La compañía Stamus Networks ha publicado una versión especializada del sistema operativo Clear NDR 1.0, diseñada para implementar sistemas de detección y prevención de intrusiones en redes, así como organizar la respuesta a amenazas detectadas y monitorear la seguridad de la red. Se ofrece a los usuarios una solución lista para la gestión de la seguridad de la red, que se puede utilizar inmediatamente después de la descarga. La distribución admite funcionamiento en modo Live y se puede ejecutar en entornos de virtualización o contenedores. Los desarrollos del proyecto se distribuyen bajo la licencia GPLv3. El tamaño de la imagen de arranque es de 3.9 GB.
La distribución se basa en la plataforma Debian y utiliza el sistema de detección de ataques de código abierto Suricata. Los datos provenientes de diferentes fuentes se almacenan en el almacenamiento OpenSearch. Se ofrece una interfaz web para hacer seguimiento del estado actual y de los incidentes detectados, que se implementa sobre la interfaz de Kibana. Para gestionar las reglas y visualizar la actividad relacionada, se utiliza la interfaz web de Stamus. También incluye un sistema de captura, almacenamiento e indexación de paquetes de red llamado Arkime, una interfaz para evaluar eventos ocurridos llamada EveBox y un recolector de datos llamado Fluentd.
Durante los últimos 10 años, la distribución se desarrolló bajo el nombre SELKS, pero fue renombrada a Clear NDR tras reconocer la madurez del producto para su aplicación en soluciones operativas para pequeñas y medianas empresas, así como la división de la distribución en ediciones Community y Enterprise. La versión Enterprise se diferencia por la integración con sistemas de aprendizaje automático, herramientas avanzadas de clasificación de tráfico, integración con sistemas externos de respuesta a amenazas, actualización diaria de reglas de detección de intrusiones y soporte técnico.
Principales cambios:
- Tres opciones de despliegue: imagen ISO con interfaz gráfica para quienes prefieren la configuración a través de GUI, imagen ISO con entorno de consola para servidores y una versión para desplegar en contenedores aislados.
- El sistema de detección y prevención de intrusiones en redes Suricata ha sido actualizado a la rama 8.x.
- Se ha realizado la transición de la plataforma de búsqueda, análisis y almacenamiento de datos Elasticsearch al fork OpenSearch 2.
- Se ha añadido soporte para el protocolo MCP (Model Context Protocol) para la integración con plataformas de IA, permitiendo que los asistentes de IA tengan acceso a los datos recolectados y a las herramientas de Clear NDR.
- En la interfaz web se han propuesto nuevos paneles de control y módulos de visualización de datos. Se ofrecen más de 400 módulos de visualización y 58 nuevos paneles de control.
- Se ha añadido soporte para el procesamiento automático de flujos de información sobre amenazas, lo que no requiere la escritura manual de reglas para Suricata.
- Se ha acelerado el proceso de respuesta a incidentes de seguridad. Se ha añadido la posibilidad de acceder en dos clics a las pruebas asociadas con el incidente, como registros, grabaciones de flujos de tráfico, operaciones detectadas con archivos y volcado de PCAP.
- Se ha asegurado la posibilidad de integrar la interfaz de usuario con otros sistemas.
- Se han ampliado las capacidades para la gestión del tiempo de retención de datos.
- Se ha incorporado un mecanismo de notificación sobre la aparición de actualizaciones y nuevos lanzamientos.
Fuente: opennet.ru
