La diffusione delle tecnologie cloud consente alle aziende di scalare il loro business. Tuttavia, l'adozione di nuove piattaforme comporta anche l'emergere di nuove minacce. Mantenere all'interno dell'organizzazione un team dedicato al monitoraggio della sicurezza dei servizi cloud è un compito complesso. Gli strumenti di monitoraggio esistenti sono costosi e lenti. Inoltre, sono difficili da gestire se si deve garantire la sicurezza di un'infrastruttura cloud su larga scala. Alle aziende servono strumenti potenti, flessibili e intuitivi che superino le capacità di quelli disponibili in passato per mantenere alta la loro sicurezza cloud. È qui che le tecnologie open source si rivelano estremamente utili, poiché aiutano a risparmiare sui budget per la sicurezza e sono sviluppate da esperti che conoscono il loro mestiere.
Nell'articolo, il cui traduzione pubblichiamo oggi, viene presentata una panoramica di 7 strumenti open source per il monitoraggio della sicurezza dei sistemi cloud. Questi strumenti sono progettati per proteggere contro hacker e cybercriminali mediante la rilevazione di anomalie e comportamenti non sicuri.
1. Osquery
è un sistema per il monitoraggio e l'analisi a basso livello dei sistemi operativi, che consente agli esperti di sicurezza di condurre ricerche complesse sui dati utilizzando SQL. Il framework Osquery può funzionare su Linux, macOS, Windows e FreeBSD. Rappresenta il sistema operativo (SO) come un'architettura di database relazionale ad alte prestazioni. Ciò consente agli esperti di sicurezza di esaminare il SO eseguendo query SQL. Ad esempio, con una query è possibile ottenere informazioni sui processi in esecuzione, sui moduli del kernel caricati, sulle connessioni di rete aperte, sulle estensioni del browser installate, sugli eventi hardware e sui checksum dei file.
Il framework Osquery è stato creato da Facebook. Il suo codice è stato reso pubblico nel 2014, dopo che l'azienda ha compreso che anche altre entità avevano bisogno di strumenti per il monitoraggio dei meccanismi a basso livello dei sistemi operativi. Da allora, Osquery è utilizzato da esperti di aziende come Dactiv, Google, Kolide, Trail of Bits, Uptycs e molte altre. Recentemente si è parlato della creazione di un fondo di supporto per Osquery da parte della Linux Foundation e di Facebook.
Il demone di monitoraggio degli host Osquery, chiamato osqueryd, consente di pianificare l'esecuzione di query finalizzate alla raccolta di dati dell'intera infrastruttura dell'organizzazione. Il demone raccoglie i risultati delle query e crea log che riflettono le variazioni dello stato dell'infrastruttura. Questo può aiutare gli esperti di sicurezza a essere informati sullo stato del sistema ed è particolarmente utile per l'individuazione di anomalie. Le capacità di aggregazione dei log di Osquery possono essere utilizzate per facilitare la ricerca di malware noti e sconosciuti, nonché per individuare i punti di accesso degli aggressori nel sistema e per cercare i programmi installati da essi. materiale in cui è possibile trovare dettagli sulla rilevazione di anomalie utilizzando Osquery.
2. GoAudit
Sistema è composto da due componenti principali. La prima è una sorta di codice a livello di kernel, progettato per intercettare e monitorare le chiamate di sistema. Il secondo componente è un demone che opera nello spazio utente, chiamato . Si occupa di registrare su disco i risultati dell'audit. , un sistema sviluppato da e rilasciato nel 2016, è progettato per sostituire auditd. Ha migliorate capacità di logging grazie alla conversione dei messaggi di eventi multilinea generati dal sistema di audit di Linux in singoli oggetti JSON BLOB, rendendo più semplice l'analisi. Con GoAudit, è possibile accedere direttamente ai meccanismi a livello di kernel tramite la rete. Inoltre, è possibile attivare una filtrazione minima degli eventi direttamente sull'host (o disattivare completamente la filtrazione). GoAudit è un progetto pensato non solo per la sicurezza. Questo strumento è concepito come un mezzo multifunzionale per gli specialisti che si occupano di supporto dei sistemi o sviluppo. Aiuta a risolvere problemi in infrastrutture su larga scala.
Il sistema GoAudit è scritto in Golang. Si tratta di un linguaggio di programmazione sicuro e ad alte prestazioni. Prima di installare GoAudit, assicurati che la versione di Golang in tuo possesso sia superiore alla 1.7.
3. Grapl
Progetto (Graph Analytics Platform) è stato reso open source a marzo dello scorso anno. Questa è una piattaforma relativamente nuova per rilevare problemi di sicurezza, condurre analisi forensi informatiche e generare report sugli incidenti. Gli aggressori spesso operano utilizzando qualcosa come un modello di grafo, ottenendo il controllo su un particolare sistema e indagando su altri sistemi di rete partendo da questo sistema. Pertanto, è del tutto naturale che anche i difensori dei sistemi utilizzino un meccanismo basato su un modello di grafo delle connessioni dei sistemi di rete, tenendo conto delle caratteristiche delle relazioni tra i sistemi. Grapl mostra un tentativo di applicare misure per rilevare incidenti e rispondere a essi, basandosi su un modello di grafo anziché su un modello di log.
Lo strumento Grapl prende i log relativi alla sicurezza (log Sysmon o log in formato JSON standard) e li converte in sottografi (definendo le "informazioni identificative" per ogni nodo). Successivamente, combina i sottografi in un grafo complessivo (Master Graph), che rappresenta le azioni effettuate negli ambienti analizzati. Grapl quindi esegue analizzatori (Analyzers) sul grafo ottenuto utilizzando le "signature degli aggressori" per rilevare anomalie e schemi sospetti. Quando l'analizzatore rileva un sottografo sospetto, Grapl genera un costrutto Engagement, destinato a condurre indagini. Engagement è una classe Python che può essere caricata, ad esempio, in Jupyter Notebook, distribuito nell'ambiente AWS. Inoltre, Grapl è in grado di aumentare la scala della raccolta di informazioni per l'indagine sugli incidenti attraverso l'espansione del grafo.
Se desideri approfondire Grapl, puoi guardare un video interessante — la registrazione di una presentazione di BSides Las Vegas 2019.
4. OSSEC
— questo progetto è stato fondato nel 2004. Questo progetto, in generale, può essere descritto come una piattaforma di monitoraggio della sicurezza open source, progettata per analizzare gli host e rilevare le intrusioni. Ogni anno, OSSEC viene scaricato più di 500.000 volte. Questa piattaforma viene utilizzata principalmente come strumento di rilevamento delle intrusioni sui server. Inoltre, si tratta sia di sistemi locali che di sistemi cloud. OSSEC viene anche utilizzato frequentemente come strumento per l'analisi dei log di monitoraggio e l'analisi dei firewall, dei sistemi di rilevamento delle intrusioni, dei server web, nonché per studiare i log di autenticazione.
OSSEC combina le capacità di un sistema di rilevamento delle intrusioni basato su host (HIDS, Host-Based Intrusion Detection System) con un sistema di gestione degli incidenti di sicurezza (SIM, Security Incident Management) e un sistema di gestione delle informazioni sulla sicurezza e degli eventi di sicurezza (SIEM, Security Information and Event Management). Inoltre, OSSEC è in grado di eseguire il monitoraggio dell'integrità dei file in tempo reale. Ad esempio, il monitoraggio del registro di Windows, la rilevazione di rootkit. OSSEC può avvisare le parti interessate sui problemi rilevati in tempo reale e aiuta a rispondere rapidamente alle minacce trovate. Questa piattaforma supporta Microsoft Windows e la maggior parte dei moderni sistemi Unix-like, inclusi Linux, FreeBSD, OpenBSD e Solaris.
La piattaforma OSSEC consiste in un'entità centrale di gestione, un manager utilizzato per ricevere e monitorare le informazioni dagli agenti (piccole applicazioni installate nei sistemi da monitorare). Il manager viene installato su un sistema Linux, che memorizza un database utilizzato per verificare l'integrità dei file. Inoltre, memorizza log e registrazioni di eventi e dei risultati dell'audit dei sistemi.
Il progetto OSSEC è attualmente supportato dall'azienda Atomicorp. L'azienda gestisce la versione open source gratuita e, inoltre, offre commerciale avanzata del prodotto. un podcast in cui il manager del progetto OSSEC parla dell'ultima versione del sistema — OSSEC 3.0. Si discute anche della storia del progetto e di come si differenzi dai moderni sistemi commerciali utilizzati nel campo della sicurezza informatica.
5. Suricata
è un progetto open source orientato a risolvere le principali sfide della sicurezza informatica. In particolare, include un sistema di rilevamento delle intrusioni, un sistema di prevenzione delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete.
Questo prodotto è stato lanciato nel 2009. Il suo funzionamento si basa su regole. Cioè, chi lo utilizza ha la possibilità di descrivere alcune caratteristiche del traffico di rete. Se una regola viene attivata, Suricata genera una notifica, bloccando o interrompendo una connessione sospetta, che, ancora una volta, dipende dalle regole impostate. Inoltre, il progetto supporta il funzionamento in modalità multithread. Questo consente una rapida elaborazione di un grande numero di regole in reti che gestiscono volumi elevati di traffico. Grazie al supporto per la multithreading, un server comune è in grado di analizzare con successo il traffico a velocità di 10 Gbps. In questo modo, l'amministratore non deve limitare il set di regole da utilizzare per l'analisi del traffico. Suricata supporta anche l'hashing e l'estrazione di file.
Suricata può essere configurato per funzionare su server comuni o su macchine virtuali, ad esempio in AWS, utilizzando la recente funzionalità presente nel prodotto .
Il progetto supporta script Lua, che consentono di creare logiche di analisi delle firme delle minacce complesse e dettagliate.
Il progetto Suricata è gestito dalla Open Information Security Foundation (OISF).
6. Zeek (Bro)
Come Suricata, (questo progetto era precedentemente noto come Bro ed è stato rinominato Zeek durante l'evento BroCon 2018) è anche un sistema di rilevamento delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete, in grado di rilevare anomalie come comportamenti sospetti o pericolosi. Zeek si distingue dai tradizionali IDS poiché, a differenza dei sistemi basati su regole, che identificano le eccezioni, Zeek cattura anche i metadati associati con quanto sta accadendo in rete. Questo viene fatto per comprendere meglio il contesto di comportamenti di rete insoliti. Ad esempio, analizzando una chiamata HTTP o una procedura di scambio di certificati di sicurezza, è possibile esaminare il protocollo, le intestazioni dei pacchetti e i nomi di dominio.
Se consideriamo Zeek come uno strumento di sicurezza di rete, possiamo dire che offre agli specialisti la possibilità di condurre un'indagine sugli eventi, scoprendo cosa sia successo prima o durante l'incidente. Zeek, inoltre, converte i dati sul traffico di rete in eventi di alto livello e offre la possibilità di lavorare con un interprete di script. L'interprete supporta un linguaggio di programmazione utilizzato per organizza l'interazione con gli eventi e per capire cosa significano questi eventi in termini di sicurezza di rete. Il linguaggio di programmazione di Zeek può essere utilizzato per personalizzare l'interpretazione dei metadati in base alle esigenze di una specifica organizzazione. Permette di costruire condizioni logiche complesse, utilizzando gli operatori AND, OR e NOT. Questo offre agli utenti la possibilità di personalizzare il processo di analisi dei loro ambienti. Tuttavia, è importante notare che, rispetto a Suricata, Zeek può sembrare uno strumento piuttosto complesso per la conduzione di threat intelligence.
Se siete interessati a ulteriori dettagli su Zeek, contattate video.
7. Panther
è una potente piattaforma inizialmente progettata per il lavoro nel cloud, dedicata all'organizzazione di un monitoraggio continuo della sicurezza. È stata recentemente convertita in open source. All'origine del progetto c'è l'architetto principale è una soluzione per l'analisi automatizzata dei log, il cui codice è stato aperto da Airbnb. Panther fornisce all'utente un sistema unificato per la rilevazione centralizzata delle minacce in tutti gli ambienti e per l'organizzazione delle risposte a esse. Questo sistema è in grado di crescere insieme alla dimensione dell'infrastruttura gestita. La rilevazione delle minacce è organizzata mediante regole deterministiche trasparenti, create per ridurre il tasso di falsi positivi e diminuire il carico inutile sugli specialisti della sicurezza.
Tra le principali funzionalità di Panther si possono evidenziare le seguenti:
- Rilevamento di accesso non autorizzato alle risorse attraverso l'analisi dei registri.
- Ricerca di minacce, implementata attraverso la ricerca nei log di indicatori che segnalano problemi di sicurezza. La ricerca viene effettuata utilizzando campi dati standardizzati di Panther.
- Verifica della conformità del sistema agli standard SOC/PCI/HIPAA utilizzando meccanismi Panther.
- La protezione delle risorse cloud grazie alla correzione automatica degli errori di configurazione, che, se sfruttati da malintenzionati, possono portare a seri problemi.
Panther viene implementato nel cloud AWS dell'organizzazione utilizzando AWS CloudFormation. Questo consente all'utente di avere sempre il controllo sui propri dati.
Conclusioni
Il monitoraggio della sicurezza dei sistemi è, al giorno d'oggi, un compito fondamentale. In questa sfida, strumenti open source possono aiutare le aziende di qualsiasi dimensione, offrendo molte possibilità e costando poco o nulla.
Gentili lettori! Quali strumenti per il monitoraggio della sicurezza utilizzi?
Fonte: habr.com
