{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 avatud l\u00e4htekoodiga t\u00f6\u00f6riista pilves\u00fcsteemide turvamonitorimiseks, millest tasub teada","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pilvetehnoloogia laialdane kasutamine aitab ettev\u00f5tetel oma \u00e4ri laiendada. Kuid uute platvormide kasutuselev\u00f5tt toob endaga kaasa ka uusi ohte. Organisatsioonis oma meeskonna toetamine, mis vastutab pilveteenuste turvalisuse j\u00e4lgimise eest, ei ole kerge \u00fclesanne. Olemasolevad j\u00e4lgimist\u00f6\u00f6riistad on kallid ja aeglaselt tegutsevad. Neid on keeruline hallata, kui tuleb tagada suuri pilveinfrastruktuure turvalisena hoidmine. Ettev\u00f5tted vajavad oma pilveteabe turvalisuse k\u00f5rgel tasemel hoidmiseks j\u00f5ulisi, paindlikke ja arusaadavaid t\u00f6\u00f6riistu, mille v\u00f5imalused \u00fcletavad varasemate lahenduste omadusi. Just siin tulevad m\u00e4ngu avatud l\u00e4htekoodiga tehnoloogiad, mis aitavad s\u00e4\u00e4sta turvalisuse eelarvet ja on loodud spetsialistide poolt, kes tunnevad oma ala h\u00e4sti.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

Artiklis, mille t\u00f5lke t\u00e4na avaldame, annab \u00fclevaate 7 avatud l\u00e4htekoodiga t\u00f6\u00f6riistast pilves\u00fcsteemide turvalisuse j\u00e4lgimiseks. Need t\u00f6\u00f6riistad on m\u00f5eldud k\u00fcberkuritegevuse ja h\u00e4kkerite kaitsmiseks, tuvastades anomaaliaid ja turvavigu.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> on madalama taseme j\u00e4lgimis- ja anal\u00fc\u00fcsis\u00fcsteem, mis v\u00f5imaldab turbeekspertidel teostada keerulisi andmete uuringuid SQL-i abil. Osquery raamistik t\u00f6\u00f6tab Linuxi, macOS, Windowsi ja FreeBSD s\u00fcsteemides. See esitleb operatsioonis\u00fcsteemi (OS) k\u00f5rge j\u00f5udlusega relaatsiooniandmebaasina. See v\u00f5imaldab turbeekspertidel uurida OS-i, tehes SQL-p\u00e4ringuid. N\u00e4iteks saab p\u00e4ringu abil teada, millised protsessid on k\u00e4imas, millised tuumamoodulid on laaditud, avatud v\u00f5rguliideseid, installitud brauserilaiendeid, riistvara s\u00fcndmusi ja failide r\u00e4sisummasid.<\/p>\n

Osquery raamistik on loodud Facebooki poolt. Selle kood avati 2014. aastal, p\u00e4rast seda, kui ettev\u00f5te m\u00f5istis, et mitte ainult tema ise vajab madalamate operatsioonis\u00fcsteemide mehhanismide seire t\u00f6\u00f6riistu. Sellest ajast alates on Osqueryt kasutanud spetsialistid sellistes ettev\u00f5tetes nagu Dactiv, Google, Kolide, Trail of Bits, Uptycs ja paljud teised. Hiljuti oli teadaanded<\/a><\/noindex> teada, et Linux Foundation ja Facebook kavatsevad asutada Osquery toetamise fondi.<\/p>\n

Osquery hostide j\u00e4lgimise deemon, mida nimetatakse osqueryd, v\u00f5imaldab planeerida p\u00e4ringute t\u00e4itmist, et koguda andmeid kogu organisatsiooni infrastruktuurist. Deemon kogub p\u00e4ringute tulemusi ja loob logisid, mis kajastavad infrastruktuuri seisundi muutumist. See v\u00f5ib aidata turbe spetsialistidel olla kursis s\u00fcsteemi olukorraga ja on eriti kasulik anomaaliate tuvastamiseks. Osquery logide kogumise v\u00f5imekust saab kasutada tuntud ja tundmatute pahavarakoodide leidmise lihtsustamiseks, samuti kurjategijate s\u00fcsteemi sisenemise kohtade tuvastamiseks ja nende paigaldatud programmide otsimiseks. Siin on<\/a><\/noindex> materjal, milles on \u00fcksikasjad anomaaliate tuvastamise kohta Osquery abil.<\/p>\n

2. GoAudit<\/h2>\n

\nS\u00fcsteem Linuxi auditi<\/a><\/noindex> koosneb kahest p\u00f5hikomponendist. Esimene on mingisugune tuumakoodi tasandi komponent, mis on m\u00f5eldud s\u00fcsteemik\u00f5nede pealtkuulamiseks ja j\u00e4lgimiseks. Teine komponent on kasutajaruumi teenus, mida nimetatakse auditd<\/a><\/noindex>. See vastutab auditi tulemuste ketta kirjutamise eest. GoAudit<\/a><\/noindex>, s\u00fcsteem, mille on loonud ettev\u00f5te Slack<\/a><\/noindex> ja ja 2016. aastal, et asendada auditd. Sellel on parendatud logimisv\u00f5imeid, kuna see konverteerib mitmerealised Linuxi auditeerimiss\u00fcsteemi genereeritud s\u00fcndmuseteated \u00fcheks JSON BLOB-objektiks, mis lihtsustab anal\u00fc\u00fcsi. GoAudit v\u00f5imaldab otse juurde p\u00e4\u00e4seda tuumataseme mehhanismidele \u00fcle v\u00f5rgu. Lisaks on v\u00f5imalik lubada minimaalset s\u00fcndmuste filtreerimist ise hostis (v\u00f5i t\u00e4ielikult filtreerimine keelata). GoAudit ei ole ainult turbe tagamise projekt. See t\u00f6\u00f6riist on m\u00f5eldud multifunktsionaalseks abiks s\u00fcsteemihalduritele v\u00f5i arendajatele. See aitab lahendada suuri infrastruktuuri probleeme.<\/p>\n

GoAudit s\u00fcsteem on kirjutatud Golangi keeles. See on t\u00fc\u00fcbi turvaline ja k\u00f5rge j\u00f5udlusega keel. Enne GoAuditi installimist kontrollige, et teie olemasolev Golangi versioon oleks k\u00f5rgem kui 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjekt Grapl<\/a><\/noindex> (Graph Analytics Platform) viidi avatud l\u00e4htekoodiga tasemele eelmisel aastal m\u00e4rtsis. See on suhteliselt uus platvorm turvaprobleemide avastamiseks, arvutikriminaalsete ekspertiiside l\u00e4biviimiseks ja s\u00fcndmuste aruannete koostamiseks. R\u00fcndajad t\u00f6\u00f6tavad sageli mingisuguse graafimudeli alusel, saades kontrolli mingis konkreetses s\u00fcsteemis ja uurides teisi v\u00f5rgus\u00fcsteeme, alustades sellest s\u00fcsteemist. Seet\u00f5ttu on t\u00e4iesti loomulik, et ka s\u00fcsteemide kaitsjad kasutavad mehhanismi, mis p\u00f5hineb graafimudeli s\u00fcsteemide suhetest, arvestades s\u00fcsteemide omavahelist seost. Grapl demonstreerib katset tuvastada ja reageerida juhtumitele, tuginedes graafimudelile, mitte logimudeli alusel.<\/p>\n

Grapl t\u00f6\u00f6riist aktsepteerib turvalisusega seotud logisid (Sysmon logid v\u00f5i logid tavap\u00e4rases JSON formaadis) ja konverteerib need alagraafikuteks (m\u00e4\u00e4rates kindlaks \u00abidentifitseerimise teave\u00bb iga s\u00f5lme jaoks). Seej\u00e4rel liidab ta alagraafikud kokku p\u00f5higraafikuks (Master Graph), mis kajastab anal\u00fc\u00fcsitavates keskkondades tehtud tegevusi. Edasi k\u00e4ivitab Grapl saadud graafikul anal\u00fcsaatorid (Analyzers), kasutades \u00abr\u00fcndaja signatuure\u00bb anomaaliate ja kahtlaste mustrite tuvastamiseks. Kui anal\u00fcsaator leiab kahtlase alagraafi, genereerib Grapl Engagement'i, mis on m\u00f5eldud uurimiste l\u00e4biviimiseks. Engagement on Python'i klass, mida saab n\u00e4iteks laadida Jupyter Notebook'i, mis on k\u00e4ivitatud AWS keskkonnas. Lisaks suudab Grapl suurendada teabe kogumise mahtu juhtumi uurimiseks graafiku laiendamise kaudu.<\/p>\n

Kui soovite Graplist paremini aru saada \u2014 saate vaadata see<\/a><\/noindex> huvitavat videot \u2014 salvestust BSides Las Vegas 2019 ettekandest.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 on 2004. See projekt, mida \u00fcldiselt saab iseloomustada kui avatud l\u00e4htekoodiga turvamonitorimise platvormi, mis on m\u00f5eldud hostide anal\u00fc\u00fcsimiseks ja sissetungide avastamiseks. Igal aastal laaditakse OSSEC-i \u00fcle 500 000 korra alla. Seda platvormi kasutatakse peamiselt sissetungide avastamise vahendina serverites, sealhulgas nii kohalikes kui ka pilves\u00fcsteemides. OSSEC-i kasutatakse sageli ka t\u00f6\u00f6riistana logide koostamiseks ja tulemuste anal\u00fc\u00fcsimiseks, tulekindlate s\u00fcsteemide, sissetungide avastamise s\u00fcsteemide, veebiserverite ning autentimise logide uurimise jaoks.<\/p>\n

OSSEC kombineerib hostip\u00f5hise sissetungimise tuvastamise s\u00fcsteemi (HIDS, Host-Based Intrusion Detection System) turvaintsidentide haldamise s\u00fcsteemiga (SIM, Security Incident Management) ja turvatunde ja s\u00fcndmuste haldamise s\u00fcsteemiga (SIEM, Security Information and Event Management). OSSEC suudab samuti reaalajas failide terviklikkuse j\u00e4lgimist teostada, sealhulgas Windowsi registri j\u00e4lgimist ja rootkitide tuvastamist. OSSEC teavitab osalisi tuvastatud probleemidest reaalajas ja aitab kiiresti reageerida avastatud ohtudele. See platvorm toetab Microsoft Windowsit ja enamikku kaasaegseid Unix-p\u00f5hiseid s\u00fcsteeme, sealhulgas Linuxi, FreeBSD, OpenBSD ja Solaris.<\/p>\n

OSSEC platvorm koosneb kesksetest haldus\u00fcksustest, mis aitab saada ja j\u00e4lgida teavet agentidelt (v\u00e4iksed programmid, mis on installitud j\u00e4lgitavatesse s\u00fcsteemidesse). Halduse \u00fcksus installitakse Linux-s\u00fcsteemi, mis salvestab andmebaasi, mida kasutatakse failide terviklikkuse kontrollimiseks. Samuti salvestab see logisid ja s\u00fcndmuste tulemusi ning s\u00fcsteemide auditi m\u00e4rkmeid.<\/p>\n

OSSEC projekti toetab hetkel ettev\u00f5te Atomicorp. Ettev\u00f5te haldab tasuta avatud l\u00e4htekoodiga versiooni ning pakub ka laiendatud<\/a><\/noindex> kommertsversioon toote. Siin on<\/a><\/noindex> podcast, kus OSSEC projekti juht r\u00e4\u00e4gib s\u00fcsteemi v\u00e4rskest versioonist \u2014 OSSEC 3.0. Seal k\u00e4sitletakse ka projekti ajalugu ja seda, kuidas see erineb kaasaegsetest kommertss\u00fcsteemidest, mida kasutatakse arvutiturbe valdkonnas.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> on avatud l\u00e4htekoodiga projekt, mis keskendub arvutiturbe p\u00f5hifunktsioonide lahendamisele. Eelk\u00f5ige sisaldab see sissemurdmisavastuss\u00fcsteemi, sissemurdmisennetuss\u00fcsteemi ja v\u00f5rgu turvamonitorimise t\u00f6\u00f6riista.<\/p>\n

See toode ilmus 2009. aastal. Selle t\u00f6\u00f6 p\u00f5hineb reeglitel. See t\u00e4hendab, et selle kasutajal on v\u00f5imalus kirjeldada teatud v\u00f5rguliikluse omadusi. Kui reegel aktiveerub, genereerib Suricata teate, blokeerides v\u00f5i katkestades kahtlase \u00fchenduse, mis s\u00f5ltub samuti m\u00e4\u00e4ratud reeglitest. Projekt toetab ka mitme l\u00f5ime t\u00f6\u00f6tamist. See annab v\u00f5imaluse kiireks suure hulga reeglite t\u00f6\u00f6tlemiseks v\u00f5rkudes, mille kaudu voolab suur kui maht. T\u00e4nu mitme l\u00f5ime toetusele suudab isegi tavaline server edukalt anal\u00fc\u00fcsida 10 Gbit\/s kiirusel liikuvat liiklust. Sellega ei pea administraator piirama anal\u00fc\u00fcsi jaoks kasutatavate reeglite vahemikku. Suricata toetab ka hash'imist ja failide v\u00e4ljav\u00f5tmist.<\/p>\n

Suricat on v\u00f5imalik seadistada toimimiseks tavalistes serverites v\u00f5i virtuaalsetes masinates, n\u00e4iteks AWS-is, kasutades tootes hiljuti ilmnenud v\u00f5imalust traffic-monitoring<\/a><\/noindex>.<\/p>\n

Projekt toetab Lua skripte, mille abil on v\u00f5imalik luua keerukat ja detailset \u00e4hvarduste anal\u00fc\u00fcsi loogikat.<\/p>\n

Suricata projekti on Open Information Security Foundation (OISF) hallata.<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nNagu Suricata, Zeek<\/a><\/noindex> (see projekt oli varem tuntud kui Bro ja sai nimeks Zeek 2018. aasta BroCon \u00fcritusel) \u2014 see on samuti sissetungi tuvastamise s\u00fcsteem ja v\u00f5rgu turvalisuse j\u00e4lgimise t\u00f6\u00f6riist, mis suudab tuvastada anomaaliaid, nagu kahtlased v\u00f5i ohtlikud toimingud. Zeek erineb traditsioonilistest IDS-idest sellega, et eristavate reeglite p\u00f5hjal tuvastamise s\u00fcsteemidest, mis tuvastavad erandeid, korraldab Zeek ka s\u00fcndmustega seotud metaandmete kogumise. See aitab paremini m\u00f5ista ebatavalise v\u00f5rgu k\u00e4itumise konteksti. N\u00e4iteks, anal\u00fc\u00fcsides HTTP-kutsungit v\u00f5i turvasertifikaatide vahetusprotseduuri, on v\u00f5imalus vaadata protokolle, pakettide p\u00e4iseid ja domeeninimesid.<\/p>\n

Kui vaadata Zeeki kui v\u00f5rgu turvalisuse t\u00f6\u00f6riista, siis v\u00f5ib \u00f6elda, et see annab spetsialistile v\u00f5imaluse uurida juhtumit, saades teada, mis juhtus enne v\u00f5i juhtumi ajal. Zeek konverdib ka v\u00f5rgu liikluse andmed k\u00f5rgtasemel s\u00fcndmusteks ja v\u00f5imaldab t\u00f6\u00f6tada skripti t\u00f5lgiga. T\u00f5lg toetab programmeerimiskeelt, mida kasutatakse s\u00fcndmustega suhtlemiseks ja selle m\u00f5istmiseks, mida need s\u00fcndmused v\u00f5rgu turvalisuse kontekstis t\u00e4hendavad. Zeeki programmeerimiskeelt saab kasutada metainformatsiooni t\u00f5lgendamise kohandamiseks vastavalt konkreetse organisatsiooni vajadustele. See v\u00f5imaldab luua keerulisi loogilisi tingimusi, kasutades operaatoreid AND, OR ja NOT. See annab kasutajatele v\u00f5imaluse kohandada oma keskkondade anal\u00fc\u00fcsi protseduure. Tuleb siiski m\u00e4rkida, et v\u00f5rreldes Suricataga v\u00f5ib Zeek tunduda \u00fcsna keeruline t\u00f6\u00f6riist turvagruppide uurimisel.<\/p>\n

Kui teid huvitavad Zeeki \u00fcksikasjad \u2014 v\u00f5tke \u00fchendust seda<\/a><\/noindex> videoga.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u2014 see on v\u00f5imas, algselt pilvekeskkonnale suunatud platvorm pideva turvalisuse j\u00e4lgimise korraldamiseks. See viidi hiljuti avatud l\u00e4htekoodiga lahenduste hulka. Projekti taga on peaarhitekt. StreamAlert<\/a><\/noindex> \u2014 automaatsete logianal\u00fc\u00fcside lahendus, mille l\u00e4htekood avas ettev\u00f5te Airbnb. Panther pakub kasutajale \u00fchtset s\u00fcsteemi keskselt ohtude tuvastamiseks k\u00f5igis keskkondades ja nendele reageerimiseks. See s\u00fcsteem suudab kasvada koos teenindatava infrastruktuuri suurusega. Ohtude tuvastamine on korraldatud l\u00e4bipaistvate deterministlike reeglite kaudu, et v\u00e4hendada valepositiivsete juhtumite osakaalu ja alandada koormust turvaekspertide jaoks.<\/p>\n

Pantheri p\u00f5hifunktsioonide seas on j\u00e4rgmised:<\/p>\n