{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 avatud l\u00e4htekoodiga t\u00f6\u00f6riista pilves\u00fcsteemide turvamonitooringuks, millest tasub teada","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pilvekomputatsiooni laialdane levik aitab ettev\u00f5tetel oma \u00e4ri kasvatada. Kuid uute platvormide kasutuselev\u00f5tt t\u00e4hendab uusi ohte. Oma organisatsioonis turvalisuse j\u00e4lgimisega tegeleva meeskonna toetamine on keeruline \u00fclesanne. Olemasolevad j\u00e4lgimist\u00f6\u00f6riistad on kallid ja aeglased. Nendega on teatud m\u00e4\u00e4ral keeruline hallata suurte pilveinfrastruktuuri turvalisuse tagamist. Ettev\u00f5tted vajavad oma pilveturbe k\u00f5rge taseme hoidmiseks v\u00f5imsaid, paindlikke ja arusaadavaid t\u00f6\u00f6riistu, mille v\u00f5imalused \u00fcletavad see, mis oli varem saadaval. Sellega seoses tulevad kasuks avatud l\u00e4htekoodiga tehnoloogiad, mis aitavad turvabud\u017eetti kokku hoida ja on loodud valdkonna spetsialistide poolt, kes teavad, millest r\u00e4\u00e4givad.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

Artiklis, mille t\u00f5lkega t\u00e4na tutvustame, on \u00fclevaade 7 avatud l\u00e4htekoodiga turvamonitorimise t\u00f6\u00f6riistast pilves\u00fcsteemide jaoks. Need t\u00f6\u00f6riistad on m\u00f5eldud kaitseks h\u00e4kkerite ja k\u00fcberkurjategijate eest, tuvastades anomaaliaid ja ohtlikke tegevusi.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> on s\u00fcsteem madala taseme j\u00e4lgimiseks ja operatsioonis\u00fcsteemide anal\u00fc\u00fcsimiseks, mis v\u00f5imaldab turvaspetsialistidel keerukaid andmeuuringuid teostada SQL-i abil. Osquery raamistiku saab kasutada Linuxis, macOS-is, Windowsis ja FreeBSD-s. See esitab operatsioonis\u00fcsteemi (OS) k\u00f5rge j\u00f5udlusega relatsiooniandmebaasina. See v\u00f5imaldab turvaspetsialistidel uurida OS-i, tehes SQL-p\u00e4ringuid. N\u00e4iteks saab p\u00e4ringuga saada teavet k\u00e4imasolevate protsesside, laaditud tuumamoodulite, avatud v\u00f5rguliideste, installitud brauserilaiendite, riistvaras\u00fcndmuste ja failide r\u00e4si kohta.<\/p>\n

Osquery raamistiku l\u00f5i Facebook. Selle kood avati 2014. aastal, p\u00e4rast seda, kui ettev\u00f5te m\u00f5istis, et madala taseme operatsioonis\u00fcsteemi j\u00e4lgimist\u00f6\u00f6riistade vajadus ei ole ainult neil. Sellest ajast alates on Osqueryt kasutanud spetsialistid sellistes ettev\u00f5tetes nagu Dactiv, Google, Kolide, Trail of Bits, Uptycs ja paljud teised. Hiljuti teatas, et aeti v\u00e4lja<\/a><\/noindex> Linux Foundation ja Facebook kavatsevad moodustada Osquery toetamise fondi.<\/p>\n

Osquery hostideemon, mida nimetatakse osqueryd, v\u00f5imaldab planeerida p\u00e4ringute t\u00e4itmist, et koguda andmeid kogu organisatsiooni infrastruktuurist. Deemon kogub p\u00e4ringute tulemused ja loob logisid, mis kajastavad infrastruktuuri seisundi muutusi. See v\u00f5ib aidata turbespetsialistidel hoida silma peal s\u00fcsteemi k\u00e4ek\u00e4igul ja on eriti kasulik anomaaliate tuvastamisel. Osquery logide kogumise v\u00f5imalusi saab kasutada tuntud ja tundmatute pahavara otsimise lihtsustamiseks ning sissetungijate sisenemiskohtade tuvastamiseks ja nende paigaldatud programmide leidmiseks. Siin<\/a><\/noindex> Materjal, milles on \u00fcksikasjad anomaaliate tuvastamise kohta Osquery abil.<\/p>\n

2. GoAudit<\/h2>\n

\nS\u00fcsteem Linuxi auditi<\/a><\/noindex> koosneb kahest p\u00f5hikomponendist. Esimene on teatud reaalajas kood, mis on m\u00f5eldud s\u00fcsteemik\u00f5nede tabamiseks ja j\u00e4lgimiseks. Teine komponent on kasutajaruumis t\u00f6\u00f6tav deemon, mida nimetatakse auditd<\/a><\/noindex>. See vastutab auditi tulemuste salvestamise eest kettale. GoAudit<\/a><\/noindex>, s\u00fcsteem, mille on loonud Slack<\/a><\/noindex> ja v\u00e4lja antud 2016. aastal, on m\u00f5eldud auditd asendamiseks. See pakub t\u00e4iustatud logimisv\u00f5imalusi, muundades mitu rida Linuxi auditeerimise s\u00fcsteemi genereeritud s\u00fcndmuste s\u00f5numeid JSON-i \u00fchtseks BLOB-objektiks, mis lihtsustab anal\u00fc\u00fcsi. GoAudit v\u00f5imaldab otse v\u00f5rgu\u00fcleseid \u00fchendusi tuuma tasandi mehhanismidega. Lisaks on v\u00f5imalik sisse l\u00fclitada minimaalne s\u00fcndmuste filtreerimine hostis (v\u00f5i filtreerimine t\u00e4ielikult v\u00e4lja l\u00fclitada). Samuti on GoAudit projekt, mis ei ole m\u00f5eldud ainult turvalisuse tagamiseks. See t\u00f6\u00f6riist on m\u00f5eldud mitmeotstarbeliseks abivahendiks s\u00fcsteemide tugiteenuste v\u00f5i arenduse spetsialistidele. See aitab lahendada probleeme suurtes infrastruktuurides.<\/p>\n

GoAudit s\u00fcsteem on kirjutatud Golangi keeles. See on t\u00fc\u00fcbisaldus ja k\u00f5rgtasemeline keel. Enne GoAudit'i installimist veenduge, et teie installitud Golangi versioon on \u00fcle 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjekt Grapl<\/a><\/noindex> (Graph Analytics Platform) viidi avatud l\u00e4htekoodiga lahenduste hulka mullu m\u00e4rtsis. See on suhteliselt uus platvorm, mis tuvastab turvaprobleeme, viib l\u00e4bi arvutiforensi ekspert\u00fc\u00fcre ja koostab s\u00fcndmuste aruandeid. R\u00fcndajad t\u00f6\u00f6tavad sageli mudeli graafi kaudu, saades kontrolli \u00fcle \u00fche konkreetse s\u00fcsteemi ja uurides muid v\u00f5rgus\u00fcsteeme, alustades just sellest s\u00fcsteemist. Seet\u00f5ttu on t\u00e4iesti loomulik, et ka s\u00fcsteemide kaitsjad kasutavad mehhanismi, mis p\u00f5hineb v\u00f5rgus\u00fcsteemide vaheliste suhete graafimudelil, arvestades s\u00fcsteemide vahelisi suhteid. Grapl n\u00e4itab katset rakendada meetmeid intsidentide tuvastamiseks ja neile reageerimiseks, tuginedes graafimudelitele, mitte logimudelitele.<\/p>\n

T\u00f6\u00f6riist Grapl v\u00f5tab vastu turvalisusega seotud logid (nt Sysmon logid v\u00f5i tavalises JSON formaadis logid) ja konverteerib need alagraafideks (m\u00e4\u00e4rates iga s\u00f5lme jaoks \u00abtuvastusteabe\u00bb). Seej\u00e4rel \u00fchendab ta alagraafid \u00fcheks \u00fcldiseks graafiks (Master Graph), mis esindab anal\u00fc\u00fcsitud keskkondades teostatud tegevusi. Seej\u00e4rel k\u00e4ivitab Grapl saadud graafis anal\u00fcsaatorid (Analyzers), kasutades \u00abr\u00fcndaja allkirju\u00bb anomaaliate ja kahtlaste mustrite tuvastamiseks. Kui anal\u00fcsaator tuvastab kahtlase alagraafi, genereerib Grapl Engagement'i, mis on m\u00f5eldud uurimisteks. Engagement on Python'i klass, mida saab n\u00e4iteks laadida Jupyter Notebook'i, mis on juurutatud AWS keskkonnas. Grapl suudab ka suurendada info kogumise ulatust intsidentide uurimise jaoks graafi laiendamise kaudu.<\/p>\n

Kui soovite paremini tutvuda Grapliga, v\u00f5ite vaadata see<\/a><\/noindex> huvitavat videot \u2014 BSides Las Vegase 2019 esinemise salvestust.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> on projekt, mis asutati 2004. aastal. Seda projekti iseloomustab \u00fcldiselt avatud l\u00e4htekoodiga turvamonitorimise platvorm, mis on m\u00f5eldud hostide anal\u00fc\u00fcsiks ja sissetungide tuvastamiseks. Igal aastal laaditakse OSSEC alla rohkem kui 500 000 korda. Seda platvormi kasutatakse peamiselt serverite sissetungide tuvastamise vahendina. R\u00e4\u00e4gime nii kohalikest kui ka pilves\u00fcsteemidest. OSSEC-i kasutatakse tihti ka j\u00e4lgimislogide uurimise ja tulem\u00fc\u00fcri, sissetungide tuvastamise s\u00fcsteemide, veebi serverite anal\u00fc\u00fcsi vahendina, samuti autentimislogide uurimiseks.<\/p>\n

OSSEC \u00fchendab hostip\u00f5hise sissetungide tuvastamise s\u00fcsteemi (HIDS) turvaintsidentide haldamise s\u00fcsteemiga (SIM) ja turva- ja s\u00fcndmuste haldamise s\u00fcsteemiga (SIEM). OSSEC suudab ka reaalajas j\u00e4lgida failide terviklikkust, n\u00e4iteks Windowsi registrit ja juurkomplektide tuvastamist. OSSEC suudab reaalajas teavitada asjaosalisi tuvastatud probleemidest ja aitab kiiresti reageerida leitud ohtudele. See platvorm toetab Microsoft Windowsit ja enamikku kaasaegseid Unix-p\u00f5hiseid s\u00fcsteeme, sealhulgas Linuxit, FreeBSD-d, OpenBSD-d ja Solariset.<\/p>\n

OSSEC-i platvorm koosneb kesksest juhtimisseadmest, haldurist, mis saab ja j\u00e4lgib teavet agentidelt (v\u00e4ikesed programmid, mis on installitud s\u00fcsteemidesse, mida tuleb j\u00e4lgida). Haldur installitakse Linuxi s\u00fcsteemi, mis salvestab andmebaasi, mida kasutatakse failide terviklikkuse kontrollimiseks. Samuti s\u00e4ilitab see logisid ja s\u00fcndmuste protokolle ning s\u00fcsteemide audititulemusi.<\/p>\n

OSSEC-i projekti toetab praegu ettev\u00f5te Atomicorp. Ettev\u00f5te haldab tasuta avatud l\u00e4htekoodiga versiooni ja pakub ka laiendatud<\/a><\/noindex> kommertsv\u00e4ljalise versiooni toodet. Siin<\/a><\/noindex> podcast, kus OSSEC-i projekti haldur r\u00e4\u00e4gib s\u00fcsteemi uuest versioonist \u2014 OSSEC 3.0. Samuti arutatakse projekti ajalugu ja seda, kuidas see erineb kaasaegsetest kaubanduslikest s\u00fcsteemidest, mis on kasutusel arvutiturbes.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> on avatud koodiga projekt, mis keskendub arvutiturvalisuse p\u00f5hik\u00fcsimuste lahendamisele. Selle hulka kuulub r\u00fcndetuandete tuvastamise s\u00fcsteem, r\u00fcndesuhtluse ennetamise s\u00fcsteem ja v\u00f5rgu turvalisuse j\u00e4lgimise t\u00f6\u00f6riist.<\/p>\n

See toode ilmus 2009. aastal. Selle t\u00f6\u00f6 p\u00f5hineb reeglitel. See t\u00e4hendab, et selle kasutajal on v\u00f5imalus kirjeldada teatud omadusi v\u00f5rgu liiklusest. Kui reegel aktiveerub, genereerib Suricata teate, blokeerides v\u00f5i katkestades kahtlase \u00fchenduse, mis s\u00f5ltub taas m\u00e4\u00e4ratud reeglitest. Projekt toetab ka mitmeadra t\u00f6\u00f6tamist. See v\u00f5imaldab kiiresti t\u00f6\u00f6delda suurt hulka reegleid v\u00f5rkudes, kus liigub suur liiklusmaht. T\u00e4nu mitmeadra toe olemasolule suudab t\u00e4iesti tavaline server edukalt anal\u00fc\u00fcsida 10 Gbit\/s kiirusel liikuvat liiklust. Samal ajal ei pea administraator piirama anal\u00fc\u00fcsiks kasutatavaid reeglite komplekti. Suricata toetab ka r\u00e4simist ja failide v\u00e4ljav\u00f5tmist.<\/p>\n

Suricatat saab konfigureerida t\u00f6\u00f6tama tavalistes serverites v\u00f5i virtuaalmasinates, n\u00e4iteks AWS-is, kasutades tootes hiljuti ilmnenud v\u00f5imalust liikluse j\u00e4lgimine<\/a><\/noindex>.<\/p>\n

Projekt toetab Lua skripte, millega saab luua keerulisi ja detailseid ohtude allkiri anal\u00fc\u00fcsi loogikaid.<\/p>\n

Suricata projekti juhib Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nNii nagu Suricata, Zeek<\/a><\/noindex> (see projekt oli varem tuntud kui Bro ja muudeti Zeekiks BroCon 2018 \u00fcritusel) \u2014 see on samuti r\u00fcndetuandete tuvastamise s\u00fcsteem ja v\u00f5rgu turvalisuse j\u00e4lgimise t\u00f6\u00f6riist, mis suudab tuvastada anomaaliaid, nagu kahtlased v\u00f5i ohtlikud tegevused. Zeek erineb traditsioonilistest IDS-idest, kuna see mitte ainult ei tuvastanud erandeid, vaid ka salvestab v\u00f5rgus toimuva kohta metaandmeid. Seda tehdakse selleks, et paremini m\u00f5ista ebatavalise v\u00f5rguk\u00e4itumise konteksti. See v\u00f5imaldab, n\u00e4iteks anal\u00fc\u00fcsides HTTP-p\u00f6\u00f6rdumist v\u00f5i turvasertifikaatide vahetamise protsessi, vaadata protokolli, pakettide p\u00e4iseid, domeeninimesid.<\/p>\n

Kui vaadata Zeeki kui v\u00f5rgu turvalisuse t\u00f6\u00f6riista, siis v\u00f5ib \u00f6elda, et see annab spetsialistile v\u00f5imaluse uurida intsidenti, saades teada, mis juhtus enne v\u00f5i intsidentide ajal. Zeek konverteerib v\u00f5rgu liikluse andmed k\u00f5rgetasemelistesse s\u00fcndmustesse ja v\u00f5imaldab t\u00f6\u00f6tada skripti t\u00f5lgiga. T\u00f5lgi toetab programmeerimiskeelt, mida kasutatakse s\u00fcndmustega suhtlemiseks ja nende t\u00e4henduse v\u00e4ljaselgitamiseks v\u00f5rgu turvalisuse kontekstis. Zeeki programmeerimiskeelt saab kasutada metaandmete t\u00f5lgendamise kohandamiseks vastavalt konkreetse organisatsiooni vajadustele. See v\u00f5imaldab luua keerulisi loogilisi tingimusi, kasutades operaatorid AND, OR ja NOT. See annab kasutajatele v\u00f5imaluse kohandada oma keskkondade anal\u00fc\u00fcsiprotseduuri. T\u00f5si, tuleb m\u00e4rkida, et v\u00f5rreldes Suricataga v\u00f5ib Zeek tunduda piisavalt keeruline t\u00f6\u00f6riist turvaohutuste uurimiseks.<\/p>\n

Kui teid huvitavad Zeeki kohta l\u00e4hemalt teada, v\u00f5tke \u00fchendust sellele<\/a><\/noindex> videos.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> on v\u00f5imas, algselt pilve p\u00f5hine platvorm pidevaks turvamonitorimiseks. See on hiljuti avatud l\u00e4htekoodiga projekt. Projekti algp\u00f5hjus on peamine arhitekt StreamAlert<\/a><\/noindex> on lahendus automatiseeritud logide anal\u00fc\u00fcsimiseks, mille koodi avas ettev\u00f5te Airbnb. Panther annab kasutajale \u00fchtse s\u00fcsteemi kesksete ohutusjuhtumite tuvastamiseks k\u00f5igis keskkondades ja nendele reageerimiseks. See s\u00fcsteem suudab kasvada koos teenindatava infrastruktuuri suurusega. Ohutuste avamine on korraldatud l\u00e4bin\u00e4htavate deterministlike reeglite abil, et v\u00e4hendada valepositiivsete juhtumite arvu ja v\u00e4hendada turvaspetsialistide liigset koormust.<\/p>\n

Pantheri peamistest v\u00f5imalustest v\u00f5ib m\u00e4rkida j\u00e4rgmist:<\/p>\n