{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 strumenti open source per il monitoraggio della sicurezza dei sistemi cloud che vale la pena conoscere","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La diffusione delle soluzioni cloud aiuta le aziende a scalare il proprio business. Tuttavia, l'adozione di nuove piattaforme porta con s\u00e9 anche nuove minacce. Mantenere all'interno dell'organizzazione un team dedicato al monitoraggio della sicurezza dei servizi cloud non \u00e8 un compito semplice. Gli strumenti di monitoraggio attuali sono costosi e lenti. Inoltre, possono risultare difficili da utilizzare soprattutto quando si cerca di garantire la sicurezza di un'infrastruttura cloud su larga scala. Per mantenere alta la propria sicurezza cloud, le aziende necessitano di strumenti potenti, flessibili e intuitivi, con funzionalit\u00e0 superiori a quelle precedentemente disponibili. \u00c8 qui che le tecnologie open source diventano particolarmente utili, consentendo risparmi sui budget per la sicurezza e creando soluzioni grazie a specialisti esperti nel loro campo.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

Nell'articolo che pubblichiamo oggi, viene presentata una panoramica di 7 strumenti open source per monitorare la sicurezza dei sistemi cloud. Questi strumenti sono progettati per proteggere da hacker e criminali informatici rilevando anomalie e comportamenti non sicuri.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> \u00e8 un sistema per il monitoraggio e l'analisi a basso livello dei sistemi operativi, che consente agli specialisti della sicurezza di condurre indagini approfondite sui dati utilizzando SQL. Il framework Osquery pu\u00f2 funzionare su Linux, macOS, Windows e FreeBSD. Rappresenta il sistema operativo (SO) come un database relazionale ad alte prestazioni. Ci\u00f2 consente agli esperti di sicurezza di esplorare il SO eseguendo query SQL. Ad esempio, tramite una query, \u00e8 possibile ottenere informazioni sui processi in esecuzione, sui moduli del kernel caricati, sulle connessioni di rete aperte, sulle estensioni del browser installate, sugli eventi hardware e sugli hash dei file.<\/p>\n

Il framework Osquery \u00e8 stato sviluppato da Facebook. Il suo codice \u00e8 stato reso pubblico nel 2014, dopo che l'azienda ha capito che gli strumenti per monitorare i meccanismi a basso livello dei sistemi operativi non erano necessari solo per loro. Da allora, Osquery \u00e8 utilizzato da esperti di aziende come Dactiv, Google, Kolide, Trail of Bits, Uptycs e molte altre. annunciato<\/a><\/noindex> Recentemente \u00e8 emerso che la Linux Foundation e Facebook stanno per formare un fondo di supporto per Osquery.<\/p>\n

Il demone di monitoraggio degli host di Osquery, chiamato osqueryd, consente di pianificare l'esecuzione di query mirate a raccogliere dati dall'intera infrastruttura dell'organizzazione. Il demone raccoglie i risultati delle query e crea registri che riflettono lo stato della infrastruttura. Questo pu\u00f2 aiutare gli esperti di sicurezza a rimanere aggiornati sulla situazione del sistema ed \u00e8 particolarmente utile per individuare anomalie. Le capacit\u00e0 di aggregazione dei registri di Osquery possono essere utilizzate per semplificare la ricerca di malware noti e sconosciuti, nonch\u00e9 per identificare i punti di ingresso degli aggressori nel sistema e per cercare i programmi che hanno installato. Ecco<\/a><\/noindex> un materiale in cui \u00e8 possibile trovare dettagli sulla rilevazione delle anomalie tramite Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSistema audit di Linux<\/a><\/noindex> \u00e8 composto da due componenti principali. Il primo \u00e8 un codice di livello kernel progettato per intercettare e monitorare le chiamate di sistema. Il secondo componente \u00e8 un demone che opera nello spazio utente, chiamato auditd<\/a><\/noindex>. Esso si occupa di registrare su disco i risultati dell'audit. GoAudit<\/a><\/noindex>, un sistema creato da Slack<\/a><\/noindex> e rilasciato nel 2016, \u00e8 progettato per sostituire auditd. Ha migliorate capacit\u00e0 di logging grazie alla sua funzione di conversione dei messaggi multiriga degli eventi generati dal sistema di audit Linux in oggetti JSON BLOB unificati, semplificando cos\u00ec l'analisi. Con GoAudit, \u00e8 possibile accedere direttamente ai meccanismi del kernel attraverso la rete. Inoltre, \u00e8 possibile attivare un filtraggio minimo degli eventi sulla stessa host (o disattivare completamente il filtraggio). Tuttavia, GoAudit \u00e8 un progetto pensato non solo per garantire la sicurezza. Questo strumento \u00e8 concepito come un mezzo multifunzionale per professionisti che si occupano di manutenzione di sistema o sviluppo. Aiuta a risolvere problemi in infrastrutture su larga scala.<\/p>\n

Il sistema GoAudit \u00e8 scritto in Golang. \u00c8 un linguaggio tipizzato e ad alte prestazioni. Prima di installare GoAudit, assicurati che la tua versione di Golang sia superiore alla 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProgetto Grapl<\/a><\/noindex> (Graph Analytics Platform) \u00e8 diventato open source nel marzo dello scorso anno. Si tratta di una piattaforma relativamente nuova per la rilevazione di problemi di sicurezza, per la conduzione di perizie informatiche e per la creazione di rapporti sugli incidenti. Gli attaccanti spesso operano utilizzando qualcosa di simile a un modello grafico, ottenendo il controllo su un sistema specifico e investigando altri sistemi di rete a partire da questo. Pertanto, \u00e8 naturale che anche i difensori dei sistemi utilizzino un meccanismo basato su un modello grafico che consideri le peculiarit\u00e0 delle relazioni tra i sistemi. Grapl rappresenta un tentativo di applicare misure per la rilevazione e la risposta agli incidenti, basandosi su un modello grafico anzich\u00e9 su un modello di log.<\/p>\n

Lo strumento Grapl accetta registri relativi alla sicurezza (log Sysmon o log in formato JSON standard) e li converte in sottografi (identificando le \"informazioni identificative\" per ciascun nodo). Successivamente, unisce i sottografi in un grafo principale (Master Graph), che rappresenta le azioni eseguite negli ambienti analizzati. Dopodich\u00e9, Grapl esegue analizzatori (Analyzers) sul grafo risultante utilizzando le \"firme degli aggressori\" per identificare anomalie e schemi sospetti. Quando un analizzatore rileva un sottografo sospetto, Grapl genera un costrutto Engagement, progettato per condurre indagini. L'Engagement \u00e8 una classe Python che pu\u00f2 essere caricata, ad esempio, in Jupyter Notebook, distribuito nell'ambiente AWS. Inoltre, Grapl \u00e8 in grado di ampliare la raccolta di informazioni per indagini sugli incidenti attraverso l'espansione del grafo.<\/p>\n

Se desideri approfondire il funzionamento di Grapl, puoi guardare questo<\/a><\/noindex> un video interessante \u2014 la registrazione di una presentazione tenuta a BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> OSSEC \u00e8 un progetto fondato nel 2004. Questo progetto pu\u00f2 essere descritto come una piattaforma open-source per il monitoraggio della sicurezza, concepita per l'analisi degli host e la rilevazione delle intrusioni. Ogni anno OSSEC viene scaricato oltre 500.000 volte. Questa piattaforma \u00e8 utilizzata principalmente come strumento per la rilevazione delle intrusione sui server, sia in sistemi locali che in sistemi cloud. Inoltre, OSSEC \u00e8 frequentemente impiegato come strumento per l'analisi dei registri di monitoraggio e per l'analisi dei firewall, dei sistemi di rilevamento delle intrusioni, dei server web, cos\u00ec come per lo studio dei log di autenticazione.<\/p>\n

OSSEC combina le capacit\u00e0 di un sistema di rilevamento delle intrusioni basato su host (HIDS, Host-Based Intrusion Detection System) con un sistema di gestione degli incidenti di sicurezza (SIM, Security Incident Management) e con un sistema di gestione delle informazioni e degli eventi di sicurezza (SIEM, Security Information and Event Management). OSSEC \u00e8 anche in grado di monitorare l'integrit\u00e0 dei file in tempo reale, ad esempio, il monitoraggio del registro di Windows e il rilevamento di rootkit. OSSEC pu\u00f2 notificare le parti interessate in tempo reale su problemi identificati e aiuta a rispondere rapidamente alle minacce individuate. Questa piattaforma supporta Microsoft Windows e la maggior parte dei moderni sistemi Unix-like, inclusi Linux, FreeBSD, OpenBSD e Solaris.<\/p>\n

La piattaforma OSSEC \u00e8 composta da un'entit\u00e0 di gestione centrale, un manager, utilizzato per ricevere e monitorare informazioni dagli agenti (piccole applicazioni installate sui sistemi da monitorare). Il manager \u00e8 installato su un sistema Linux, che memorizza un database utilizzato per verificare l'integrit\u00e0 dei file. Inoltre, esso conserva i log e le registrazioni di eventi e dei risultati delle ispezioni di sistema.<\/p>\n

Il supporto per il progetto OSSEC \u00e8 attualmente gestito dall'azienda Atomicorp. L'azienda cura la versione open source gratuita e, in aggiunta, offre una versione avanzata<\/a><\/noindex> commerciale del prodotto. Ecco<\/a><\/noindex> un podcast in cui il manager del progetto OSSEC parla della nuova versione del sistema \u2014 OSSEC 3.0. Si discute anche della storia del progetto e delle sue differenze rispetto ai moderni sistemi commerciali utilizzati nel campo della sicurezza informatica.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u00e8 un progetto open source focalizzato sulla risoluzione delle principali sfide della sicurezza informatica. In particolare, include un sistema di rilevamento delle intrusioni, un sistema di prevenzione delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete.<\/p>\n

Questo prodotto \u00e8 stato lanciato nel 2009. Il suo funzionamento si basa su regole. Cio\u00e8, chi lo utilizza ha la possibilit\u00e0 di descrivere alcune caratteristiche del traffico di rete. Quando una regola viene attivata, Suricata genera una notifica, bloccando o interrompendo una connessione sospetta, il che dipende, nuovamente, dalle regole impostate. Inoltre, il progetto supporta l'operativit\u00e0 in modalit\u00e0 multithreading. Questo consente un'elaborazione rapida di un gran numero di regole nelle reti che gestiscono volumi elevati di traffico. Grazie al supporto per il multithreading, un normale server \u00e8 in grado di analizzare con successo il traffico a velocit\u00e0 di 10 Gbit\/s. L'amministratore non deve limitare l'insieme delle regole utilizzate per l'analisi del traffico. Suricata, inoltre, supporta l'hashing e l'estrazione di file.<\/p>\n

Suricata pu\u00f2 essere configurata per funzionare su server ordinari o su macchine virtuali, ad esempio in AWS, utilizzando la nuova funzionalit\u00e0 recentemente introdotta nel prodotto. monitoraggio del traffico<\/a><\/noindex>.<\/p>\n

Il progetto supporta script Lua, tramite i quali \u00e8 possibile creare logiche di analisi delle minacce complesse e dettagliate.<\/p>\n

Il progetto Suricata \u00e8 gestito dalla Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nCome Suricata, Zeek<\/a><\/noindex> (questo progetto era precedentemente noto come Bro e ha cambiato nome in Zeek durante l'evento BroCon 2018) \u2014 \u00e8 anch'esso un sistema di rilevamento delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete, in grado di identificare anomalie come comportamenti sospetti o pericolosi. Zeek si differenzia dagli IDS tradizionali in quanto, a differenza dei sistemi basati su regole che rilevano eccezioni, Zeek cattura anche i metadati relativi a ci\u00f2 che accade in rete. Questo viene fatto per comprendere meglio il contesto del comportamento anomalo della rete. Ad esempio, analizzando una chiamata HTTP o un processo di scambio di certificati di sicurezza, \u00e8 possibile esaminare il protocollo, le intestazioni dei pacchetti e i nomi di dominio.<\/p>\n

Se consideriamo Zeek come uno strumento di sicurezza della rete, possiamo dire che offre agli esperti la possibilit\u00e0 di condurre un'indagine su un incidente, scoprendo cosa \u00e8 successo prima o durante l'evento. Inoltre, Zeek converte i dati sul traffico di rete in eventi ad alto livello e fornisce un interprete di script. L'interprete supporta il linguaggio di programmazione utilizzato per interagire con gli eventi e per comprendere cosa significano questi eventi in termini di sicurezza della rete. Il linguaggio di programmazione di Zeek pu\u00f2 essere utilizzato per personalizzare l'interpretazione dei metadati in base alle esigenze specifiche di un'organizzazione. Permette di costruire complesse condizioni logiche utilizzando gli operatori AND, OR e NOT. Questo consente agli utenti di personalizzare il processo di analisi dei loro ambienti. Tuttavia, \u00e8 importante notare che, rispetto a Suricata, Zeek pu\u00f2 sembrare uno strumento piuttosto complesso per la gestione delle minacce alla sicurezza.<\/p>\n

Se desideri informazioni dettagliate su Zeek, contatta questa<\/a><\/noindex> video.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u00e8 una piattaforma potente, originariamente progettata per operare nel cloud, per l'organizzazione di un monitoraggio continuo della sicurezza. \u00c8 stata recentemente classificata come open source. Alla base del progetto c'\u00e8 l'architetto principale StreamAlert<\/a><\/noindex> \u00e8 una soluzione per l'analisi automatizzata dei log, il cui codice \u00e8 stato rilasciato dall'azienda Airbnb. Panther offre all'utente un sistema unificato per la rilevazione centralizzata delle minacce in tutti gli ambienti e per la gestione delle risposte. Questa soluzione \u00e8 in grado di crescere insieme alle dimensioni dell'infrastruttura gestita. La rilevazione delle minacce \u00e8 organizzata tramite regole deterministiche trasparenti, progettate per ridurre il numero di falsi positivi e abbattere il carico non necessario per gli esperti di sicurezza.<\/p>\n

Tra le principali funzionalit\u00e0 di Panther, si possono segnalare le seguenti:<\/p>\n