Umgebung bereitgestellt wird, geladen werden kann. Dar\u00fcber hinaus kann Grapl die Informationssammlung zur Untersuchung eines Vorfalls durch die Erweiterung des Graphen skalieren.<\/p>\n

Wenn Sie mehr \u00fcber Grapl erfahren m\u00f6chten, k\u00f6nnen Sie dies<\/a><\/noindex> ein interessantes Video ansehen \u2014 eine Aufzeichnung des Vortrags von BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 ist ein Projekt, das 2004 gegr\u00fcndet wurde. Dieses Projekt l\u00e4sst sich insgesamt als eine Open-Source-Plattform zur Sicherheits\u00fcberwachung charakterisieren, die auf die Analyse von Hosts und die Erkennung von Eindringlingen abzielt. OSSEC wird j\u00e4hrlich \u00fcber 500.000 Mal heruntergeladen. Diese Plattform dient haupts\u00e4chlich als Intrusion-Detection-System f\u00fcr Server, sowohl in lokalen als auch in Cloud-Umgebungen. Dar\u00fcber hinaus wird OSSEC h\u00e4ufig als Werkzeug zur Untersuchung von \u00dcberwachungsprotokollen und zur Analyse von Firewalls, Intrusion-Detection-Systemen und Webservern sowie zur \u00dcberpr\u00fcfung von Authentifizierungsprotokollen eingesetzt.<\/p>\n

OSSEC kombiniert die M\u00f6glichkeiten eines hostbasierten Intrusion Detection Systems (HIDS) mit einem Sicherheitsvorfallmanagement-System (SIM) und einem Sicherheitsinformations- und Ereignismanagement-System (SIEM). Zudem kann OSSEC die Integrit\u00e4t von Dateien in Echtzeit \u00fcberwachen. Dazu geh\u00f6rt beispielsweise die \u00dcberwachung der Windows-Registry und die Erkennung von Rootkits. OSSEC kann interessierte Parteien in Echtzeit \u00fcber erkannte Probleme informieren und hilft dabei, schnell auf entdeckte Bedrohungen zu reagieren. Diese Plattform unterst\u00fctzt Microsoft Windows und die meisten modernen Unix-\u00e4hnlichen Systeme, einschlie\u00dflich Linux, FreeBSD, OpenBSD und Solaris.<\/p>\n

Die OSSEC-Plattform besteht aus einer zentralen Verwaltungseinheit, dem Manager, der verwendet wird, um Informationen von Agenten (kleine Programme, die auf den zu \u00fcberwachenden Systemen installiert sind) zu erhalten und zu \u00fcberwachen. Der Manager wird auf einem Linux-System installiert, das eine Datenbank speichert, die zur \u00dcberpr\u00fcfung der Dateiintegrit\u00e4t verwendet wird. Zudem speichert es Protokolle sowie Ereignis- und Auditprotokolle.<\/p>\n

Der OSSEC Projekt wird derzeit von der Firma Atomicorp unterst\u00fctzt. Die Firma betreut die kostenlose Open-Source-Version und bietet zus\u00e4tzlich eine erweiterte<\/a><\/noindex> kommerziellen Version des Produkts an. Hier<\/a><\/noindex> ein Podcast, in dem der Projektmanager von OSSEC \u00fcber die neueste Version des Systems \u2013 OSSEC 3.0 \u2013 spricht. Dort wird auch die Geschichte des Projekts sowie die Unterschiede zu modernen kommerziellen Systemen im Bereich der Cybersicherheit er\u00f6rtert.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> ist ein Open-Source-Projekt, das sich auf die wesentlichen Aufgaben der Gew\u00e4hrleistung der Computersicherheit konzentriert. Insbesondere umfasst es ein Intrusion Detection System, ein Intrusion Prevention System und ein Werkzeug zur \u00dcberwachung der Netzsicherheit.<\/p>\n

Dieses Produkt wurde 2009 eingef\u00fchrt. Seine Funktionsweise basiert auf Regeln. Das bedeutet, dass Benutzer die M\u00f6glichkeit haben, bestimmte Merkmale des Netzwerkverkehrs zu beschreiben. Wenn eine Regel greift, generiert Suricata eine Benachrichtigung und blockiert oder trennt die verd\u00e4chtige Verbindung, was wiederum von den festgelegten Regeln abh\u00e4ngt. Das Projekt unterst\u00fctzt zudem den Multithread-Betrieb. Dies erm\u00f6glicht eine schnelle Verarbeitung einer Vielzahl von Regeln in Netzwerken mit hohem Datenverkehr. Dank der Unterst\u00fctzung von Multithreading kann ein g\u00e4ngiger Server erfolgreich Datenverkehr mit Geschwindigkeiten von bis zu 10 Gbit\/s analysieren. Dabei ist der Administrator nicht gezwungen, die Anzahl der zur Analyse verwendeten Regeln zu beschr\u00e4nken. Suricata unterst\u00fctzt dar\u00fcber hinaus Hashing und das Extrahieren von Dateien.<\/p>\n

Suricata kann f\u00fcr den Betrieb auf gew\u00f6hnlichen Servern oder virtuellen Maschinen, wie beispielsweise in AWS, konfiguriert werden, unter Nutzung der neu eingef\u00fchrten Funktionalit\u00e4t im Produkt. traffic-monitoring<\/a><\/noindex>.<\/p>\n

Das Projekt unterst\u00fctzt Lua-Skripte, mit denen komplexe und detaillierte Logik f\u00fcr die Analyse von Bedrohungssignaturen erstellt werden kann.<\/p>\n

Das Suricata-Projekt wird von der Open Information Security Foundation (OISF) betrieben.<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nWie Suricata, Zeek<\/a><\/noindex> (das Projekt hie\u00df fr\u00fcher Bro und wurde auf der BroCon 2018 in Zeek umbenannt) \u2014 ist ebenfalls ein System zur Erkennung von Eindringlingen und ein Werkzeug zur \u00dcberwachung der Netzwerksicherheit, das Anomalien wie verd\u00e4chtige oder gef\u00e4hrliche Aktivit\u00e4ten erkennen kann. Zeek unterscheidet sich von herk\u00f6mmlichen IDS, da es im Gegensatz zu regelbasierten Systemen, die Ausnahmen identifizieren, auch Metadaten erfasst, die mit dem Geschehen im Netzwerk verbunden sind. Dies geschieht, um den Kontext ungew\u00f6hnlichen Netzwerkverhaltens besser zu verstehen. Dadurch ist es beispielsweise m\u00f6glich, bei der Analyse eines HTTP-Calls oder eines Verfahrens zum Austausch von Sicherheitzertifikaten einen Blick auf das Protokoll, die Paketheader und die Domainnamen zu werfen.<\/p>\n

Betrachtet man Zeek als ein Werkzeug f\u00fcr die Netzwerksicherheit, so kann man sagen, dass es Fachleuten erm\u00f6glicht, Vorf\u00e4lle zu untersuchen, indem sie herausfinden, was vor oder w\u00e4hrend des Vorfalls passiert ist. Zeek konvertiert zudem Daten \u00fcber den Netzwerkverkehr in hochgradige Ereignisse und bietet die M\u00f6glichkeit, mit einem Skript-Interpreter zu arbeiten. Der Interpreter unterst\u00fctzt die Programmiersprache, die f\u00fcr die Interaktion mit den Ereignissen und zur Kl\u00e4rung der Bedeutung dieser Ereignisse im Hinblick auf die Netzwerksicherheit verwendet wird. Die Programmiersprache von Zeek kann angepasst werden, um die Interpretation von Metadaten gem\u00e4\u00df den Anforderungen einer bestimmten Organisation zu gestalten. Sie erm\u00f6glicht die Erstellung komplexer logischer Bedingungen unter Verwendung der Operatoren AND, OR und NOT. Dies gibt den Nutzern die M\u00f6glichkeit, den Analyseprozess ihrer Umgebungen zu konfigurieren. Es ist jedoch zu beachten, dass Zeek im Vergleich zu Suricata als ein recht komplexes Werkzeug zur Bedrohungserkennung erscheinen kann.<\/p>\n

Wenn Sie mehr \u00fcber Zeek erfahren m\u00f6chten, wenden Sie sich an einfachen Leitfaden<\/a><\/noindex> Video angesehen werden.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u2014 ist eine leistungsstarke, urspr\u00fcnglich f\u00fcr den Cloud-Betrieb ausgelegte Plattform zur kontinuierlichen Sicherheits\u00fcberwachung. Sie wurde k\u00fcrzlich als Open Source verf\u00fcgbar gemacht. An der Spitze des Projekts steht der Hauptarchitekt. StreamAlert<\/a><\/noindex> \u2014 eine L\u00f6sung zur automatisierten Analyse von Protokollen, deren Code von Airbnb ver\u00f6ffentlicht wurde. Panther bietet dem Benutzer ein einheitliches System zur zentralen Bedrohungserkennung in allen Umgebungen und zur Reaktion darauf. Dieses System kann mit der Gr\u00f6\u00dfe der unterst\u00fctzten Infrastruktur wachsen. Die Bedrohungserkennung erfolgt durch transparente deterministische Regeln, die entwickelt wurden, um die Rate von Fehlalarmen zu reduzieren und die Belastung f\u00fcr Sicherheitsexperten zu minimieren.<\/p>\n

Zu den wichtigsten Funktionen von Panther geh\u00f6ren folgende:<\/p>\n