{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 outils open source pour la surveillance de la s\u00e9curit\u00e9 des syst\u00e8mes cloud \u00e0 conna\u00eetre","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La popularit\u00e9 croissante des services de cloud computing aide les entreprises \u00e0 faire \u00e9voluer leur activit\u00e9. Cependant, l'utilisation de nouvelles plates-formes implique \u00e9galement de nouvelles menaces. Maintenir une \u00e9quipe interne charg\u00e9e de la surveillance de la s\u00e9curit\u00e9 des services cloud est une t\u00e2che difficile. Les outils de surveillance existants sont co\u00fbteux et lents. Ils sont, dans une certaine mesure, difficiles \u00e0 g\u00e9rer lorsqu'il s'agit d'assurer la s\u00e9curit\u00e9 d'une infrastructure cloud \u00e0 grande \u00e9chelle. Pour maintenir la s\u00e9curit\u00e9 de leur cloud \u00e0 un niveau \u00e9lev\u00e9, les entreprises ont besoin d'outils puissants, flexibles et compr\u00e9hensibles, dont les capacit\u00e9s d\u00e9passent ce qui \u00e9tait disponible auparavant. C'est l\u00e0 que les technologies open source se r\u00e9v\u00e8lent tr\u00e8s utiles, permettant d'\u00e9conomiser des budgets de s\u00e9curit\u00e9 et cr\u00e9\u00e9es par des sp\u00e9cialistes qui savent de quoi ils parlent.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

L'article dont nous publions aujourd'hui la traduction pr\u00e9sente un aper\u00e7u de 7 outils open source pour la surveillance de la s\u00e9curit\u00e9 des syst\u00e8mes cloud. Ces outils sont con\u00e7us pour prot\u00e9ger contre les hackers et les cybercriminels en d\u00e9tectant les anomalies et les comportements non s\u00e9curis\u00e9s.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> est un syst\u00e8me de surveillance \u00e0 faible niveau et d'analyse des syst\u00e8mes d'exploitation, permettant aux sp\u00e9cialistes de la s\u00e9curit\u00e9 de mener des recherches approfondies sur les donn\u00e9es en utilisant SQL. Le cadre Osquery peut fonctionner sur Linux, macOS, Windows et FreeBSD. Il pr\u00e9sente le syst\u00e8me d'exploitation (OS) sous la forme d'une base de donn\u00e9es relationnelle hautes performances. Cela permet aux sp\u00e9cialistes de la s\u00e9curit\u00e9 d'explorer l'OS en ex\u00e9cutant des requ\u00eates SQL. Par exemple, avec une requ\u00eate, on peut obtenir des informations sur les processus en cours d'ex\u00e9cution, les modules du noyau charg\u00e9s, les connexions r\u00e9seau ouvertes, les extensions de navigateur install\u00e9es, les \u00e9v\u00e9nements mat\u00e9riels et les sommes de contr\u00f4le des fichiers.<\/p>\n

Le cadre Osquery a \u00e9t\u00e9 cr\u00e9\u00e9 par Facebook. Son code a \u00e9t\u00e9 ouvert en 2014, apr\u00e8s que l'entreprise a r\u00e9alis\u00e9 que les outils de surveillance des m\u00e9canismes \u00e0 faible niveau des syst\u00e8mes d'exploitation n'\u00e9taient pas seulement n\u00e9cessaires pour elle-m\u00eame. Depuis, Osquery est utilis\u00e9 par des sp\u00e9cialistes d'entreprises telles que Dactiv, Google, Kolide, Trail of Bits, Uptycs, ainsi que beaucoup d'autres. R\u00e9cemment, il a \u00e9t\u00e9 d\u00e9clar\u00e9<\/a><\/noindex> annonc\u00e9 que la Linux Foundation et Facebook ont l'intention de cr\u00e9er un fonds de soutien pour Osquery.<\/p>\n

Le d\u00e9mon de surveillance des h\u00f4tes Osquery, appel\u00e9 osqueryd, permet de programmer l'ex\u00e9cution de requ\u00eates visant \u00e0 collecter des donn\u00e9es sur l'ensemble de l'infrastructure de l'organisation. Le d\u00e9mon collecte les r\u00e9sultats des requ\u00eates et cr\u00e9e des journaux qui refl\u00e8tent l'\u00e9volution de l'\u00e9tat de l'infrastructure. Cela peut aider les sp\u00e9cialistes de la s\u00e9curit\u00e9 \u00e0 rester inform\u00e9s de la situation du syst\u00e8me et est particuli\u00e8rement utile pour d\u00e9tecter les anomalies. Les capacit\u00e9s d'agr\u00e9gation des journaux d'Osquery peuvent \u00eatre utilis\u00e9es pour faciliter la recherche de logiciels malveillants connus et inconnus, ainsi que pour identifier les points d'entr\u00e9e des attaquants dans le syst\u00e8me et rechercher les programmes qu'ils y ont install\u00e9s. Voici<\/a><\/noindex> Un document contenant des d\u00e9tails sur la d\u00e9tection des anomalies \u00e0 l'aide d'Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nLe syst\u00e8me Audit de Linux<\/a><\/noindex> se compose de deux composants principaux. Le premier est un code au niveau du noyau destin\u00e9 \u00e0 intercepter et surveiller les appels syst\u00e8me. Le deuxi\u00e8me composant est un d\u00e9mon fonctionnant dans l'espace utilisateur, appel\u00e9 auditd<\/a><\/noindex>. Il est responsable de l'\u00e9criture des r\u00e9sultats de l'audit sur le disque. GoAudit<\/a><\/noindex>, un syst\u00e8me con\u00e7u par Slack<\/a><\/noindex> et publi\u00e9 en 2016, est destin\u00e9 \u00e0 remplacer auditd. Il poss\u00e8de des capacit\u00e9s d'enregistrement am\u00e9lior\u00e9es gr\u00e2ce \u00e0 la conversion de messages d'\u00e9v\u00e9nements multilignes g\u00e9n\u00e9r\u00e9s par le syst\u00e8me d'audit Linux en objets JSON BLOB uniques, facilitant ainsi l'analyse. Avec GoAudit, il est possible d'acc\u00e9der directement aux m\u00e9canismes au niveau du noyau via le r\u00e9seau. De plus, il est possible d'activer un filtrage minimal des \u00e9v\u00e9nements sur le m\u00eame h\u00f4te (ou de d\u00e9sactiver compl\u00e8tement le filtrage). Cependant, GoAudit est un projet qui ne se limite pas \u00e0 la s\u00e9curit\u00e9. Cet outil est con\u00e7u comme un instrument multifonctionnel pour les sp\u00e9cialistes de la maintenance des syst\u00e8mes ou du d\u00e9veloppement. Il aide \u00e0 r\u00e9soudre les probl\u00e8mes dans les infrastructures \u00e0 grande \u00e9chelle.<\/p>\n

Le syst\u00e8me GoAudit est \u00e9crit en Golang. C'est un langage s\u00fbr en termes de types et hautes performances. Avant d'installer GoAudit, assurez-vous que votre version de Golang est sup\u00e9rieure \u00e0 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjet Grapl<\/a><\/noindex> (Graph Analytics Platform) a \u00e9t\u00e9 class\u00e9 comme open source en mars de l'ann\u00e9e derni\u00e8re. C'est une plateforme relativement nouvelle pour d\u00e9tecter les probl\u00e8mes de s\u00e9curit\u00e9, r\u00e9aliser des expertises en informatique judiciaire et cr\u00e9er des rapports d'incidents. Les attaquants travaillent souvent en utilisant quelque chose comme un mod\u00e8le de graphe, obtenant le contr\u00f4le sur un syst\u00e8me isol\u00e9 et explorant d'autres syst\u00e8mes r\u00e9seau \u00e0 partir de celui-ci. Il est donc naturel que les d\u00e9fenseurs des syst\u00e8mes utilisent \u00e9galement un m\u00e9canisme bas\u00e9 sur un mod\u00e8le de graphe des relations entre syst\u00e8mes, prenant en compte les caract\u00e9ristiques des relations inter-syst\u00e8mes. Grapl d\u00e9montre une tentative d'application de mesures de d\u00e9tection des incidents et de r\u00e9ponse, bas\u00e9es sur un mod\u00e8le de graphe, et non sur un mod\u00e8le de journal.<\/p>\n

L'outil Grapl prend des journaux de s\u00e9curit\u00e9 (logs Sysmon ou journaux au format JSON standard) et les convertit en sous-graphes (d\u00e9finissant les \u00ab informations d'identification \u00bb pour chaque n\u0153ud). Il combine ensuite les sous-graphes en un graphique global (Master Graph), qui repr\u00e9sente les actions effectu\u00e9es dans les environnements analys\u00e9s. Grapl ex\u00e9cute ensuite des analyseurs (Analyzers) sur le graphique obtenu en utilisant des \u00ab signatures d'attaquant \u00bb pour identifier des anomalies et des motifs suspects. Lorsque l'analyseur d\u00e9tecte un sous-graphe suspect, Grapl g\u00e9n\u00e8re un constructeur Engagement, destin\u00e9 \u00e0 mener des investigations. Engagement est une classe Python qui peut \u00eatre charg\u00e9e, par exemple, dans un Jupyter Notebook d\u00e9ploy\u00e9 dans un environnement AWS. De plus, Grapl est capable d'\u00e9tendre la collecte d'informations pour enqu\u00eater sur un incident en agrandissant le graphe.<\/p>\n

Si vous souhaitez mieux comprendre Grapl, vous pouvez regarder c'est<\/a><\/noindex> une vid\u00e9o int\u00e9ressante - enregistrement d'une pr\u00e9sentation de BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 est un projet fond\u00e9 en 2004. Ce projet peut \u00eatre caract\u00e9ris\u00e9 comme une plateforme open source de surveillance de la s\u00e9curit\u00e9, destin\u00e9e \u00e0 l'analyse des h\u00f4tes et \u00e0 la d\u00e9tection des intrusions. Chaque ann\u00e9e, OSSEC est t\u00e9l\u00e9charg\u00e9 plus de 500 000 fois. Cette plateforme est principalement utilis\u00e9e comme un moyen de d\u00e9tection des intrusions sur les serveurs. Cela inclut aussi bien les syst\u00e8mes locaux que les syst\u00e8mes cloud. En outre, OSSEC est souvent utilis\u00e9 comme un outil pour l'analyse des journaux de surveillance et l'examen des pare-feu, des syst\u00e8mes de d\u00e9tection des intrusions, des serveurs web, ainsi que pour l'\u00e9tude des journaux d'authentification.<\/p>\n

OSSEC combine les capacit\u00e9s du syst\u00e8me de d\u00e9tection des intrusions bas\u00e9 sur l'h\u00f4te (HIDS, Host-Based Intrusion Detection System) avec le syst\u00e8me de gestion des incidents de s\u00e9curit\u00e9 (SIM, Security Incident Management) et le syst\u00e8me de gestion des informations de s\u00e9curit\u00e9 et des \u00e9v\u00e9nements de s\u00e9curit\u00e9 (SIEM, Security Information and Event Management). OSSEC peut \u00e9galement effectuer un monitoring de l'int\u00e9grit\u00e9 des fichiers en temps r\u00e9el. Cela inclut, par exemple, le monitoring du registre Windows et la d\u00e9tection des rootkits. OSSEC est capable d'alerter les parties prenantes sur les probl\u00e8mes d\u00e9tect\u00e9s en temps r\u00e9el et aide \u00e0 r\u00e9agir rapidement aux menaces identifi\u00e9es. Cette plateforme prend en charge Microsoft Windows et la plupart des syst\u00e8mes Unix modernes, y compris Linux, FreeBSD, OpenBSD et Solaris.<\/p>\n

La plateforme OSSEC se compose d'une entit\u00e9 centrale de gestion, d'un manager utilis\u00e9 pour recevoir et surveiller les informations des agents (petits programmes install\u00e9s dans les syst\u00e8mes \u00e0 surveiller). Le manager est install\u00e9 sur un syst\u00e8me Linux, qui stocke une base de donn\u00e9es utilis\u00e9e pour v\u00e9rifier l'int\u00e9grit\u00e9 des fichiers. Il conserve \u00e9galement des journaux et des enregistrements d'\u00e9v\u00e9nements ainsi que les r\u00e9sultats des audits syst\u00e8mes.<\/p>\n

Le projet OSSEC est actuellement soutenu par l'entreprise Atomicorp. L'entreprise g\u00e8re la version open source gratuite et, de plus, propose une version<\/a><\/noindex> commerciale avanc\u00e9e du produit. Voici<\/a><\/noindex> un podcast o\u00f9 le manager du projet OSSEC parle de la derni\u00e8re version du syst\u00e8me \u2014 OSSEC 3.0. Il y aborde \u00e9galement l'histoire du projet et en quoi il se distingue des syst\u00e8mes commerciaux modernes utilis\u00e9s dans le domaine de la s\u00e9curit\u00e9 informatique.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 c'est un projet open source ax\u00e9 sur la r\u00e9solution des principaux probl\u00e8mes de s\u00e9curit\u00e9 informatique. En particulier, il comprend un syst\u00e8me de d\u00e9tection d'intrusions, un syst\u00e8me de pr\u00e9vention des intrusions et un outil de surveillance de la s\u00e9curit\u00e9 des r\u00e9seaux.<\/p>\n

Ce produit a \u00e9t\u00e9 lanc\u00e9 en 2009. Son fonctionnement est bas\u00e9 sur des r\u00e8gles. Cela signifie que l'utilisateur peut d\u00e9crire certaines caract\u00e9ristiques du trafic r\u00e9seau. Si une r\u00e8gle est d\u00e9clench\u00e9e, Suricata g\u00e9n\u00e8re une notification, bloquant ou interrompant la connexion suspecte, en fonction des r\u00e8gles d\u00e9finies. De plus, le projet prend en charge le fonctionnement en mode multithreading. Cela permet un traitement rapide d'un grand nombre de r\u00e8gles dans des r\u00e9seaux ayant un fort volume de trafic. Gr\u00e2ce au support du multithreading, un serveur ordinaire peut analyser avec succ\u00e8s un trafic allant jusqu'\u00e0 10 Gbit\/s. L'administrateur n'a pas besoin de limiter le nombre de r\u00e8gles utilis\u00e9es pour l'analyse du trafic. Suricata prend \u00e9galement en charge le hachage et l'extraction de fichiers.<\/p>\n

Suricata peut \u00eatre configur\u00e9 pour fonctionner sur des serveurs ordinaires ou sur des machines virtuelles, par exemple, dans AWS, en utilisant la nouvelle fonctionnalit\u00e9 r\u00e9cemment ajout\u00e9e au produit. surveillance-du-trafic<\/a><\/noindex>.<\/p>\n

Le projet prend en charge les scripts Lua, permettant de cr\u00e9er une logique d'analyse des signatures de menaces complexe et d\u00e9taill\u00e9e.<\/p>\n

Le projet Suricata est g\u00e9r\u00e9 par la Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nTout comme Suricata, Zeek<\/a><\/noindex> (ce projet s'appelait auparavant Bro et a \u00e9t\u00e9 renomm\u00e9 Zeek lors de l'\u00e9v\u00e9nement BroCon 2018) \u2014 c'est aussi un syst\u00e8me de d\u00e9tection d'intrusions et un outil de surveillance de la s\u00e9curit\u00e9 des r\u00e9seaux, capable de d\u00e9tecter des anomalies telles que des activit\u00e9s suspectes ou dangereuses. Zeek se distingue des IDS traditionnels en ce sens qu'\u00e0 la diff\u00e9rence des syst\u00e8mes bas\u00e9s sur des r\u00e8gles qui identifient des exceptions, Zeek capture \u00e9galement les m\u00e9tadonn\u00e9es relatives aux \u00e9v\u00e9nements se produisant sur le r\u00e9seau. Cela est fait pour mieux comprendre le contexte des comportements r\u00e9seau atypiques. Par exemple, en analysant un appel HTTP ou un processus d'\u00e9change de certificats de s\u00e9curit\u00e9, il est possible d'examiner le protocole, les en-t\u00eates des paquets et les noms de domaine.<\/p>\n

Si l'on consid\u00e8re Zeek comme un outil de s\u00e9curit\u00e9 r\u00e9seau, on peut dire qu'il offre aux sp\u00e9cialistes la possibilit\u00e9 de mener des enqu\u00eates sur des incidents, en d\u00e9couvrant ce qui s'est pass\u00e9 avant ou pendant l'incident. De plus, Zeek convertit les donn\u00e9es de trafic r\u00e9seau en \u00e9v\u00e9nements de haut niveau et permet de travailler avec un interpr\u00e9teur de scripts. Cet interpr\u00e9teur prend en charge le langage de programmation utilis\u00e9 pour organiser les interactions avec les \u00e9v\u00e9nements et pour clarifier la signification de ces \u00e9v\u00e9nements en termes de s\u00e9curit\u00e9 r\u00e9seau. Le langage de programmation de Zeek peut \u00eatre utilis\u00e9 pour configurer l'interpr\u00e9tation des m\u00e9tadonn\u00e9es selon les besoins de l'organisation. Il permet de construire des conditions logiques complexes, utilisant les op\u00e9rateurs AND, OR et NOT. Cela donne aux utilisateurs la possibilit\u00e9 de personnaliser les proc\u00e9dures d'analyse de leurs environnements. Cependant, il convient de noter qu'en comparaison avec Suricata, Zeek peut sembler \u00eatre un outil assez complexe pour effectuer des enqu\u00eates sur les menaces de s\u00e9curit\u00e9.<\/p>\n

Si vous souhaitez des d\u00e9tails sur Zeek, veuillez contacter ceci<\/a><\/noindex> la vid\u00e9o.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> est une plateforme puissante, initialement con\u00e7ue pour le cloud, d\u00e9di\u00e9e \u00e0 la surveillance continue de la s\u00e9curit\u00e9. Elle a r\u00e9cemment \u00e9t\u00e9 convertie en open source. \u00c0 l'origine du projet, on trouve l'architecte principal StreamAlert<\/a><\/noindex> est une solution d'analyse automatis\u00e9e des journaux, dont le code a \u00e9t\u00e9 ouvert par la soci\u00e9t\u00e9 Airbnb. Panther offre \u00e0 l'utilisateur un syst\u00e8me unique pour la d\u00e9tection centralis\u00e9e des menaces dans tous les environnements et pour l'organisation de la r\u00e9ponse \u00e0 celles-ci. Ce syst\u00e8me est capable de cro\u00eetre avec la taille de l'infrastructure desservie. La d\u00e9tection des menaces est organis\u00e9e \u00e0 l'aide de r\u00e8gles d\u00e9terministes transparentes, con\u00e7ues pour r\u00e9duire le taux de faux positifs et diminuer la charge inutile sur les sp\u00e9cialistes de la s\u00e9curit\u00e9.<\/p>\n

Parmi les principales fonctionnalit\u00e9s de Panther, on peut noter les suivantes :<\/p>\n