알아둘 가치가 있는 클라우드 시스템 보안 모니터링을 위한 7가지 오픈 소스 도구

클라우드 컴퓨팅의 광범위한 채택은 기업이 비즈니스를 확장하는 데 도움이 됩니다. 그러나 새로운 플랫폼의 사용은 새로운 위협의 출현을 의미하기도 합니다. 클라우드 서비스 보안 모니터링을 담당하는 조직 내에서 자체 팀을 유지하는 것은 쉬운 일이 아닙니다. 기존 모니터링 도구는 비용이 많이 들고 느립니다. 대규모 클라우드 인프라를 확보하다 보면 어느 정도 관리가 어렵습니다. 클라우드 보안을 높은 수준으로 유지하려면 기업에는 이전에 제공되었던 것 이상으로 강력하고 유연하며 직관적인 도구가 필요합니다. 오픈 소스 기술은 보안 예산을 절약하는 데 도움이 되며 자신의 비즈니스에 대해 많은 것을 알고 있는 전문가에 의해 개발되는 데 매우 유용합니다.

오늘 우리가 번역한 이 기사는 클라우드 시스템의 보안을 모니터링하기 위한 7가지 오픈 소스 도구에 대한 개요를 제공합니다. 이러한 도구는 이상 징후와 안전하지 않은 활동을 감지하여 해커와 사이버 범죄자로부터 보호하도록 설계되었습니다.

1. Osquery

타조 보안 전문가가 SQL을 사용하여 복잡한 데이터 마이닝을 수행할 수 있도록 하는 운영 체제에 대한 하위 수준 모니터링 및 분석을 위한 시스템입니다. Osquery 프레임워크는 Linux, macOS, Windows 및 FreeBSD에서 실행될 수 있습니다. 운영체제(OS)를 고성능 관계형 데이터베이스로 표현합니다. 이를 통해 보안 전문가는 SQL 쿼리를 실행하여 OS를 검사할 수 있습니다. 예를 들어 쿼리를 사용하면 실행 중인 프로세스, 로드된 커널 모듈, 열린 네트워크 연결, 설치된 브라우저 확장, 하드웨어 이벤트 및 파일 해시에 대해 확인할 수 있습니다.

Osquery 프레임워크는 Facebook에서 만들었습니다. 회사가 운영 체제의 하위 수준 메커니즘을 모니터링하는 도구가 자신에게만 필요한 것이 아니라는 사실을 깨달은 후 해당 코드는 2014년에 오픈 소스로 공개되었습니다. 그 이후로 Osquery는 Dactiv, Google, Kolide, Trail of Bits, Uptycs 등과 같은 회사의 전문가들이 사용해 왔습니다. 최근이었습니다 발표하다 Linux Foundation과 Facebook이 Osquery를 지원하기 위한 기금을 조성할 예정입니다.

osqueryd라고 하는 Osquery의 호스트 모니터링 데몬을 사용하면 조직의 인프라 전체에서 데이터를 수집하는 쿼리를 예약할 수 있습니다. 데몬은 쿼리 결과를 수집하고 인프라 상태의 변경 사항을 반영하는 로그를 생성합니다. 이는 보안 전문가가 시스템 상태를 파악하는 데 도움이 되며 특히 이상 현상을 식별하는 데 유용합니다. Osquery의 로그 집계 기능을 사용하면 알려진 악성 코드와 알려지지 않은 악성 코드를 찾을 수 있을 뿐만 아니라 공격자가 시스템에 침입한 위치를 식별하고 공격자가 설치한 프로그램을 찾는 데 도움이 될 수 있습니다. 여기에 Osquery를 사용한 이상 탐지에 대해 자세히 알아보세요.

2.고감사

체계 리눅스 감사 두 가지 주요 구성 요소로 구성됩니다. 첫 번째는 시스템 호출을 가로채고 모니터링하도록 설계된 일부 커널 수준 코드입니다. 두 번째 구성 요소는 사용자 공간 데몬입니다. 감사. 감사 결과를 디스크에 기록하는 역할을 담당합니다. GoAudit, 회사가 만든 시스템 느슨하게 auditd를 대체하기 위해 2016년에 출시되었습니다. 더 쉬운 분석을 위해 Linux 감사 시스템에서 생성된 여러 줄의 이벤트 메시지를 단일 JSON Blob으로 변환하여 로깅 기능이 향상되었습니다. GoAudit을 사용하면 네트워크를 통해 커널 수준 메커니즘에 직접 액세스할 수 있습니다. 또한 호스트 자체에서 최소 이벤트 필터링을 활성화하거나 필터링을 완전히 비활성화할 수 있습니다. 동시에 GoAudit은 보안을 보장하기 위해 설계된 프로젝트입니다. 이 도구는 시스템 지원 또는 개발 전문가를 위한 풍부한 기능의 도구로 설계되었습니다. 대규모 인프라의 문제를 해결하는 데 도움이 됩니다.

GoAudit 시스템은 Golang으로 작성되었습니다. 유형이 안전하고 고성능인 언어입니다. GoAudit을 설치하기 전에 Golang 버전이 1.7 이상인지 확인하세요.

3. 그래플

계획 그래플 (그래프 분석 플랫폼)은 지난해 XNUMX월 오픈소스 카테고리로 이전됐다. 보안 문제 감지, 컴퓨터 포렌식 수행, 사고 보고서 생성을 위한 비교적 새로운 플랫폼입니다. 공격자는 종종 그래프 모델과 같은 것을 사용하여 단일 시스템을 제어하고 해당 시스템에서 시작하는 다른 네트워크 시스템을 탐색합니다. 따라서 시스템 방어자가 시스템 간 관계의 특성을 고려하여 네트워크 시스템 연결 그래프 모델을 기반으로 하는 메커니즘을 사용하는 것도 당연합니다. Grapl은 로그 모델이 아닌 그래프 모델을 기반으로 사고 감지 및 대응 조치를 구현하려는 시도를 보여줍니다.

Grapl 도구는 보안 관련 로그(Sysmon 로그 또는 일반 JSON 형식의 로그)를 가져와 하위 그래프로 변환합니다(각 노드의 "ID" 정의). 그런 다음 하위 그래프를 분석된 환경에서 수행되는 작업을 나타내는 공통 그래프(마스터 그래프)로 결합합니다. 그런 다음 Grapl은 "공격자 서명"을 사용하여 결과 그래프에서 분석기를 실행하여 이상 및 의심스러운 패턴을 식별합니다. 분석기가 의심스러운 하위 그래프를 식별하면 Grapl은 조사를 위한 참여 구성을 생성합니다. 참여는 예를 들어 AWS 환경에 배포된 Jupyter 노트북에 로드할 수 있는 Python 클래스입니다. 또한 Grapl은 그래프 확장을 통해 사건 조사를 위한 정보 수집 규모를 늘릴 수 있습니다.

Grapl을 더 잘 이해하고 싶다면 다음을 살펴보세요. 그것 흥미로운 비디오 - BSides Las Vegas 2019의 공연 녹화.

4. OSSEC

OSSEC 2004년에 설립된 프로젝트이다. 이 프로젝트는 일반적으로 호스트 분석 및 침입 탐지를 위해 설계된 오픈 소스 보안 모니터링 플랫폼으로 특징지어질 수 있습니다. OSSEC는 연간 500000회 이상 다운로드됩니다. 이 플랫폼은 주로 서버에 대한 침입을 탐지하는 수단으로 사용됩니다. 또한 우리는 로컬 시스템과 클라우드 시스템에 대해 이야기하고 있습니다. OSSEC는 방화벽, 침입 탐지 시스템, 웹 서버의 모니터링 및 분석 로그를 검사하고 인증 로그를 연구하기 위한 도구로도 자주 사용됩니다.

OSSEC는 호스트 기반 침입 탐지 시스템(HIDS)의 기능과 보안 사고 관리(SIM) 및 보안 정보 및 이벤트 관리(SIEM) 시스템을 결합합니다. OSSEC는 파일 무결성을 실시간으로 모니터링할 수도 있습니다. 예를 들어, 이는 Windows 레지스트리를 모니터링하고 루트킷을 탐지합니다. OSSEC는 감지된 문제를 이해관계자에게 실시간으로 통보할 수 있으며, 감지된 위협에 신속하게 대응할 수 있도록 도와줍니다. 이 플랫폼은 Microsoft Windows와 Linux, FreeBSD, OpenBSD 및 Solaris를 포함한 대부분의 최신 Unix 계열 시스템을 지원합니다.

OSSEC 플랫폼은 에이전트(모니터링이 필요한 시스템에 설치된 작은 프로그램)로부터 정보를 수신하고 모니터링하는 데 사용되는 중앙 제어 개체인 관리자로 구성됩니다. 관리자는 파일 무결성을 확인하는 데 사용되는 데이터베이스를 저장하는 Linux 시스템에 설치됩니다. 또한 이벤트 및 시스템 감사 결과에 대한 로그와 기록을 저장합니다.

OSSEC 프로젝트는 현재 Atomicorp에서 지원됩니다. 회사는 무료 오픈 소스 버전을 감독하고 추가로 다음을 제공합니다. 퍼지는 제품의 상업용 버전. 여기에 OSSEC 프로젝트 관리자가 시스템의 최신 버전인 OSSEC 3.0에 대해 이야기하는 팟캐스트입니다. 또한 프로젝트의 역사와 컴퓨터 보안 분야에서 사용되는 현대 상용 시스템과의 차이점에 대해 설명합니다.

5. 미어캣

Suricata 컴퓨터 보안의 주요 문제를 해결하는 데 초점을 맞춘 오픈 소스 프로젝트입니다. 특히 침입탐지시스템, 침입방지시스템, 네트워크 보안 모니터링 도구 등이 포함된다.

2009년에 나온 제품입니다. 그의 작업은 규칙에 기반을 두고 있다. 즉, 이를 사용하는 사람은 네트워크 트래픽의 특정 기능을 설명할 기회가 있습니다. 규칙이 실행되면 Suricata는 지정된 규칙에 따라 의심스러운 연결을 차단하거나 종료하는 알림을 생성합니다. 이 프로젝트는 다중 스레드 작업도 지원합니다. 이를 통해 대량의 트래픽을 전달하는 네트워크에서 많은 수의 규칙을 신속하게 처리할 수 있습니다. 멀티스레딩 지원 덕분에 완전히 일반 서버라도 10Gbit/s의 속도로 이동하는 트래픽을 성공적으로 분석할 수 있습니다. 이 경우 관리자는 트래픽 분석에 사용되는 규칙 집합을 제한할 필요가 없습니다. Suricata는 해싱 및 파일 검색도 지원합니다.

Suricata는 최근 제품에 도입된 기능을 사용하여 일반 서버나 AWS와 같은 가상 머신에서 실행되도록 구성할 수 있습니다. 트래픽 모니터링.

이 프로젝트는 위협 서명 분석을 위한 복잡하고 상세한 논리를 생성하는 데 사용할 수 있는 Lua 스크립트를 지원합니다.

Suricata 프로젝트는 OISF(Open Information Security Foundation)에서 관리합니다.

6. 지크(형제)

수리카타처럼, Zeek (이 프로젝트는 이전에 Bro라고 불렸으며 BroCon 2018에서 Zeek으로 이름이 변경되었습니다.) 또한 의심스럽거나 위험한 활동과 같은 이상 현상을 감지할 수 있는 침입 탐지 시스템이자 네트워크 보안 모니터링 도구입니다. Zeek는 예외를 감지하는 규칙 기반 시스템과 달리 네트워크에서 일어나는 일과 관련된 메타데이터도 캡처한다는 점에서 기존 IDS와 다릅니다. 이는 비정상적인 네트워크 동작의 맥락을 더 잘 이해하기 위해 수행됩니다. 이를 통해 예를 들어 HTTP 호출이나 보안 인증서 교환 절차를 분석하여 프로토콜, 패킷 헤더, 도메인 이름을 확인할 수 있습니다.

Zeek을 네트워크 보안 도구로 간주하면 전문가가 사고 전이나 도중에 발생한 일을 학습하여 사고를 조사할 수 있는 기회를 제공한다고 말할 수 있습니다. Zeek는 또한 네트워크 트래픽 데이터를 상위 수준 이벤트로 변환하고 스크립트 해석기로 작업할 수 있는 기능을 제공합니다. 인터프리터는 이벤트와 상호 작용하고 해당 이벤트가 네트워크 보안 측면에서 정확히 무엇을 의미하는지 파악하는 데 사용되는 프로그래밍 언어를 지원합니다. Zeek 프로그래밍 언어를 사용하면 특정 조직의 요구 사항에 맞게 메타데이터를 해석하는 방법을 사용자 정의할 수 있습니다. AND, OR 및 NOT 연산자를 사용하여 복잡한 논리 조건을 구축할 수 있습니다. 이를 통해 사용자는 환경 분석 방법을 사용자 정의할 수 있습니다. 그러나 Suricata와 비교할 때 Zeek는 보안 위협 정찰을 수행할 때 다소 복잡한 도구처럼 보일 수 있습니다.

Zeek에 대해 더 자세히 알고 싶으시면 연락주세요. 이 비디오.

7. 팬더

표범 지속적인 보안 모니터링을 위한 강력한 기본 클라우드 기반 플랫폼입니다. 최근에는 오픈소스 카테고리로 옮겨졌습니다. 주요 건축가는 프로젝트의 근원에 있습니다. 스트림알림 — Airbnb에서 공개한 자동 로그 분석 솔루션입니다. Panther는 사용자에게 모든 환경에서 위협을 중앙에서 탐지하고 이에 대한 대응을 구성할 수 있는 단일 시스템을 제공합니다. 이 시스템은 제공되는 인프라의 규모에 따라 확장될 수 있습니다. 위협 탐지는 투명하고 결정적인 규칙을 기반으로 하여 보안 전문가의 오탐지와 불필요한 작업 부하를 줄입니다.

Panther의 주요 기능은 다음과 같습니다.

• 로그 분석을 통해 리소스에 대한 무단 접근을 탐지합니다.
• 보안 문제를 나타내는 지표에 대한 로그를 검색하여 위협 탐지를 구현합니다. 검색은 Panter의 표준화된 데이터 필드를 사용하여 수행됩니다.
• 다음을 사용하여 시스템이 SOC/PCI/HIPAA 표준을 준수하는지 확인합니다. 임베디드 팬더 메커니즘.
• 공격자가 악용할 경우 심각한 문제를 일으킬 수 있는 구성 오류를 자동으로 수정하여 클라우드 리소스를 보호하세요.

Panther는 AWS CloudFormation을 사용하여 조직의 AWS 클라우드에 배포됩니다. 이를 통해 사용자는 항상 자신의 데이터를 제어할 수 있습니다.

결과

요즘 시스템 보안 모니터링은 중요한 작업입니다. 이 문제를 해결하는 데 있어 모든 규모의 기업은 많은 기회를 제공하고 비용이 거의 들지 않거나 무료인 오픈 소스 도구를 통해 도움을 받을 수 있습니다.

독자 여러분! 어떤 보안 모니터링 도구를 사용하시나요?

출처 : habr.com