7 כלים בקוד פתוח לניטור אבטחת מערכות ענן שכדאי להכיר

האימוץ הנרחב של מחשוב ענן עוזר לחברות להרחיב את עסקיהן. אבל השימוש בפלטפורמות חדשות פירושו גם הופעת איומים חדשים. שמירה על צוות משלך בתוך ארגון האחראי על ניטור אבטחת שירותי הענן אינה משימה קלה. כלי הניטור הקיימים יקרים ואיטיים. הם, במידה מסוימת, קשים לניהול כשמדובר באבטחת תשתית ענן בקנה מידה גדול. כדי לשמור על אבטחת הענן שלהם ברמה גבוהה, חברות זקוקות לכלים חזקים, גמישים ואינטואיטיביים שחורגים ממה שהיה זמין בעבר. זה המקום שבו טכנולוגיות קוד פתוח מועילות מאוד, עוזרות לחסוך בתקציבי אבטחה ויוצרות על ידי מומחים שיודעים הרבה על העסק שלהם.

המאמר, שאת תרגומו אנו מפרסמים היום, מספק סקירה של 7 כלים בקוד פתוח לניטור אבטחת מערכות ענן. כלים אלה נועדו להגן מפני האקרים ופושעי סייבר על ידי זיהוי חריגות ופעילויות לא בטוחות.

1. Osquery

אוסקיורי היא מערכת לניטור וניתוח ברמה נמוכה של מערכות הפעלה המאפשרת לאנשי אבטחה לבצע כריית נתונים מורכבים באמצעות SQL. מסגרת Osquery יכולה לפעול על לינוקס, macOS, Windows ו- FreeBSD. הוא מייצג את מערכת ההפעלה (OS) כמסד נתונים יחסיים בעל ביצועים גבוהים. זה מאפשר למומחי אבטחה לבחון את מערכת ההפעלה על ידי הפעלת שאילתות SQL. לדוגמה, באמצעות שאילתה, אתה יכול לגלות על תהליכים הרצים, מודולי ליבה טעונים, חיבורי רשת פתוחים, הרחבות דפדפן מותקנות, אירועי חומרה ו-hash של קבצים.

מסגרת Osquery נוצרה על ידי פייסבוק. הקוד שלה היה בקוד פתוח ב-2014, לאחר שהחברה הבינה שלא רק היא צריכה כלים לניטור מנגנוני הרמה הנמוכים של מערכות ההפעלה. מאז, Osquery משמש מומחים מחברות כמו Dactiv, Google, Kolide, Trail of Bits, Uptycs ועוד רבים אחרים. זה היה לאחרונה הודיע שקרן לינוקס ופייסבוק הולכות להקים קרן לתמיכה ב-Osquery.

דמון הניטור המארח של Osquery, הנקרא osqueryd, מאפשר לך לתזמן שאילתות שאוספות נתונים מכל התשתית של הארגון שלך. הדמון אוסף תוצאות שאילתות ויוצר יומנים המשקפים שינויים במצב התשתית. זה יכול לעזור לאנשי מקצוע בתחום האבטחה להישאר מעודכנים בסטטוס המערכת והוא שימושי במיוחד לזיהוי חריגות. ניתן להשתמש ביכולות צבירת היומנים של Osquery כדי לעזור לך למצוא תוכנות זדוניות ידועות ולא ידועות, כמו גם לזהות היכן נכנסו תוקפים למערכת שלך ולמצוא אילו תוכניות הם התקינו. כאן קרא עוד על זיהוי אנומליות באמצעות Osquery.

2.GoAudit

מערכת ביקורת לינוקס מורכב משני מרכיבים עיקריים. הראשון הוא קוד ברמת ליבה שנועד ליירט ולנטר שיחות מערכת. הרכיב השני הוא דמון מרחב משתמש הנקרא מבוקר. הוא אחראי לכתיבת תוצאות ביקורת לדיסק. GoAudit, מערכת שנוצרה על ידי החברה רפוי ופורסם בשנת 2016, נועד להחליף מבוקר. הוא שיפר את יכולות הרישום על ידי המרת הודעות אירועים מרובות שורות שנוצרו על ידי מערכת הביקורת של לינוקס לקוביות JSON בודדות לניתוח קל יותר. עם GoAudit, אתה יכול לגשת ישירות למנגנונים ברמת הקרנל דרך הרשת. בנוסף, ניתן להפעיל סינון אירועים מינימלי על המארח עצמו (או להשבית לחלוטין את הסינון). יחד עם זאת, GoAudit הוא פרויקט שנועד לא רק להבטיח אבטחה. כלי זה תוכנן ככלי עשיר בתכונות עבור אנשי מקצוע בתמיכה במערכות או בפיתוח. זה עוזר להילחם בבעיות בתשתיות בקנה מידה גדול.

מערכת GoAudit כתובה בגולנג. זוהי שפה בטוחה בדפוס ובעלת ביצועים גבוהים. לפני התקנת GoAudit, בדוק שהגרסה שלך של Golang גבוהה מ-1.7.

3. גרפל

פרויקט גרפל (Graph Analytics Platform) הועברה לקטגוריית הקוד הפתוח במרץ אשתקד. זוהי פלטפורמה חדשה יחסית לאיתור בעיות אבטחה, ביצוע זיהוי פלילי ממוחשב והפקת דוחות תקריות. תוקפים עובדים לעתים קרובות באמצעות משהו כמו מודל גרף, משיגים שליטה על מערכת בודדת וחוקרים מערכות רשת אחרות החל ממערכת זו. לכן, זה די טבעי שמגני מערכות ישתמשו גם במנגנון המבוסס על מודל של גרף חיבורים של מערכות רשת, תוך התחשבות במוזרויות היחסים בין המערכות. Grapl מדגים ניסיון ליישם אמצעי זיהוי ותגובה של אירועים המבוססים על מודל גרף ולא על מודל יומן.

הכלי Grapl לוקח יומנים הקשורים לאבטחה (יומנים של Sysmon או יומנים בפורמט JSON רגיל) וממיר אותם לתת-גרפים (מגדיר "זהות" לכל צומת). לאחר מכן, הוא משלב את התתי-גרפים לגרף משותף (Master Graph), המייצג את הפעולות שבוצעו בסביבות המנותחות. לאחר מכן, Grapl מריץ מנתחים על הגרף המתקבל באמצעות "חתימות תוקף" כדי לזהות חריגות ודפוסים חשודים. כאשר המנתח מזהה תת-גרף חשוד, Grapl יוצר מבנה Engagement המיועד לחקירות. Engagement היא מחלקה של Python שניתן לטעון, למשל, לתוך Jupyter Notebook הפרוסה בסביבת AWS. Grapl, בנוסף, יכול להגדיל את היקף איסוף המידע לחקירת תקריות באמצעות הרחבת גרפים.

אם אתה רוצה להבין טוב יותר את Grapl, אתה יכול להסתכל זה סרטון מעניין - הקלטת הופעה מ-BSides Las Vegas 2019.

4. OSSEC

OSSEC הוא פרויקט שנוסד בשנת 2004. פרויקט זה, באופן כללי, יכול להיות מאופיין כפלטפורמת ניטור אבטחה בקוד פתוח המיועדת לניתוח מארח וזיהוי פריצות. OSSEC מורידים יותר מ-500000 פעמים בשנה. פלטפורמה זו משמשת בעיקר כאמצעי לזיהוי פריצות לשרתים. יתר על כן, אנחנו מדברים על מערכות מקומיות ומערכות ענן כאחד. OSSEC משמש לעתים קרובות גם ככלי לבחינת יומני ניטור וניתוח של חומות אש, מערכות זיהוי פריצות, שרתי אינטרנט, וגם ללימוד יומני אימות.

OSSEC משלב את היכולות של מערכת זיהוי פריצה מבוססת מארח (HIDS) עם מערכת ניהול אירועי אבטחה (SIM) ומערכת ניהול מידע ואירועים אבטחה (SIEM). OSSEC יכול גם לנטר את שלמות הקבצים בזמן אמת. זה, למשל, מנטר את הרישום של Windows ומזהה ערכות שורש. OSSEC מסוגלת להודיע ​​לבעלי עניין על בעיות שזוהו בזמן אמת ומסייעת להגיב במהירות לאיומים שזוהו. פלטפורמה זו תומכת ב-Microsoft Windows וברוב המערכות המודרניות דמויות Unix, כולל לינוקס, FreeBSD, OpenBSD ו-Solaris.

פלטפורמת OSSEC מורכבת מיישות בקרה מרכזית, מנהל, המשמשת לקליטת מידע מסוכנים ולניטור (תוכנות קטנות המותקנות במערכות שיש לנטר אותן). המנהל מותקן על מערכת לינוקס, המאחסנת מסד נתונים המשמש לבדיקת תקינות הקבצים. זה גם מאחסן יומנים ורשומות של אירועים ותוצאות ביקורת מערכת.

פרויקט OSSEC נתמך כעת על ידי Atomicorp. החברה מפקחת על גרסת קוד פתוח חינמית, ובנוסף, מציעה מורחב גרסה מסחרית של המוצר. כאן פודקאסט בו מנהל הפרויקט של OSSEC מדבר על הגרסה העדכנית ביותר של המערכת - OSSEC 3.0. הוא גם מדבר על ההיסטוריה של הפרויקט, וכיצד הוא שונה ממערכות מסחריות מודרניות המשמשות בתחום אבטחת המחשבים.

5. סוריקטה

סורי הוא פרויקט קוד פתוח המתמקד בפתרון הבעיות העיקריות של אבטחת מחשבים. בפרט, הוא כולל מערכת לזיהוי פריצות, מערכת למניעת פריצות וכלי ניטור אבטחת רשת.

מוצר זה הופיע בשנת 2009. עבודתו מבוססת על כללים. כלומר, למי שמשתמש בו יש הזדמנות לתאר תכונות מסוימות של תעבורת רשת. אם הכלל מופעל, Suricata מייצרת התראה, חוסמת או מפסיקה את החיבור החשוד, אשר, שוב, תלויה בכללים שצוינו. הפרויקט תומך גם בפעולה מרובת חוטים. זה מאפשר לעבד במהירות מספר רב של כללים ברשתות הנושאות כמויות גדולות של תעבורה. הודות לתמיכה בריבוי השחלות, שרת רגיל לחלוטין מסוגל לנתח בהצלחה תעבורה שנוסעת במהירות של 10 Gbit/s. במקרה זה, המנהל אינו חייב להגביל את קבוצת הכללים המשמשים לניתוח תעבורה. Suricata תומך גם ב-hashing ואחזור קבצים.

ניתן להגדיר את Suricata לפעול בשרתים רגילים או במכונות וירטואליות, כגון AWS, באמצעות תכונה שהוצגה לאחרונה במוצר ניטור תנועה.

הפרויקט תומך בסקריפטים של Lua, אשר ניתן להשתמש בהם ליצירת היגיון מורכב ומפורט לניתוח חתימות איומים.

פרויקט Suricata מנוהל על ידי הקרן לאבטחת מידע פתוחה (OISF).

6. זאק (אחי)

כמו סוריקטה, Zeek (הפרויקט הזה נקרא בעבר Bro ושמו שונה ל-Zeek ב-BroCon 2018) הוא גם מערכת לזיהוי פריצות וכלי ניטור אבטחת רשת שיכולים לזהות חריגות כמו פעילות חשודה או מסוכנת. Zeek שונה מ-IDS מסורתי בכך שבניגוד למערכות מבוססות כללים שמזהות חריגים, Zeek גם לוכדת מטא נתונים הקשורים למה שקורה ברשת. זה נעשה על מנת להבין טוב יותר את ההקשר של התנהגות רשת חריגה. זה מאפשר, למשל, על ידי ניתוח שיחת HTTP או הליך החלפת תעודות אבטחה, להסתכל על הפרוטוקול, על כותרות המנות, על שמות הדומיין.

אם ניקח בחשבון את Zeek ככלי אבטחת רשת, אז נוכל לומר שהוא נותן למומחה את ההזדמנות לחקור אירוע על ידי למידה על מה שקרה לפני או במהלכה. Zeek גם ממירה נתוני תעבורה ברשת לאירועים ברמה גבוהה ומספקת את היכולת לעבוד עם מתורגמן סקריפטים. המתורגמן תומך בשפת תכנות המשמשת לאינטראקציה עם אירועים וכדי להבין מה בדיוק המשמעות של אירועים אלה מבחינת אבטחת הרשת. ניתן להשתמש בשפת התכנות Zeek כדי להתאים אישית את אופן הפירוש של מטא נתונים כך שיתאים לצרכים של ארגון ספציפי. זה מאפשר לך לבנות תנאים לוגיים מורכבים באמצעות האופרטורים AND, OR ו- NOT. זה נותן למשתמשים את היכולת להתאים אישית את אופן ניתוח הסביבות שלהם. עם זאת, יש לציין שבהשוואה לסוריקטה, Zeek עשוי להיראות ככלי מורכב למדי בעת ביצוע סיור איומים ביטחוניים.

אם אתם מעוניינים בפרטים נוספים על Zeek, אנא צרו קשר זה וידאו.

7. פנתר

פַּנתֵר היא פלטפורמה חזקה, מקורית בענן לניטור אבטחה רציף. זה הועבר לאחרונה לקטגוריית הקוד הפתוח. האדריכל הראשי נמצא במקורות הפרויקט StreamAlert - פתרונות לניתוח יומן אוטומטי, שקודם נפתח על ידי Airbnb. Panther נותנת למשתמש מערכת אחת לזיהוי מרכזי של איומים בכל הסביבות וארגון תגובה אליהם. מערכת זו מסוגלת לגדול יחד עם גודל התשתית המשרתת. זיהוי איומים מבוסס על כללים שקופים ודטרמיניסטיים כדי להפחית תוצאות חיוביות שגויות ועומס עבודה מיותר עבור אנשי אבטחה.

בין המאפיינים העיקריים של פנתר הם הבאים:

• איתור גישה לא מורשית למשאבים על ידי ניתוח יומנים.
• זיהוי איומים, מיושם על ידי חיפוש ביומנים של אינדיקטורים המציינים בעיות אבטחה. החיפוש מתבצע באמצעות שדות הנתונים הסטנדרטיים של Panter.
• בדיקת המערכת לעמידה בתקני SOC/PCI/HIPAA באמצעות משובץ מנגנוני פנתר.
• הגן על משאבי הענן שלך על ידי תיקון אוטומטי של שגיאות תצורה שעלולות לגרום לבעיות חמורות אם תוקפים ניצלו אותן.

Panther נפרס על ענן AWS של ארגון באמצעות AWS CloudFormation. זה מאפשר למשתמש להיות תמיד בשליטה על הנתונים שלו.

תוצאות של

ניטור אבטחת המערכת היא משימה קריטית בימינו. בפתרון בעיה זו, חברות בכל סדר גודל יכולות להיעזר בכלי קוד פתוח המספקים הזדמנויות רבות וכמעט לא עולים או חינמיים.

קוראים יקרים! באילו כלי ניטור אבטחה אתה משתמש?

מקור: www.habr.com