5가지 오픈 소스 보안 이벤트 관리 시스템

훌륭한 IT 보안 전문가는 일반 전문가와 어떻게 다릅니까? 아니요, 관리자 Igor가 어제 동료 Maria에게 보낸 메시지의 수를 언제든지 기억에서 언급할 수 있다는 사실은 아닙니다. 훌륭한 보안 전문가는 발생할 수 있는 위반 사항을 사전에 식별하고 실시간으로 포착하여 사건이 계속되지 않도록 최선을 다합니다. 보안 이벤트 관리 시스템(SIEM, 보안 정보 및 이벤트 관리)은 위반 시도를 신속하게 기록하고 차단하는 작업을 크게 단순화합니다.

전통적으로 SIEM 시스템은 정보 보안 관리 시스템과 보안 이벤트 관리 시스템을 결합합니다. 시스템의 중요한 기능은 보안 이벤트를 실시간으로 분석하여 기존 손상이 발생하기 전에 대응할 수 있다는 것입니다.

SIEM 시스템의 주요 작업:

• 데이터 수집 및 정규화
• 데이터 상관관계
• 알리다
• 시각화 패널
• 데이터 저장 구성
• 데이터 검색 및 분석
• 보고

SIEM 시스템에 대한 수요가 높은 이유

최근 정보 시스템에 대한 공격의 복잡성과 조정이 크게 증가했습니다. 동시에 네트워크 및 호스트 기반 침입 탐지 시스템, DLP 시스템, 바이러스 백신 시스템 및 방화벽, 취약성 스캐너 등 사용되는 정보 보안 도구의 복잡성도 더욱 복잡해지고 있습니다. 각 보안 도구는 다양한 수준의 세부 정보로 이벤트 스트림을 생성하며, 공격은 서로 다른 시스템의 이벤트가 겹치는 경우에만 볼 수 있는 경우가 많습니다.

모든 종류의 상용 SIEM 시스템에 대해 많이 있습니다. 쓰여있다그러나 우리는 사용자 수나 허용되는 저장 데이터의 양에 인위적인 제한이 없고 쉽게 확장 및 지원되는 무료, 본격적인 오픈 소스 SIEM 시스템에 대한 간략한 개요를 제공합니다. 우리는 이것이 그러한 시스템의 잠재력을 평가하고 그러한 솔루션이 회사의 비즈니스 프로세스에 통합될 가치가 있는지 결정하는 데 도움이 되기를 바랍니다.

AlienVault OSSIM

AlienVault OSSIM은 최고의 상용 SIEM 시스템 중 하나인 AlienVault USM의 오픈 소스 버전입니다. OSSIM은 Snort 네트워크 침입 탐지 시스템, Nagios 네트워크 및 호스트 모니터링 시스템, OSSEC 호스트 기반 침입 탐지 시스템, OpenVAS 취약성 스캐너를 포함한 여러 오픈 소스 프로젝트로 구성된 프레임워크입니다.

장치를 모니터링하기 위해 syslog 형식의 호스트 로그를 GELF 플랫폼으로 보내는 AlienVault 에이전트가 사용되거나 Cloudflare 웹 사이트 역방향 프록시 서비스 또는 Okta 멀티와 같은 타사 서비스와의 통합을 위해 플러그인을 사용할 수 있습니다. -요소 인증 시스템.

USM 버전은 로그 관리, 클라우드 인프라 모니터링, 자동화, 업데이트된 위협 정보 및 시각화를 위한 향상된 기능을 갖춘 OSSIM과 다릅니다.

장점

• 입증된 오픈 소스 프로젝트를 기반으로 구축되었습니다.
• 사용자와 개발자로 구성된 대규모 커뮤니티.

제한

• 클라우드 플랫폼(예: AWS 또는 Azure) 모니터링을 지원하지 않습니다.
• 로그 관리, 시각화, 자동화 또는 타사 서비스와의 통합이 없습니다.

출처

MozDef (Mozilla 방어 플랫폼)

Mozilla가 개발한 MozDef SIEM 시스템은 보안 사고 처리 프로세스를 자동화하는 데 사용됩니다. 시스템은 처음부터 마이크로서비스 아키텍처를 통해 최대 성능, 확장성 및 내결함성을 달성하도록 설계되었습니다. 각 서비스는 Docker 컨테이너에서 실행됩니다.

OSSIM과 마찬가지로 MozDef는 Elasticsearch 로그 인덱싱 및 검색 모듈, 유연한 웹 인터페이스 구축을 위한 Meteor 플랫폼, 시각화 및 플로팅을 위한 Kibana 플러그인을 포함하여 오랜 시간 테스트된 오픈 소스 프로젝트를 기반으로 구축되었습니다.

이벤트 상관 관계 및 경고는 Elasticsearch 쿼리를 사용하여 수행되며, 이를 통해 Python을 사용하여 고유한 이벤트 처리 및 경고 규칙을 작성할 수 있습니다. Mozilla에 따르면 MozDef는 하루에 300억 개가 넘는 이벤트를 처리할 수 있습니다. MozDef는 JSON 형식의 이벤트만 허용하지만 타사 서비스와 통합되어 있습니다.

장점

• 에이전트를 사용하지 않습니다. 표준 JSON 로그와 함께 작동합니다.
• 마이크로서비스 아키텍처 덕분에 쉽게 확장됩니다.
• AWS CloudTrail 및 GuardDuty를 포함한 클라우드 서비스 데이터 소스를 지원합니다.

제한

• 새롭고 덜 확립된 시스템.

출처

와우

Wazuh는 가장 인기 있는 오픈 소스 SIEM 중 하나인 OSSEC의 포크로 개발을 시작했습니다. 이제 새로운 기능, 버그 수정, 최적화된 아키텍처를 갖춘 고유한 솔루션이 되었습니다.

이 시스템은 ElasticStack 스택(Elasticsearch, Logstash, Kibana)을 기반으로 구축되었으며 에이전트 기반 데이터 수집과 시스템 로그 수집을 모두 지원합니다. 이는 로그를 생성하지만 에이전트 설치를 지원하지 않는 장치(네트워크 장치, 프린터 및 주변 장치)를 모니터링하는 데 효과적입니다.

Wazuh는 기존 OSSEC 에이전트를 지원하며 OSSEC에서 Wazuh로 마이그레이션하는 방법에 대한 지침도 제공합니다. OSSEC는 여전히 적극적으로 지원되지만 Wazuh는 새로운 웹 인터페이스, REST API, 보다 완전한 규칙 세트 및 기타 여러 개선 사항의 추가로 인해 OSSEC의 연속으로 간주됩니다.

장점

• 널리 사용되는 SIEM OSSEC를 기반으로 하며 호환됩니다.
• 다양한 설치 옵션 지원: Docker, Puppet, Chef, Ansible;
• AWS 및 Azure를 포함한 클라우드 서비스 모니터링을 지원합니다.
• 여러 유형의 공격을 탐지하는 포괄적인 규칙 세트가 포함되어 있으며 이를 PCI DSS v3.1 및 CIS에 따라 비교할 수 있습니다.
• 이벤트 시각화 및 API 지원을 위해 Splunk 로그 저장 및 분석 시스템과 통합됩니다.

제한

• 복잡한 아키텍처 - Wazuh 백엔드 구성 요소 외에도 전체 Elastic Stack 배포가 필요합니다.

출처

프렐류드 OS

Prelude OSS는 프랑스 회사인 CS가 개발한 상용 Prelude SIEM의 오픈 소스 버전입니다. 이 솔루션은 다양한 로그 형식을 지원하고 OSSEC, Snort 및 Suricata 네트워크 감지 시스템과 같은 타사 도구와의 통합을 지원하는 유연한 모듈식 SIEM 시스템입니다.

각 이벤트는 다른 시스템과의 데이터 교환을 단순화하는 IDMEF 형식을 사용하여 메시지로 정규화됩니다. 그러나 문제가 있습니다. Prelude OSS는 Prelude SIEM의 상용 버전에 비해 성능과 기능이 매우 제한되어 있으며 소규모 프로젝트나 SIEM 솔루션 연구 및 Prelude SIEM 평가에 더 적합합니다.

장점

• 1998년부터 개발되어 오랜 시간 테스트를 거친 시스템입니다.
• 다양한 로그 형식을 지원합니다.
• 데이터를 IMDEF 형식으로 정규화하여 데이터를 다른 보안 시스템으로 쉽게 전송할 수 있습니다.

제한

• 다른 오픈 소스 SIEM 시스템에 비해 기능과 성능이 크게 제한됩니다.

출처

세이건

Sagan은 Snort와의 호환성을 강조한 고성능 SIEM입니다. Snort용으로 작성된 규칙을 지원하는 것 외에도 Sagan은 Snort 데이터베이스에 쓸 수 있으며 Shuil 인터페이스와 함께 사용할 수도 있습니다. 본질적으로 이는 Snort 사용자에게 친숙하면서도 새로운 기능을 제공하는 경량 멀티 스레드 솔루션입니다.

장점

• Snort 데이터베이스, 규칙 및 사용자 인터페이스와 완벽하게 호환됩니다.
• 멀티스레드 아키텍처는 고성능을 제공합니다.

제한

• 소규모 커뮤니티를 갖춘 비교적 젊은 프로젝트입니다.
• 소스에서 전체 SIEM을 구축하는 복잡한 설치 프로세스입니다.

출처

결론

설명된 각 SIEM 시스템에는 고유한 특성과 한계가 있으므로 모든 조직에 대한 보편적인 솔루션이라고 할 수는 없습니다. 그러나 이러한 솔루션은 오픈 소스이므로 과도한 비용을 들이지 않고도 배포, 테스트 및 평가할 수 있습니다.

블로그에서 또 어떤 흥미로운 내용을 읽을 수 있나요? 클라우드4Y

→ 전체 행성의 VNIITE: 소련에서 "스마트 홈" 시스템이 발명된 방법
→ 신경 인터페이스가 인류를 돕는 방법
→ 러시아 시장의 사이버 보험
→ 빛, 카메라... 클라우드: 클라우드가 영화 산업을 어떻게 변화시키고 있습니까?
→ 구름 속의 축구 - 패션인가 필수품인가?

우리의 구독 텔레그램-다음 기사를 놓치지 않도록 채널을 구독하세요! 우리는 일주일에 두 번 이상 사업에 대해서만 글을 씁니다.

출처 : habr.com