{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 strumenti open source per il monitoraggio della sicurezza dei sistemi cloud di cui dovresti essere a conoscenza","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La diffusione delle tecnologie cloud consente alle aziende di scalare il loro business. Tuttavia, l'adozione di nuove piattaforme comporta anche l'emergere di nuove minacce. Mantenere all'interno dell'organizzazione un team dedicato al monitoraggio della sicurezza dei servizi cloud \u00e8 un compito complesso. Gli strumenti di monitoraggio esistenti sono costosi e lenti. Inoltre, sono difficili da gestire se si deve garantire la sicurezza di un'infrastruttura cloud su larga scala. Alle aziende servono strumenti potenti, flessibili e intuitivi che superino le capacit\u00e0 di quelli disponibili in passato per mantenere alta la loro sicurezza cloud. \u00c8 qui che le tecnologie open source si rivelano estremamente utili, poich\u00e9 aiutano a risparmiare sui budget per la sicurezza e sono sviluppate da esperti che conoscono il loro mestiere.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

Nell'articolo, il cui traduzione pubblichiamo oggi, viene presentata una panoramica di 7 strumenti open source per il monitoraggio della sicurezza dei sistemi cloud. Questi strumenti sono progettati per proteggere contro hacker e cybercriminali mediante la rilevazione di anomalie e comportamenti non sicuri.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> \u00e8 un sistema per il monitoraggio e l'analisi a basso livello dei sistemi operativi, che consente agli esperti di sicurezza di condurre ricerche complesse sui dati utilizzando SQL. Il framework Osquery pu\u00f2 funzionare su Linux, macOS, Windows e FreeBSD. Rappresenta il sistema operativo (SO) come un'architettura di database relazionale ad alte prestazioni. Ci\u00f2 consente agli esperti di sicurezza di esaminare il SO eseguendo query SQL. Ad esempio, con una query \u00e8 possibile ottenere informazioni sui processi in esecuzione, sui moduli del kernel caricati, sulle connessioni di rete aperte, sulle estensioni del browser installate, sugli eventi hardware e sui checksum dei file.<\/p>\n

Il framework Osquery \u00e8 stato creato da Facebook. Il suo codice \u00e8 stato reso pubblico nel 2014, dopo che l'azienda ha compreso che anche altre entit\u00e0 avevano bisogno di strumenti per il monitoraggio dei meccanismi a basso livello dei sistemi operativi. Da allora, Osquery \u00e8 utilizzato da esperti di aziende come Dactiv, Google, Kolide, Trail of Bits, Uptycs e molte altre. Recentemente si \u00e8 annunciato<\/a><\/noindex> parlato della creazione di un fondo di supporto per Osquery da parte della Linux Foundation e di Facebook.<\/p>\n

Il demone di monitoraggio degli host Osquery, chiamato osqueryd, consente di pianificare l'esecuzione di query finalizzate alla raccolta di dati dell'intera infrastruttura dell'organizzazione. Il demone raccoglie i risultati delle query e crea log che riflettono le variazioni dello stato dell'infrastruttura. Questo pu\u00f2 aiutare gli esperti di sicurezza a essere informati sullo stato del sistema ed \u00e8 particolarmente utile per l'individuazione di anomalie. Le capacit\u00e0 di aggregazione dei log di Osquery possono essere utilizzate per facilitare la ricerca di malware noti e sconosciuti, nonch\u00e9 per individuare i punti di accesso degli aggressori nel sistema e per cercare i programmi installati da essi. Ecco<\/a><\/noindex> materiale in cui \u00e8 possibile trovare dettagli sulla rilevazione di anomalie utilizzando Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSistema audit di Linux<\/a><\/noindex> \u00e8 composto da due componenti principali. La prima \u00e8 una sorta di codice a livello di kernel, progettato per intercettare e monitorare le chiamate di sistema. Il secondo componente \u00e8 un demone che opera nello spazio utente, chiamato auditd<\/a><\/noindex>. Si occupa di registrare su disco i risultati dell'audit. GoAudit<\/a><\/noindex>, un sistema sviluppato da Slack<\/a><\/noindex> e rilasciato nel 2016, \u00e8 progettato per sostituire auditd. Ha migliorate capacit\u00e0 di logging grazie alla conversione dei messaggi di eventi multilinea generati dal sistema di audit di Linux in singoli oggetti JSON BLOB, rendendo pi\u00f9 semplice l'analisi. Con GoAudit, \u00e8 possibile accedere direttamente ai meccanismi a livello di kernel tramite la rete. Inoltre, \u00e8 possibile attivare una filtrazione minima degli eventi direttamente sull'host (o disattivare completamente la filtrazione). GoAudit \u00e8 un progetto pensato non solo per la sicurezza. Questo strumento \u00e8 concepito come un mezzo multifunzionale per gli specialisti che si occupano di supporto dei sistemi o sviluppo. Aiuta a risolvere problemi in infrastrutture su larga scala.<\/p>\n

Il sistema GoAudit \u00e8 scritto in Golang. Si tratta di un linguaggio di programmazione sicuro e ad alte prestazioni. Prima di installare GoAudit, assicurati che la versione di Golang in tuo possesso sia superiore alla 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProgetto Grapl<\/a><\/noindex> (Graph Analytics Platform) \u00e8 stato reso open source a marzo dello scorso anno. Questa \u00e8 una piattaforma relativamente nuova per rilevare problemi di sicurezza, condurre analisi forensi informatiche e generare report sugli incidenti. Gli aggressori spesso operano utilizzando qualcosa come un modello di grafo, ottenendo il controllo su un particolare sistema e indagando su altri sistemi di rete partendo da questo sistema. Pertanto, \u00e8 del tutto naturale che anche i difensori dei sistemi utilizzino un meccanismo basato su un modello di grafo delle connessioni dei sistemi di rete, tenendo conto delle caratteristiche delle relazioni tra i sistemi. Grapl mostra un tentativo di applicare misure per rilevare incidenti e rispondere a essi, basandosi su un modello di grafo anzich\u00e9 su un modello di log.<\/p>\n

Lo strumento Grapl prende i log relativi alla sicurezza (log Sysmon o log in formato JSON standard) e li converte in sottografi (definendo le \"informazioni identificative\" per ogni nodo). Successivamente, combina i sottografi in un grafo complessivo (Master Graph), che rappresenta le azioni effettuate negli ambienti analizzati. Grapl quindi esegue analizzatori (Analyzers) sul grafo ottenuto utilizzando le \"signature degli aggressori\" per rilevare anomalie e schemi sospetti. Quando l'analizzatore rileva un sottografo sospetto, Grapl genera un costrutto Engagement, destinato a condurre indagini. Engagement \u00e8 una classe Python che pu\u00f2 essere caricata, ad esempio, in Jupyter Notebook, distribuito nell'ambiente AWS. Inoltre, Grapl \u00e8 in grado di aumentare la scala della raccolta di informazioni per l'indagine sugli incidenti attraverso l'espansione del grafo.<\/p>\n

Se desideri approfondire Grapl, puoi guardare ClusterFirst<\/a><\/noindex> un video interessante \u2014 la registrazione di una presentazione di BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 questo progetto \u00e8 stato fondato nel 2004. Questo progetto, in generale, pu\u00f2 essere descritto come una piattaforma di monitoraggio della sicurezza open source, progettata per analizzare gli host e rilevare le intrusioni. Ogni anno, OSSEC viene scaricato pi\u00f9 di 500.000 volte. Questa piattaforma viene utilizzata principalmente come strumento di rilevamento delle intrusioni sui server. Inoltre, si tratta sia di sistemi locali che di sistemi cloud. OSSEC viene anche utilizzato frequentemente come strumento per l'analisi dei log di monitoraggio e l'analisi dei firewall, dei sistemi di rilevamento delle intrusioni, dei server web, nonch\u00e9 per studiare i log di autenticazione.<\/p>\n

OSSEC combina le capacit\u00e0 di un sistema di rilevamento delle intrusioni basato su host (HIDS, Host-Based Intrusion Detection System) con un sistema di gestione degli incidenti di sicurezza (SIM, Security Incident Management) e un sistema di gestione delle informazioni sulla sicurezza e degli eventi di sicurezza (SIEM, Security Information and Event Management). Inoltre, OSSEC \u00e8 in grado di eseguire il monitoraggio dell'integrit\u00e0 dei file in tempo reale. Ad esempio, il monitoraggio del registro di Windows, la rilevazione di rootkit. OSSEC pu\u00f2 avvisare le parti interessate sui problemi rilevati in tempo reale e aiuta a rispondere rapidamente alle minacce trovate. Questa piattaforma supporta Microsoft Windows e la maggior parte dei moderni sistemi Unix-like, inclusi Linux, FreeBSD, OpenBSD e Solaris.<\/p>\n

La piattaforma OSSEC consiste in un'entit\u00e0 centrale di gestione, un manager utilizzato per ricevere e monitorare le informazioni dagli agenti (piccole applicazioni installate nei sistemi da monitorare). Il manager viene installato su un sistema Linux, che memorizza un database utilizzato per verificare l'integrit\u00e0 dei file. Inoltre, memorizza log e registrazioni di eventi e dei risultati dell'audit dei sistemi.<\/p>\n

Il progetto OSSEC \u00e8 attualmente supportato dall'azienda Atomicorp. L'azienda gestisce la versione open source gratuita e, inoltre, offre una versione<\/a><\/noindex> commerciale avanzata del prodotto. Ecco<\/a><\/noindex> un podcast in cui il manager del progetto OSSEC parla dell'ultima versione del sistema \u2014 OSSEC 3.0. Si discute anche della storia del progetto e di come si differenzi dai moderni sistemi commerciali utilizzati nel campo della sicurezza informatica.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u00e8 un progetto open source orientato a risolvere le principali sfide della sicurezza informatica. In particolare, include un sistema di rilevamento delle intrusioni, un sistema di prevenzione delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete.<\/p>\n

Questo prodotto \u00e8 stato lanciato nel 2009. Il suo funzionamento si basa su regole. Cio\u00e8, chi lo utilizza ha la possibilit\u00e0 di descrivere alcune caratteristiche del traffico di rete. Se una regola viene attivata, Suricata genera una notifica, bloccando o interrompendo una connessione sospetta, che, ancora una volta, dipende dalle regole impostate. Inoltre, il progetto supporta il funzionamento in modalit\u00e0 multithread. Questo consente una rapida elaborazione di un grande numero di regole in reti che gestiscono volumi elevati di traffico. Grazie al supporto per la multithreading, un server comune \u00e8 in grado di analizzare con successo il traffico a velocit\u00e0 di 10 Gbps. In questo modo, l'amministratore non deve limitare il set di regole da utilizzare per l'analisi del traffico. Suricata supporta anche l'hashing e l'estrazione di file.<\/p>\n

Suricata pu\u00f2 essere configurato per funzionare su server comuni o su macchine virtuali, ad esempio in AWS, utilizzando la recente funzionalit\u00e0 presente nel prodotto traffic-monitoring<\/a><\/noindex>.<\/p>\n

Il progetto supporta script Lua, che consentono di creare logiche di analisi delle firme delle minacce complesse e dettagliate.<\/p>\n

Il progetto Suricata \u00e8 gestito dalla Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nCome Suricata, Zeek<\/a><\/noindex> (questo progetto era precedentemente noto come Bro ed \u00e8 stato rinominato Zeek durante l'evento BroCon 2018) \u00e8 anche un sistema di rilevamento delle intrusioni e uno strumento per il monitoraggio della sicurezza della rete, in grado di rilevare anomalie come comportamenti sospetti o pericolosi. Zeek si distingue dai tradizionali IDS poich\u00e9, a differenza dei sistemi basati su regole, che identificano le eccezioni, Zeek cattura anche i metadati associati con quanto sta accadendo in rete. Questo viene fatto per comprendere meglio il contesto di comportamenti di rete insoliti. Ad esempio, analizzando una chiamata HTTP o una procedura di scambio di certificati di sicurezza, \u00e8 possibile esaminare il protocollo, le intestazioni dei pacchetti e i nomi di dominio.<\/p>\n

Se consideriamo Zeek come uno strumento di sicurezza di rete, possiamo dire che offre agli specialisti la possibilit\u00e0 di condurre un'indagine sugli eventi, scoprendo cosa sia successo prima o durante l'incidente. Zeek, inoltre, converte i dati sul traffico di rete in eventi di alto livello e offre la possibilit\u00e0 di lavorare con un interprete di script. L'interprete supporta un linguaggio di programmazione utilizzato per organizza l'interazione con gli eventi e per capire cosa significano questi eventi in termini di sicurezza di rete. Il linguaggio di programmazione di Zeek pu\u00f2 essere utilizzato per personalizzare l'interpretazione dei metadati in base alle esigenze di una specifica organizzazione. Permette di costruire condizioni logiche complesse, utilizzando gli operatori AND, OR e NOT. Questo offre agli utenti la possibilit\u00e0 di personalizzare il processo di analisi dei loro ambienti. Tuttavia, \u00e8 importante notare che, rispetto a Suricata, Zeek pu\u00f2 sembrare uno strumento piuttosto complesso per la conduzione di threat intelligence.<\/p>\n

Se siete interessati a ulteriori dettagli su Zeek, contattate questo<\/a><\/noindex> video.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u00e8 una potente piattaforma inizialmente progettata per il lavoro nel cloud, dedicata all'organizzazione di un monitoraggio continuo della sicurezza. \u00c8 stata recentemente convertita in open source. All'origine del progetto c'\u00e8 l'architetto principale StreamAlert<\/a><\/noindex> \u00e8 una soluzione per l'analisi automatizzata dei log, il cui codice \u00e8 stato aperto da Airbnb. Panther fornisce all'utente un sistema unificato per la rilevazione centralizzata delle minacce in tutti gli ambienti e per l'organizzazione delle risposte a esse. Questo sistema \u00e8 in grado di crescere insieme alla dimensione dell'infrastruttura gestita. La rilevazione delle minacce \u00e8 organizzata mediante regole deterministiche trasparenti, create per ridurre il tasso di falsi positivi e diminuire il carico inutile sugli specialisti della sicurezza.<\/p>\n

Tra le principali funzionalit\u00e0 di Panther si possono evidenziare le seguenti:<\/p>\n