A felhőalapú számítástechnika széleskörű elterjedése segíti a vállalatokat az üzleti sikerük skálázásában. Az új platformok alkalmazása azonban új fenyegetéseket is jelent. A belső szervezet csapata, amely a felhőszolgáltatások biztonsági megfigyeléséért felelős, nem könnyű feladat. A jelenlegi megfigyelő eszközök drágák és lassúak. Nehéz kezelésük, különösen, ha nagy méretű felhőinfrastruktúra biztonságát kell garantálni. A vállalatoknak, hogy fenntartsák felhőbiztonságukat magas szinten, мощные, rugalmas és érthető eszközökre van szükségük, amelyek képességei túlmutatnak azon, ami korábban elérhető volt. Itt jönnek jól jönni az open-source technológiák, amelyek segítenek megtakarítani a biztonsági költségeken, és olyan szakemberek által készülnek, akik tudják, mit csinálnak.
A cikkben, amelynek fordítását ma publikáljuk, 7 open-source biztonsági megfigyelő eszköz áttekintése található a felhőalapú rendszerek számára. Ezek az eszközök a hackerekkel és kiberbűnözőkkel szembeni védelemre szolgálnak, az anomáliák és a veszélyes tevékenységek észlelésével.
1. Osquery
egy alacsony szintű operációs rendszer-monitoring és elemző rendszer, amely lehetővé teszi a biztonsági szakemberek számára, hogy összetett adatkutatásokat végezzenek SQL használatával. Az Osquery keretrendszer működhet Linux, macOS, Windows és FreeBSD rendszereken. Az operációs rendszer (OS) egy nagy teljesítményű relációs adatbázisként van ábrázolva. Ez lehetővé teszi a biztonsági szakemberek számára, hogy SQL-lekérdezések végrehajtásával kutassák az OS-t. Például egy lekérdezés segítségével információkat szerezhetünk az éppen futó folyamatokról, betöltött kernel modulokról, nyitott hálózati kapcsolatokra, telepített böngészőbővítményekről és hardveres eseményekről, fájlok hash értékeiről.
Az Osquery keretrendszert a Facebook hozta létre. A kódját 2014-ben nyitották meg, miután a cég felismerte, hogy az alacsony szintű operációs rendszer-figyeléshez szükséges eszközök nemcsak számukra szükségesek. Azóta az Osquery-t olyan cégek szakemberei használják, mint a Dactiv, Google, Kolide, Trail of Bits, Uptycs és sok más. Nemrégiben bejelentették, hogy a Linux Foundation és a Facebook támogatási alap létrehozását tervezik az Osquery számára.
Az Osquery hosztmonitorozó démon, amelyet osqueryd néven ismernek, lehetővé teszi a lekérdezések ütemezését, amelyek célja az adatok gyűjtése a szervezet teljes infrastruktúrájáról. A démon összegyűjti a lekérdezések eredményeit és létrehozza a naplókat, amelyek tükrözik az infrastruktúra állapotának változásait. Ez segíthet a biztonsági szakembereknek naprakészen követni a rendszer állapotát, és különösen hasznos a rendellenességek azonosításában. Az Osquery naplóaggregáló képességei felhasználhatók a jól ismert és ismeretlen rosszindulatú programok keresésének megkönnyítésére, valamint a támadók által a rendszerbe való behatolás helyeinek azonosítására és az általuk telepített programok keresésére. anyag, amely részleteket tartalmaz az Osquery-val végzett rendellenesség-azonosításról.
2. GoAudit
Rendszer két alapvető összetevőből áll. Az első egy magasszintű kód, amely a rendszerhívások megfigyelésére és elfogására szolgál. A második összetevő egy felhasználói térben futó démon, amelyet . Felelős az auditálás eredményeinek lemezre írásáért. , egy rendszert, amelyet a cégnél alkottak és 2016-ban adtak ki, az auditd helyettesítésére szánták. Fejlettebb naplózási lehetőségekkel rendelkezik, mivel a Linux audit rendszer által generált események több soros üzeneteit egységes JSON BLOB-objektumokká alakítja, ami megkönnyíti az elemzést. A GoAudit lehetővé teszi, hogy közvetlenül a kernel szintű mechanizmusokhoz férjünk hozzá a hálózaton. Ezenkívül a saját helyszínen minimális eseményfilterezést is lehetővé tesz (vagy teljesen letiltható a filterezés). Emellett a GoAudit nemcsak a biztonságról szól. Ez az eszköz sokoldalú eszközként van tervezve a rendszerek támogatásával vagy fejlesztésével foglalkozó szakemberek számára. Segít a problémák kezelésében nagy léptékű infrastruktúrákban.
A GoAudit rendszere Golang-on íródott. Ez egy típusbiztos és nagy teljesítményű nyelv. A GoAudit telepítése előtt ellenőrizze, hogy a meglévő Golang verziója meghaladja az 1.7-et.
3. Grapl
Projekt (Graph Analytics Platform) tavaly márciusban nyílt forrású platformmá vált. Ez egy viszonylag új platform a biztonsági problémák felfedezésére, a számítástechnikai kriminalisztikai szakértés lefolytatására és az események jelentésének elkészítésére. A támadók gyakran olyan modellek alapján dolgoznak, mint a gráfmodell, ahol egy adott rendszert irányítanak, és más hálózati rendszerek kutatásával foglalkoznak, kezdve erről a rendszerről. Ezért teljesen érthető, hogy a rendszervédők is használni fogják a gráfmodell alapú kapcsolatmechanizmust, figyelembe véve a rendszerek közötti kapcsolatok sajátosságait. A Grapl a gráfmodell alapú incidens-felismerési és reagálási intézkedések alkalmazásának kísérletét mutatja be, nem a naplómodell alapján.
A Grapl eszköz biztonsággal kapcsolatos naplókat (Sysmon naplók vagy standard JSON formátumú naplók) fogad el, és ezeket algráfokká alakítja (meghatározva az „azonosító információt” minden csomópont számára). Ezután az algráfokat egy közös gráfba (Master Graph) egyesíti, amely az elemezett környezetekben végzett műveleteket képviseli. A Grapl ezt követően elemzőket (Analyzers) futtat a kapott gráfon, az „támadó aláírások” felhasználásával anomáliák és gyanús minták azonosítása érdekében. Amikor az elemző gyanús algráfot azonosít, a Grapl generál egy Engagement konstrukciót, amely nyomozások lefolytatására szolgál. Az Engagement egy Python-osztály, amelyet például egy AWS környezetben futó Jupyter Notebookba lehet betölteni. A Grapl emellett képes bővíteni az incidens nyomozásához szükséges információgyűjtés skáláját a gráf kiterjesztésével.
Ha jobban szeretné megérteni a Graplt, nézze meg az érdekes videót — a BSides Las Vegas 2019-es előadásának felvételét.
4. OSSEC
2004-ben alapított projekt. Ez a projekt összességében olyan nyílt forráskódú biztonsági megfigyelő platformként jellemezhető, amely a hosztok elemzésére és a behatolások észlelésére összpontosít. Évente több mint 500000 alkalommal töltenek le OSSEC-et. Ezt a platformot elsősorban az intrúziók észlelésére használják a szervereken, legyen szó helyi vagy felhőalapú rendszerekről. Az OSSEC-et emellett gyakran alkalmazzák a naplók elemzésére és a tűzfalak, behatolás-észlelő rendszerek, webkiszolgálók, valamint az autentikációs naplók feldolgozására.
Az OSSEC ötvözi a hoszt alapú behatolás-észlelő rendszer (HIDS) lehetőségeit a biztonsági eseménykezelő rendszer (SIM) és a biztonsági információ- és eseménykezelő rendszer (SIEM) képességeivel. Az OSSEC emellett képes valós idejű fájlintegritás-figyelésre is, mint például a Windows-regisztráció figyelése és a rootkit-ek észlelése. Az OSSEC képes valós idejű értesítéseket küldeni az érintetteknek a felfedezett problémákról, és segít aktívan reagálni a felmerült fenyegetésekre. Ez a platform támogatja a Microsoft Windows-t és a legtöbb modern Unix-alapú rendszert, beleértve a Linux-ot, FreeBSD-t, OpenBSD-t és Solaris-t.
Az OSSEC platform központi kezelő egységből, egy menedzserből áll, amely az információk begyűjtésére és megfigyelésére szolgál az ügynököktől (kis programok, amelyeket a megfigyelni kívánt rendszerekbe telepítenek). A menedzsert Linux rendszeren telepítik, amely tárolja az integritás ellenőrzésére használt adatbázist. Ezen felül tárolja a naplókat és az eseményekkel, valamint a rendszerek auditálásával kapcsolatos feljegyzéseket.
Jelenleg az OSSEC projekt támogatása az Atomicorp cég által történik. A cég a ingyenes nyílt forráskódú verziót felügyeli, és ezen kívül kínál kereskedelmi verziót a termékből. podcast, amelyben az OSSEC projekt menedzsere beszél az új verzióról — OSSEC 3.0. Szó esik a projekt történetéről és arról, hogy miben különbözik a modern kereskedelmi rendszerektől, amelyeket a számítógépes biztonság területén használnak.
5. Suricata
— ez egy nyílt forráskódú projekt, amely a számítógépes biztonság alapvető problémáinak megoldására összpontosít. Különösen tartalmaz egy behatolásérzékelő rendszert, egy behatolásmegelőző rendszert és egy eszközt a hálózati biztonság monitorozására.
Ez a termék 2009-ben jelent meg. Működése szabályokra épül. Vagyis aki használja, lehetőséget kap arra, hogy leírjon bizonyos sajátosságokat a hálózati forgalomban. Ha egy szabály aktiválódik, a Suricata értesítést generál, blokkolja vagy megszakítja a gyanús kapcsolatot, amely ismét a megadott szabályoktól függ. A projekt ezen túl támogatja a több szálon történő működést is. Ez lehetővé teszi nagy mennyiségű szabály gyors feldolgozását olyan hálózatokban, ahol nagy forgalom bonyolódik. A több szál támogatásának köszönhetően egy átlagos szerver képes sikeresen elemezni a 10 Gbit/s sebességgel érkező forgalmat. Eközben az adminisztrátornak nem kell korlátoznia a forgalomelemzéshez használt szabályok körét. A Suricata emellett támogatja a hasheket és a fájlok kinyerését.
A Suricata beállítható úgy, hogy hagyományos szervereken vagy virtuális gépeken, például az AWS-en működjön, a termékben nemrégiben megjelent lehetőséggel. .
A projekt támogatja a Lua-scripteket, amelyek segítségével bonyolult és részletes logikát lehet létrehozni a fenyegetések aláírásának elemzésére.
A Suricata projektet az Open Information Security Foundation (OISF) irányítja.
6. Zeek (Bro)
A Suricatához hasonlóan, (ez a projekt korábban Bro néven volt ismert, és a Zeek névre 2018-ban a BroCon eseményen keresztelték át) — ez is egy behatolásérzékelő rendszer és hálózati biztonsági monitoring eszköz, amely képes az anomáliák, például gyanús vagy veszélyes tevékenységek kiszűrésére. A Zeek eltér a hagyományos IDS-től, mivel a szabályokkal alapuló rendszerekkel ellentétben, amelyek a kivételeket azonosítják, a Zeek a hálózaton zajló eseményekkel kapcsolatos metadatokat is rögzíti. Ezt azért teszi, hogy jobban megértse a szokatlan hálózati viselkedés kontextusát. Ez lehetővé teszi például, hogy egy HTTP-hívás vagy a biztonsági tanúsítványok cseréjének elemzésekor a protokollra, a csomagok fejlécére és a domainekre is ránézhessünk.
Ha a Zeeket a hálózati biztonság eszközének tekintjük, akkor elmondhatjuk, hogy lehetőséget ad a szakembereknek arra, hogy vizsgálatot végezzenek az eseményekről, megtudva, mi történt a kapott esemény előtt vagy közben. A Zeek emellett a hálózati forgalom adatait magas szintű eseményekké alakítja, és lehetőséget ad a szkriptnyelv használatára. A nyelvi interpreter támogatja a programozási nyelvet, amely az eseményekkel való interakciót szervezi, és segít megérteni, mit jelentenek ezek az események a hálózati biztonság szempontjából. A Zeek programozási nyelv használható a metaadatok értelmezésének testreszabására a konkrét szervezet igényei szerint. Lehetővé teszi összetett logikai feltételek létrehozását AND, OR és NOT operátorok használatával. Ez lehetővé teszi a felhasználók számára, hogy testreszabják elemzési eljárásukat. Azonban meg kell jegyezni, hogy a Suricatához képest a Zeek elég bonyolult eszköznek tűnhet a biztonsági fenyegetések felderítése során.
Ha további részletekre kíváncsi a Zeekkel kapcsolatban, kérjük, lépjen kapcsolatba videó.
7. Panther
egy hatékony, eredetileg felhőalapú, a biztonsági folyamatos monitorozásának szervezésére szolgáló platform. A közelmúltban nyílt forráskódúvá vált. A projekt mögött a fő építész áll egy automatizált naplóelemzési megoldás, amelynek kódját az Airbnb nyitotta meg. A Panther egy központosított fenyegetés-észlelési és reagálási rendszert biztosít a felhasználók számára, amely képes együtt növekedni a kiszolgált infrastruktúra méretével. A fenyegetések észlelését átlátható determinisztikus szabályokkal végzik, hogy csökkentsék a téves pozitív találatok arányát és a biztonsági szakemberekre nehezedő felesleges terhelést.
A Panther főbb funkciói közé tartoznak a következők:
- Jogosulatlan hozzáférés észlelése az erőforrásokhoz való naplóelemzés útján.
- Fenntartott fenyegetések keresése a naplókban, problémákra utaló mutatók keresésével. A keresést a Panther szabványosított adatképzési mezőivel végzik.
- A rendszer ellenőrzése az SOC/PCR/HIPAA szabványoknak való megfelelés szempontjából Panther mechanizmusai.
- A felhőforrások védelme az automatikus konfigurációs hibajavítással, amelyek kihasználása súlyos problémákhoz vezethet.
A Panther az AWS felhőben terjed el az AWS CloudFormation segítségével. Ez lehetővé teszi a felhasználó számára, hogy mindig ellenőrizze az adatait.
Összegzés
A rendszerek biztonságának monitorozása napjaink egyik legfontosabb feladata. A vállalatok bármilyen méretben ingyenes vagy szinte ingyenes, nyílt forráskódú eszközökkel segíthetik ezt a feladatot.
Használjátok a CI/CD technológiákat a projektjeitekben? Milyen biztonsági monitorozó eszközöket használsz?
Forrás: habr.com
