La diffusione delle soluzioni cloud aiuta le aziende a scalare il proprio business. Tuttavia, l'adozione di nuove piattaforme porta con sé anche nuove minacce. Mantenere all'interno dell'organizzazione un team dedicato al monitoraggio della sicurezza dei servizi cloud non è un compito semplice. Gli strumenti di monitoraggio attuali sono costosi e lenti. Inoltre, possono risultare difficili da utilizzare soprattutto quando si cerca di garantire la sicurezza di un'infrastruttura cloud su larga scala. Per mantenere alta la propria sicurezza cloud, le aziende necessitano di strumenti potenti, flessibili e intuitivi, con funzionalità superiori a quelle precedentemente disponibili. È qui che le tecnologie open source diventano particolarmente utili, consentendo risparmi sui budget per la sicurezza e creando soluzioni grazie a specialisti esperti nel loro campo.
Nell'articolo che pubblichiamo oggi, viene presentata una panoramica di 7 strumenti open source per monitorare la sicurezza dei sistemi cloud. Questi strumenti sono progettati per proteggere da hacker e criminali informatici rilevando anomalie e comportamenti non sicuri.
1. Osquery
è un sistema per il monitoraggio e l'analisi a basso livello dei sistemi operativi, che consente agli specialisti della sicurezza di condurre indagini approfondite sui dati utilizzando SQL. Il framework Osquery può funzionare su Linux, macOS, Windows e FreeBSD. Rappresenta il sistema operativo (SO) come un database relazionale ad alte prestazioni. Ciò consente agli esperti di sicurezza di esplorare il SO eseguendo query SQL. Ad esempio, tramite una query, è possibile ottenere informazioni sui processi in esecuzione, sui moduli del kernel caricati, sulle connessioni di rete aperte, sulle estensioni del browser installate, sugli eventi hardware e sugli hash dei file.
Il framework Osquery è stato sviluppato da Facebook. Il suo codice è stato reso pubblico nel 2014, dopo che l'azienda ha capito che gli strumenti per monitorare i meccanismi a basso livello dei sistemi operativi non erano necessari solo per loro. Da allora, Osquery è utilizzato da esperti di aziende come Dactiv, Google, Kolide, Trail of Bits, Uptycs e molte altre. Recentemente è emerso che la Linux Foundation e Facebook stanno per formare un fondo di supporto per Osquery.
Il demone di monitoraggio degli host di Osquery, chiamato osqueryd, consente di pianificare l'esecuzione di query mirate a raccogliere dati dall'intera infrastruttura dell'organizzazione. Il demone raccoglie i risultati delle query e crea registri che riflettono lo stato della infrastruttura. Questo può aiutare gli esperti di sicurezza a rimanere aggiornati sulla situazione del sistema ed è particolarmente utile per individuare anomalie. Le capacità di aggregazione dei registri di Osquery possono essere utilizzate per semplificare la ricerca di malware noti e sconosciuti, nonché per identificare i punti di ingresso degli aggressori nel sistema e per cercare i programmi che hanno installato. un materiale in cui è possibile trovare dettagli sulla rilevazione delle anomalie tramite Osquery.
2. GoAudit
Sistema è composto da due componenti principali. Il primo è un codice di livello kernel progettato per intercettare e monitorare le chiamate di sistema. Il secondo componente è un demone che opera nello spazio utente, chiamato . Esso si occupa di registrare su disco i risultati dell'audit. , un sistema creato da e rilasciato nel 2016, è progettato per sostituire auditd. Ha migliorate capacità di logging grazie alla sua funzione di conversione dei messaggi multiriga degli eventi generati dal sistema di audit Linux in oggetti JSON BLOB unificati, semplificando così l'analisi. Con GoAudit, è possibile accedere direttamente ai meccanismi del kernel attraverso la rete. Inoltre, è possibile attivare un filtraggio minimo degli eventi sulla stessa host (o disattivare completamente il filtraggio). Tuttavia, GoAudit è un progetto pensato non solo per garantire la sicurezza. Questo strumento è concepito come un mezzo multifunzionale per professionisti che si occupano di manutenzione di sistema o sviluppo. Aiuta a risolvere problemi in infrastrutture su larga scala.
Il sistema GoAudit è scritto in Golang. È un linguaggio tipizzato e ad alte prestazioni. Prima di installare GoAudit, assicurati che la tua versione di Golang sia superiore alla 1.7.
3. Grapl
Progetto (Graph Analytics Platform) è diventato open source nel marzo dello scorso anno. Si tratta di una piattaforma relativamente nuova per la rilevazione di problemi di sicurezza, per la conduzione di perizie informatiche e per la creazione di rapporti sugli incidenti. Gli attaccanti spesso operano utilizzando qualcosa di simile a un modello grafico, ottenendo il controllo su un sistema specifico e investigando altri sistemi di rete a partire da questo. Pertanto, è naturale che anche i difensori dei sistemi utilizzino un meccanismo basato su un modello grafico che consideri le peculiarità delle relazioni tra i sistemi. Grapl rappresenta un tentativo di applicare misure per la rilevazione e la risposta agli incidenti, basandosi su un modello grafico anziché su un modello di log.
Lo strumento Grapl accetta registri relativi alla sicurezza (log Sysmon o log in formato JSON standard) e li converte in sottografi (identificando le "informazioni identificative" per ciascun nodo). Successivamente, unisce i sottografi in un grafo principale (Master Graph), che rappresenta le azioni eseguite negli ambienti analizzati. Dopodiché, Grapl esegue analizzatori (Analyzers) sul grafo risultante utilizzando le "firme degli aggressori" per identificare anomalie e schemi sospetti. Quando un analizzatore rileva un sottografo sospetto, Grapl genera un costrutto Engagement, progettato per condurre indagini. L'Engagement è una classe Python che può essere caricata, ad esempio, in Jupyter Notebook, distribuito nell'ambiente AWS. Inoltre, Grapl è in grado di ampliare la raccolta di informazioni per indagini sugli incidenti attraverso l'espansione del grafo.
Se desideri approfondire il funzionamento di Grapl, puoi guardare un video interessante — la registrazione di una presentazione tenuta a BSides Las Vegas 2019.
4. OSSEC
OSSEC è un progetto fondato nel 2004. Questo progetto può essere descritto come una piattaforma open-source per il monitoraggio della sicurezza, concepita per l'analisi degli host e la rilevazione delle intrusioni. Ogni anno OSSEC viene scaricato oltre 500.000 volte. Questa piattaforma è utilizzata principalmente come strumento per la rilevazione delle intrusione sui server, sia in sistemi locali che in sistemi cloud. Inoltre, OSSEC è frequentemente impiegato come strumento per l'analisi dei registri di monitoraggio e per l'analisi dei firewall, dei sistemi di rilevamento delle intrusioni, dei server web, così come per lo studio dei log di autenticazione.
OSSEC combina le capacità di un sistema di rilevamento delle intrusioni basato su host (HIDS, Host-Based Intrusion Detection System) con un sistema di gestione degli incidenti di sicurezza (SIM, Security Incident Management) e con un sistema di gestione delle informazioni e degli eventi di sicurezza (SIEM, Security Information and Event Management). OSSEC è anche in grado di monitorare l'integrità dei file in tempo reale, ad esempio, il monitoraggio del registro di Windows e il rilevamento di rootkit. OSSEC può notificare le parti interessate in tempo reale su problemi identificati e aiuta a rispondere rapidamente alle minacce individuate. Questa piattaforma supporta Microsoft Windows e la maggior parte dei moderni sistemi Unix-like, inclusi Linux, FreeBSD, OpenBSD e Solaris.
La piattaforma OSSEC è composta da un'entità di gestione centrale, un manager, utilizzato per ricevere e monitorare informazioni dagli agenti (piccole applicazioni installate sui sistemi da monitorare). Il manager è installato su un sistema Linux, che memorizza un database utilizzato per verificare l'integrità dei file. Inoltre, esso conserva i log e le registrazioni di eventi e dei risultati delle ispezioni di sistema.
Il supporto per il progetto OSSEC è attualmente gestito dall'azienda Atomicorp. L'azienda cura la versione open source gratuita e, in aggiunta, offre commerciale del prodotto. un podcast in cui il manager del progetto OSSEC parla della nuova versione del sistema — OSSEC 3.0. Si discute anche della storia del progetto e delle sue differenze rispetto ai moderni sistemi commerciali utilizzati nel campo della sicurezza informatica.
5. Suricata
è un progetto open source focalizzato sulla risoluzione delle principali sfide della sicurezza informatica. In particolare, include un sistema di rilevamento delle intrusioni, un sistema di prevenzione delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete.
Questo prodotto è stato lanciato nel 2009. Il suo funzionamento si basa su regole. Cioè, chi lo utilizza ha la possibilità di descrivere alcune caratteristiche del traffico di rete. Quando una regola viene attivata, Suricata genera una notifica, bloccando o interrompendo una connessione sospetta, il che dipende, nuovamente, dalle regole impostate. Inoltre, il progetto supporta l'operatività in modalità multithreading. Questo consente un'elaborazione rapida di un gran numero di regole nelle reti che gestiscono volumi elevati di traffico. Grazie al supporto per il multithreading, un normale server è in grado di analizzare con successo il traffico a velocità di 10 Gbit/s. L'amministratore non deve limitare l'insieme delle regole utilizzate per l'analisi del traffico. Suricata, inoltre, supporta l'hashing e l'estrazione di file.
Suricata può essere configurata per funzionare su server ordinari o su macchine virtuali, ad esempio in AWS, utilizzando la nuova funzionalità recentemente introdotta nel prodotto. .
Il progetto supporta script Lua, tramite i quali è possibile creare logiche di analisi delle minacce complesse e dettagliate.
Il progetto Suricata è gestito dalla Open Information Security Foundation (OISF).
6. Zeek (Bro)
Come Suricata, (questo progetto era precedentemente noto come Bro e ha cambiato nome in Zeek durante l'evento BroCon 2018) — è anch'esso un sistema di rilevamento delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete, in grado di identificare anomalie come comportamenti sospetti o pericolosi. Zeek si differenzia dagli IDS tradizionali in quanto, a differenza dei sistemi basati su regole che rilevano eccezioni, Zeek cattura anche i metadati relativi a ciò che accade in rete. Questo viene fatto per comprendere meglio il contesto del comportamento anomalo della rete. Ad esempio, analizzando una chiamata HTTP o un processo di scambio di certificati di sicurezza, è possibile esaminare il protocollo, le intestazioni dei pacchetti e i nomi di dominio.
Se consideriamo Zeek come uno strumento di sicurezza della rete, possiamo dire che offre agli esperti la possibilità di condurre un'indagine su un incidente, scoprendo cosa è successo prima o durante l'evento. Inoltre, Zeek converte i dati sul traffico di rete in eventi ad alto livello e fornisce un interprete di script. L'interprete supporta il linguaggio di programmazione utilizzato per interagire con gli eventi e per comprendere cosa significano questi eventi in termini di sicurezza della rete. Il linguaggio di programmazione di Zeek può essere utilizzato per personalizzare l'interpretazione dei metadati in base alle esigenze specifiche di un'organizzazione. Permette di costruire complesse condizioni logiche utilizzando gli operatori AND, OR e NOT. Questo consente agli utenti di personalizzare il processo di analisi dei loro ambienti. Tuttavia, è importante notare che, rispetto a Suricata, Zeek può sembrare uno strumento piuttosto complesso per la gestione delle minacce alla sicurezza.
Se desideri informazioni dettagliate su Zeek, contatta video.
7. Panther
è una piattaforma potente, originariamente progettata per operare nel cloud, per l'organizzazione di un monitoraggio continuo della sicurezza. È stata recentemente classificata come open source. Alla base del progetto c'è l'architetto principale è una soluzione per l'analisi automatizzata dei log, il cui codice è stato rilasciato dall'azienda Airbnb. Panther offre all'utente un sistema unificato per la rilevazione centralizzata delle minacce in tutti gli ambienti e per la gestione delle risposte. Questa soluzione è in grado di crescere insieme alle dimensioni dell'infrastruttura gestita. La rilevazione delle minacce è organizzata tramite regole deterministiche trasparenti, progettate per ridurre il numero di falsi positivi e abbattere il carico non necessario per gli esperti di sicurezza.
Tra le principali funzionalità di Panther, si possono segnalare le seguenti:
- Rilevamento di accessi non autorizzati alle risorse attraverso l'analisi dei log.
- Ricerca di minacce, realizzata tramite la ricerca nei log di indicatori che segnalano problemi di sicurezza. La ricerca è effettuata utilizzando campi dati standardizzati di Panther.
- Verifica della conformità ai standard SOC/PCI/HIPAA utilizzando di Panther.
- Protezione delle risorse cloud grazie alla correzione automatica degli errori di configurazione, che, se sfruttati da malintenzionati, possono causare gravi problemi.
Panther viene implementato nel cloud AWS dell'organizzazione utilizzando AWS CloudFormation. Ciò consente all'utente di avere sempre il controllo sui propri dati.
Risultati
Il monitoraggio della sicurezza dei sistemi è una delle principali priorità oggigiorno. In questo compito, le aziende di qualsiasi dimensione possono beneficiare di strumenti open source che offrono una vasta gamma di funzionalità e sono quasi privi di costi o gratuiti.
Gentili lettori! Quali strumenti di monitoraggio della sicurezza utilizzi?
Fonte: habr.com
