{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 herramientas de c\u00f3digo abierto para la monitorizaci\u00f3n de la seguridad en sistemas en la nube, que debes conocer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La amplia adopci\u00f3n de la computaci\u00f3n en la nube ayuda a las empresas a escalar sus negocios. Sin embargo, la aplicaci\u00f3n de nuevas plataformas tambi\u00e9n implica la aparici\u00f3n de nuevas amenazas. Mantener un equipo interno en la organizaci\u00f3n que se encargue de la supervisi\u00f3n de la seguridad de los servicios en la nube es una tarea complicada. Las herramientas de monitoreo existentes son costosas y lentas. En cierta medida, son dif\u00edciles de gestionar cuando es necesario garantizar la seguridad de una infraestructura en la nube a gran escala. Para mantener su seguridad en la nube a un alto nivel, las empresas necesitan herramientas potentes, flexibles y comprensibles, cuyas capacidades superen lo que estaba disponible anteriormente. Aqu\u00ed es donde las tecnolog\u00edas de c\u00f3digo abierto resultan muy \u00fatiles, ya que ayudan a ahorrar presupuestos en seguridad y son desarrolladas por especialistas que saben lo que hacen.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

En el art\u00edculo cuya traducci\u00f3n publicamos hoy, se presenta una revisi\u00f3n de 7 herramientas de c\u00f3digo abierto para la supervisi\u00f3n de la seguridad de sistemas en la nube. Estas herramientas est\u00e1n dise\u00f1adas para protegerse de hackers y delincuentes cibern\u00e9ticos mediante la detecci\u00f3n de anomal\u00edas y comportamientos inseguros.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> es un sistema para monitoreo y an\u00e1lisis de bajo nivel de sistemas operativos, que permite a los expertos en seguridad realizar investigaciones complejas de datos utilizando SQL. El marco Osquery puede funcionar en Linux, macOS, Windows y FreeBSD. Representa el sistema operativo (SO) como una base de datos relacional de alto rendimiento. Esto permite a los especialistas en seguridad investigar el SO mediante la ejecuci\u00f3n de consultas SQL. Por ejemplo, con una consulta se puede conocer los procesos en ejecuci\u00f3n, los m\u00f3dulos del kernel cargados, las conexiones de red abiertas, las extensiones del navegador instaladas, los eventos de hardware y las sumas de verificaci\u00f3n de los archivos.<\/p>\n

El marco Osquery fue creado por Facebook. Su c\u00f3digo fue abierto en 2014, despu\u00e9s de que la empresa se dio cuenta de que no solo ella necesitaba herramientas para observar los mecanismos de bajo nivel de los sistemas operativos. Desde entonces, Osquery es utilizado por especialistas de empresas como Dactiv, Google, Kolide, Trail of Bits, Uptycs, y muchas m\u00e1s. Recientemente se anunci\u00f3 que<\/a><\/noindex> sobre la formaci\u00f3n de un fondo de apoyo a Osquery por parte de Linux Foundation y Facebook.<\/p>\n

El demonio de monitoreo de hosts Osquery, llamado osqueryd, permite programar la ejecuci\u00f3n de consultas para recopilar datos de toda la infraestructura de la organizaci\u00f3n. El demonio recopila los resultados de las consultas y crea registros que reflejan el estado de la infraestructura. Esto puede ayudar a los especialistas en seguridad a estar al tanto del estado del sistema y es especialmente \u00fatil para detectar anomal\u00edas. Las capacidades de agregaci\u00f3n de registros de Osquery se pueden usar para facilitar la b\u00fasqueda de amenazas conocidas y desconocidas, as\u00ed como para identificar puntos de intrusi\u00f3n de atacantes en el sistema y buscar programas que hayan instalado. Aqu\u00ed<\/a><\/noindex> hay material que puede encontrar detalles sobre la detecci\u00f3n de anomal\u00edas con Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSistema auditor\u00eda de Linux<\/a><\/noindex> se compone de dos componentes principales. El primero es un c\u00f3digo de nivel de n\u00facleo dise\u00f1ado para interceptar y monitorear llamadas al sistema. El segundo componente es un demonio que opera en el espacio de usuario, llamado auditd<\/a><\/noindex>. Se encarga de registrar en disco los resultados de la auditor\u00eda. GoAudit<\/a><\/noindex>, un sistema creado por Slack<\/a><\/noindex> y lanzado en 2016, est\u00e1 destinado a reemplazar auditd. Tiene capacidades mejoradas de registro al convertir mensajes de eventos de m\u00faltiples l\u00edneas generados por el sistema de auditor\u00eda de Linux en objetos JSON BLOB \u00fanicos, lo que facilita el an\u00e1lisis. Gracias a GoAudit, se puede acceder directamente a los mecanismos de nivel de n\u00facleo a trav\u00e9s de la red. Adem\u00e1s, se puede activar un filtrado m\u00ednimo de eventos en el propio host (o desactivar completamente el filtrado). GoAudit es un proyecto dise\u00f1ado no solo para la seguridad. Esta herramienta se concibi\u00f3 como un medio multifuncional para los profesionales que se ocupan del soporte de sistemas o del desarrollo. Ayuda a abordar problemas en infraestructuras a gran escala.<\/p>\n

El sistema GoAudit est\u00e1 escrito en Golang. Este es un lenguaje de tipado seguro y alto rendimiento. Antes de instalar GoAudit, aseg\u00farese de que su versi\u00f3n de Golang sea superior a 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProyecto Grapl<\/a><\/noindex> (Graph Analytics Platform) se convirti\u00f3 en un proyecto de c\u00f3digo abierto en marzo del a\u00f1o pasado. Es una plataforma relativamente nueva para identificar problemas de seguridad, realizar an\u00e1lisis forenses inform\u00e1ticos y generar informes sobre incidentes. Los atacantes a menudo operan utilizando algo similar a un modelo de gr\u00e1fico, obteniendo control sobre un sistema espec\u00edfico y explorando otros sistemas de red a partir de este. Por lo tanto, es natural que los defensores de los sistemas tambi\u00e9n utilicen un mecanismo basado en un modelo de gr\u00e1fico de las relaciones de los sistemas de red, considerando las particularidades de las interacciones entre estos. Grapl representa un intento de aplicar medidas para la detecci\u00f3n de incidentes y la respuesta a estos, bas\u00e1ndose en un modelo de gr\u00e1fico, en lugar de un modelo de registro.<\/p>\n

La herramienta Grapl acepta registros relacionados con la seguridad (registros de Sysmon o registros en formato JSON est\u00e1ndar) y los convierte en subgr\u00e1ficos (definiendo \"informaci\u00f3n de identificaci\u00f3n\" para cada nodo). Luego, combina los subgr\u00e1ficos en un gr\u00e1fico maestro (Master Graph), que representa las acciones realizadas en los entornos analizados. Despu\u00e9s, Grapl ejecuta analizadores (Analyzers) en el gr\u00e1fico obtenido utilizando \"firmas de ataque\" para identificar anomal\u00edas y patrones sospechosos. Cuando un analizador detecta un subgr\u00e1fico sospechoso, Grapl genera un constructor Engagement, destinado a llevar a cabo investigaciones. Engagement es una clase de Python que se puede cargar, por ejemplo, en Jupyter Notebook, desplegado en un entorno de AWS. Grapl tambi\u00e9n puede escalar la recopilaci\u00f3n de informaci\u00f3n para investigar un incidente mediante la expansi\u00f3n del gr\u00e1fico.<\/p>\n

Si desea comprender mejor Grapl, puede ver este<\/a><\/noindex> interesante video \u2014 grabaci\u00f3n de una presentaci\u00f3n en BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 es un proyecto fundado en 2004. Este proyecto, en general, se puede caracterizar como una plataforma de monitorizaci\u00f3n de seguridad de c\u00f3digo abierto, dise\u00f1ada para analizar hosts y detectar intrusiones. Cada a\u00f1o, OSSEC se descarga m\u00e1s de 500,000 veces. Esta plataforma se utiliza principalmente como herramienta de detecci\u00f3n de intrusiones en servidores, tanto en sistemas locales como en la nube. Adem\u00e1s, OSSEC se usa a menudo como herramienta para investigar registros de monitorizaci\u00f3n y analizar cortafuegos, sistemas de detecci\u00f3n de intrusiones, servidores web, as\u00ed como para estudiar registros de autenticaci\u00f3n.<\/p>\n

OSSEC combina las capacidades del sistema de detecci\u00f3n de intrusiones basado en host (HIDS, Host-Based Intrusion Detection System) con un sistema de gesti\u00f3n de incidentes de seguridad (SIM, Security Incident Management) y un sistema de gesti\u00f3n de informaci\u00f3n y eventos de seguridad (SIEM, Security Information and Event Management). OSSEC, adem\u00e1s, puede realizar un monitoreo de la integridad de archivos en tiempo real, como la supervisi\u00f3n del registro de Windows y la detecci\u00f3n de rootkits. OSSEC puede notificar a las partes interesadas sobre problemas detectados en tiempo real y ayuda a responder r\u00e1pidamente a las amenazas encontradas. Esta plataforma es compatible con Microsoft Windows y la mayor\u00eda de sistemas Unix-like modernos, incluidos Linux, FreeBSD, OpenBSD y Solaris.<\/p>\n

La plataforma OSSEC consta de una entidad de gesti\u00f3n central, un gestor, que se utiliza para recibir y monitorear informaci\u00f3n de los agentes (peque\u00f1os programas instalados en los sistemas que se deben monitorizar). El gestor se instala en un sistema Linux, que almacena una base de datos utilizada para verificar la integridad de los archivos. Adem\u00e1s, almacena registros y registros de eventos, as\u00ed como resultados de auditor\u00eda de sistemas.<\/p>\n

El apoyo al proyecto OSSEC es actualmente proporcionado por la empresa Atomicorp. La empresa supervisa la versi\u00f3n gratuita de c\u00f3digo abierto y tambi\u00e9n ofrece una versi\u00f3n<\/a><\/noindex> comercial del producto. Aqu\u00ed<\/a><\/noindex> un podcast en el que el gestor del proyecto OSSEC habla sobre la nueva versi\u00f3n del sistema \u2014 OSSEC 3.0. Tambi\u00e9n se discute la historia del proyecto y c\u00f3mo se diferencia de los sistemas comerciales modernos utilizados en el \u00e1mbito de la seguridad inform\u00e1tica.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 es un proyecto de c\u00f3digo abierto enfocado en resolver problemas clave de seguridad inform\u00e1tica. En particular, incluye un sistema de detecci\u00f3n de intrusiones, un sistema de prevenci\u00f3n de intrusiones y una herramienta para la monitorizaci\u00f3n de la seguridad de la red.<\/p>\n

Este producto apareci\u00f3 en 2009. Su funcionamiento se basa en reglas. Es decir, quien lo utilice tiene la posibilidad de describir ciertas caracter\u00edsticas del tr\u00e1fico de red. Si se activa una regla, Suricata genera una notificaci\u00f3n, bloqueando o interrumpiendo la conexi\u00f3n sospechosa, lo que, de nuevo, depende de las reglas establecidas. El proyecto, adem\u00e1s, es compatible con el funcionamiento en modo multihilo. Esto permite un r\u00e1pido procesamiento de un gran n\u00famero de reglas en redes con grandes vol\u00famenes de tr\u00e1fico. Gracias al soporte de la multithreading, un servidor com\u00fan puede analizar con \u00e9xito el tr\u00e1fico a una velocidad de 10 Gbit\/s. Al mismo tiempo, el administrador no necesita restringir el conjunto de reglas utilizadas para el an\u00e1lisis de tr\u00e1fico. Suricata, adem\u00e1s, soporta hashing y extracci\u00f3n de archivos.<\/p>\n

Suricata se puede configurar para funcionar en servidores comunes o en m\u00e1quinas virtuales, por ejemplo, en AWS, utilizando la nueva funcionalidad recientemente incorporada en el producto. monitorizaci\u00f3n del tr\u00e1fico<\/a><\/noindex>.<\/p>\n

El proyecto soporta scripts Lua, que permiten crear l\u00f3gica de an\u00e1lisis de firmas de amenazas compleja y detallada.<\/p>\n

El proyecto Suricata es gestionado por la Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nAl igual que Suricata, Zeek<\/a><\/noindex> (este proyecto anteriormente se llamaba Bro y fue rebautizado como Zeek en el evento BroCon 2018) \u2014 es tambi\u00e9n un sistema de detecci\u00f3n de intrusiones y una herramienta para la monitorizaci\u00f3n de la seguridad de la red, que puede identificar anomal\u00edas, como acciones sospechosas o peligrosas. Zeek se diferencia de los IDS tradicionales en que, a diferencia de los sistemas basados en reglas que identifican excepciones, Zeek tambi\u00e9n captura metadatos relacionados con lo que ocurre en la red. Esto se hace para entender mejor el contexto del comportamiento inusual de la red. Por ejemplo, analizando una llamada HTTP o un procedimiento de intercambio de certificados de seguridad, se puede examinar el protocolo, los encabezados de los paquetes y los nombres de dominio.<\/p>\n

Si consideramos a Zeek como una herramienta de seguridad de red, se puede decir que proporciona al especialista la capacidad de realizar una investigaci\u00f3n de incidentes, entendiendo lo que ocurri\u00f3 antes o durante el incidente. Adem\u00e1s, Zeek convierte los datos sobre el tr\u00e1fico de red en eventos de alto nivel y permite trabajar con un int\u00e9rprete de scripts. Este int\u00e9rprete soporta un lenguaje de programaci\u00f3n que se utiliza para organizar la interacci\u00f3n con los eventos y para esclarecer lo que significan estos eventos en t\u00e9rminos de seguridad de red. El lenguaje de programaci\u00f3n de Zeek puede ser utilizado para ajustar la interpretaci\u00f3n de metadatos de acuerdo a las necesidades de una organizaci\u00f3n espec\u00edfica. Permite construir condiciones l\u00f3gicas complejas usando los operadores AND, OR y NOT. Esto da a los usuarios la oportunidad de personalizar el proceso de an\u00e1lisis de sus entornos. Sin embargo, hay que se\u00f1alar que, en comparaci\u00f3n con Suricata, Zeek puede parecer una herramienta bastante compleja para la inteligencia de amenazas de seguridad.<\/p>\n

Si est\u00e1 interesado en m\u00e1s detalles sobre Zeek, comun\u00edquese con este<\/a><\/noindex> video.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> es una poderosa plataforma originalmente dise\u00f1ada para la nube para la organizaci\u00f3n de monitoreo continuo de seguridad. Recientemente se volvi\u00f3 de c\u00f3digo abierto. En los inicios del proyecto se encuentra el arquitecto principal StreamAlert<\/a><\/noindex> una soluci\u00f3n para el an\u00e1lisis automatizado de registros, cuyo c\u00f3digo fue liberado por la empresa Airbnb. Panther proporciona al usuario un sistema \u00fanico para la detecci\u00f3n centralizada de amenazas en todos los entornos y para la organizaci\u00f3n de respuestas ante ellas. Este sistema es capaz de crecer junto con el tama\u00f1o de la infraestructura que atiende. La detecci\u00f3n de amenazas se organiza a trav\u00e9s de reglas deterministas transparentes, dise\u00f1adas para reducir el porcentaje de falsos positivos y minimizar la carga innecesaria sobre los especialistas en seguridad.<\/p>\n

Entre las principales caracter\u00edsticas de Panther se destacan las siguientes:<\/p>\n