7 ເຄື່ອງມືແຫຼ່ງເປີດສໍາລັບການກວດສອບຄວາມປອດໄພຂອງລະບົບຟັງທີ່ມີມູນຄ່າຮູ້ກ່ຽວກັບ

ການຮັບຮອງເອົາຢ່າງກວ້າງຂວາງຂອງຄອມພິວເຕີ້ຟັງຊ່ວຍໃຫ້ບໍລິສັດຂະຫຍາຍທຸລະກິດຂອງພວກເຂົາ. ແຕ່ການນໍາໃຊ້ເວທີໃຫມ່ກໍ່ຫມາຍເຖິງການເກີດໄພຂົ່ມຂູ່ໃຫມ່. ການຮັກສາທີມງານຂອງທ່ານເອງພາຍໃນອົງການທີ່ຮັບຜິດຊອບໃນການຕິດຕາມຄວາມປອດໄພຂອງການບໍລິການຄລາວບໍ່ແມ່ນວຽກທີ່ງ່າຍ. ເຄື່ອງມືຕິດຕາມກວດກາທີ່ມີຢູ່ແມ່ນລາຄາແພງແລະຊ້າ. ພວກເຂົາເຈົ້າແມ່ນ, ໃນລະດັບໃດຫນຶ່ງ, ມີຄວາມຫຍຸ້ງຍາກໃນການຄຸ້ມຄອງໃນເວລາທີ່ມັນມາກັບການຮັບປະກັນໂຄງສ້າງພື້ນຖານເມຄຂະຫນາດໃຫຍ່. ເພື່ອຮັກສາຄວາມປອດໄພຄລາວຂອງພວກເຂົາຢູ່ໃນລະດັບສູງ, ບໍລິສັດຕ້ອງການເຄື່ອງມືທີ່ມີປະສິດທິພາບ, ປ່ຽນແປງໄດ້, ແລະ intuitive ທີ່ເກີນກວ່າສິ່ງທີ່ມີໃນເມື່ອກ່ອນ. ນີ້ແມ່ນບ່ອນທີ່ເຕັກໂນໂລຢີ open source ມີປະໂຫຍດຫຼາຍ, ຊ່ວຍປະຫຍັດງົບປະມານຄວາມປອດໄພແລະຖືກສ້າງຂື້ນໂດຍຜູ້ຊ່ຽວຊານທີ່ຮູ້ຫຼາຍກ່ຽວກັບທຸລະກິດຂອງພວກເຂົາ.

ບົດຄວາມ, ການແປທີ່ພວກເຮົາກໍາລັງເຜີຍແຜ່ໃນມື້ນີ້, ສະເຫນີພາບລວມຂອງ 7 ເຄື່ອງມືແຫຼ່ງເປີດສໍາລັບການກວດສອບຄວາມປອດໄພຂອງລະບົບຟັງ. ເຄື່ອງ​ມື​ເຫຼົ່າ​ນີ້​ຖືກ​ອອກ​ແບບ​ເພື່ອ​ປ້ອງ​ກັນ​ແຮກ​ເກີ​ແລະ​ອາ​ຊະ​ຍາ​ກໍາ​ທາງ​ອິນ​ເຕີ​ເນັດ​ໂດຍ​ການ​ກວດ​ສອບ​ຄວາມ​ຜິດ​ປົກ​ກະ​ຕິ​ແລະ​ກິດ​ຈະ​ກໍາ​ທີ່​ບໍ່​ປອດ​ໄພ​.

1. Osquery

Osquery ເປັນລະບົບສໍາລັບການກວດສອບລະດັບຕ່ໍາແລະການວິເຄາະຂອງລະບົບປະຕິບັດການທີ່ອະນຸຍາດໃຫ້ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພດໍາເນີນການຂຸດຄົ້ນຂໍ້ມູນສະລັບສັບຊ້ອນໂດຍໃຊ້ SQL. ກອບ Osquery ສາມາດແລ່ນໃນ Linux, macOS, Windows ແລະ FreeBSD. ມັນເປັນຕົວແທນຂອງລະບົບປະຕິບັດການ (OS) ເປັນຖານຂໍ້ມູນຄວາມສໍາພັນທີ່ມີປະສິດທິພາບສູງ. ນີ້ອະນຸຍາດໃຫ້ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພກວດສອບ OS ໂດຍການດໍາເນີນການສອບຖາມ SQL. ຕົວຢ່າງເຊັ່ນ, ການນໍາໃຊ້ແບບສອບຖາມ, ທ່ານສາມາດຊອກຫາຂະບວນການແລ່ນ, ໂມດູນແກ່ນທີ່ໂຫລດ, ການເຊື່ອມຕໍ່ເຄືອຂ່າຍເປີດ, ການຂະຫຍາຍຕົວທ່ອງເວັບທີ່ຕິດຕັ້ງ, ເຫດການຮາດແວ, ແລະໄຟລ໌ hashes.

ກອບ Osquery ຖືກສ້າງຂື້ນໂດຍ Facebook. ລະຫັດຂອງມັນແມ່ນແຫຼ່ງເປີດໃນປີ 2014, ຫຼັງຈາກທີ່ບໍລິສັດໄດ້ຮັບຮູ້ວ່າມັນບໍ່ພຽງແຕ່ຕົວມັນເອງທີ່ຕ້ອງການເຄື່ອງມືໃນການກວດສອບກົນໄກລະດັບຕ່ໍາຂອງລະບົບປະຕິບັດການ. ນັບຕັ້ງແຕ່ນັ້ນມາ, Osquery ໄດ້ຖືກນໍາໃຊ້ໂດຍຜູ້ຊ່ຽວຊານຈາກບໍລິສັດເຊັ່ນ Dactiv, Google, Kolide, Trail of Bits, Uptycs, ແລະອື່ນໆຈໍານວນຫຼາຍ. ມັນແມ່ນບໍ່ດົນມານີ້ ປະ​ກາດ ວ່າມູນນິທິ Linux ແລະ Facebook ກໍາລັງຈະສ້າງກອງທຶນເພື່ອສະຫນັບສະຫນູນ Osquery.

daemon ຕິດຕາມກວດກາໂຮດຂອງ Osquery, ເອີ້ນວ່າ osqueryd, ອະນຸຍາດໃຫ້ທ່ານຈັດຕາຕະລາງການສອບຖາມທີ່ເກັບກໍາຂໍ້ມູນຈາກທົ່ວໂຄງສ້າງພື້ນຖານຂອງອົງການຈັດຕັ້ງຂອງທ່ານ. daemon ເກັບກໍາຜົນການສອບຖາມແລະສ້າງບັນທຶກທີ່ສະທ້ອນເຖິງການປ່ຽນແປງໃນສະຖານະຂອງໂຄງສ້າງພື້ນຖານ. ນີ້ສາມາດຊ່ວຍໃຫ້ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພຢູ່ຕາມສະຖານະການຂອງລະບົບແລະເປັນປະໂຫຍດໂດຍສະເພາະສໍາລັບການກໍານົດຄວາມຜິດປົກກະຕິ. ຄວາມສາມາດໃນການລວບລວມຂໍ້ມູນຂອງ Osquery ສາມາດຖືກນໍາໃຊ້ເພື່ອຊ່ວຍໃຫ້ທ່ານຊອກຫາ malware ທີ່ຮູ້ຈັກແລະບໍ່ຮູ້ຈັກ, ເຊັ່ນດຽວກັນກັບການກໍານົດບ່ອນທີ່ຜູ້ໂຈມຕີໄດ້ເຂົ້າໄປໃນລະບົບຂອງທ່ານແລະຊອກຫາສິ່ງທີ່ພວກເຂົາຕິດຕັ້ງ. ທີ່ນີ້ ອ່ານເພີ່ມເຕີມກ່ຽວກັບການກວດຫາຄວາມຜິດປົກກະຕິໂດຍໃຊ້ Osquery.

2.GoAudit

ລະບົບ ການກວດສອບ Linux ປະກອບດ້ວຍສອງອົງປະກອບຕົ້ນຕໍ. ທໍາອິດແມ່ນບາງລະຫັດລະດັບ kernel ທີ່ຖືກອອກແບບເພື່ອສະກັດແລະຕິດຕາມກວດກາການໂທລະບົບ. ອົງປະກອບທີສອງແມ່ນ daemon ຊ່ອງຜູ້ໃຊ້ເອີ້ນວ່າ ການກວດສອບ. ມັນຮັບຜິດຊອບສໍາລັບການຂຽນຜົນການກວດສອບໃນແຜ່ນ. GoAudit, ລະບົບທີ່ສ້າງຂຶ້ນໂດຍບໍລິສັດ slack ແລະປ່ອຍອອກມາໃນປີ 2016, ມີຈຸດປະສົງເພື່ອທົດແທນການກວດສອບ. ມັນໄດ້ປັບປຸງຄວາມສາມາດໃນການບັນທຶກໂດຍການປ່ຽນຂໍ້ຄວາມເຫດການຫຼາຍແຖວທີ່ສ້າງຂຶ້ນໂດຍລະບົບການກວດສອບ Linux ເຂົ້າໄປໃນ JSON blobs ດຽວເພື່ອການວິເຄາະທີ່ງ່າຍຂຶ້ນ. ດ້ວຍ GoAudit, ທ່ານສາມາດເຂົ້າເຖິງກົນໄກລະດັບ kernel ໂດຍກົງຜ່ານເຄືອຂ່າຍ. ນອກຈາກນັ້ນ, ທ່ານສາມາດເປີດໃຊ້ການກັ່ນຕອງເຫດການຫນ້ອຍທີ່ສຸດຢູ່ໃນເຈົ້າພາບຂອງມັນເອງ (ຫຼືປິດການກັ່ນຕອງຢ່າງສົມບູນ). ໃນເວລາດຽວກັນ, GoAudit ແມ່ນໂຄງການທີ່ຖືກອອກແບບມາບໍ່ພຽງແຕ່ເພື່ອຮັບປະກັນຄວາມປອດໄພ. ເຄື່ອງ​ມື​ນີ້​ໄດ້​ຖືກ​ອອກ​ແບບ​ເປັນ​ເຄື່ອງ​ມື​ທີ່​ອຸ​ດົມ​ສົມ​ບູນ​ສໍາ​ລັບ​ການ​ສະ​ຫນັບ​ສະ​ຫນູນ​ລະ​ບົບ​ຫຼື​ປະ​ກອບ​ອາ​ຊີບ​ການ​ພັດ​ທະ​ນາ​. ມັນຊ່ວຍຕໍ່ສູ້ກັບບັນຫາໃນໂຄງສ້າງພື້ນຖານຂະຫນາດໃຫຍ່.

ລະບົບ GoAudit ຖືກຂຽນເປັນ Golang. ມັນເປັນພາສາປະເພດທີ່ປອດໄພ ແລະມີປະສິດທິພາບສູງ. ກ່ອນທີ່ຈະຕິດຕັ້ງ GoAudit, ໃຫ້ກວດເບິ່ງວ່າ Golang ລຸ້ນຂອງເຈົ້າສູງກວ່າ 1.7.

3. Grapl

ໂຄງການ Grapl (ເວທີການວິເຄາະ Graph) ໄດ້ຖືກໂອນໄປຫາປະເພດແຫຼ່ງເປີດໃນເດືອນມີນາປີທີ່ຜ່ານມາ. ມັນ​ເປັນ​ເວ​ທີ​ທີ່​ຂ້ອນ​ຂ້າງ​ໃຫມ່​ສໍາ​ລັບ​ການ​ກວດ​ສອບ​ບັນ​ຫາ​ຄວາມ​ປອດ​ໄພ​, ການ​ດໍາ​ເນີນ​ຄະ​ດີ​ຄອມ​ພິວ​ເຕີ​, ແລະ​ການ​ສ້າງ​ບົດ​ລາຍ​ງານ​ເຫດ​ການ​. ຜູ້ໂຈມຕີມັກຈະໃຊ້ບາງສິ່ງບາງຢ່າງເຊັ່ນ: ຮູບແບບກາຟ, ຄວບຄຸມລະບົບດຽວແລະຂຸດຄົ້ນລະບົບເຄືອຂ່າຍອື່ນໆທີ່ເລີ່ມຕົ້ນຈາກລະບົບນັ້ນ. ດັ່ງນັ້ນ, ມັນເປັນເລື່ອງທໍາມະຊາດທີ່ຜູ້ປ້ອງກັນລະບົບຍັງຈະໃຊ້ກົນໄກໂດຍອີງໃສ່ຮູບແບບຂອງເສັ້ນສະແດງການເຊື່ອມຕໍ່ຂອງລະບົບເຄືອຂ່າຍ, ໂດຍຄໍານຶງເຖິງ peculiarities ຂອງການພົວພັນລະຫວ່າງລະບົບ. Grapl ສະແດງໃຫ້ເຫັນຄວາມພະຍາຍາມທີ່ຈະປະຕິບັດການກວດພົບເຫດການແລະມາດຕະການຕອບສະຫນອງໂດຍອີງໃສ່ຮູບແບບກາຟແທນທີ່ຈະເປັນຕົວແບບບັນທຶກ.

ເຄື່ອງມື Grapl ເອົາບັນທຶກທີ່ກ່ຽວຂ້ອງກັບຄວາມປອດໄພ (ບັນທຶກ Sysmon ຫຼືບັນທຶກໃນຮູບແບບ JSON ປົກກະຕິ) ແລະປ່ຽນເປັນ subgraphs (ກໍານົດ "ຕົວຕົນ" ສໍາລັບແຕ່ລະ node). ຫຼັງຈາກນັ້ນ, ມັນປະສົມປະສານ subgraphs ເຂົ້າໄປໃນເສັ້ນສະແດງທົ່ວໄປ (Master Graph), ເຊິ່ງເປັນຕົວແທນຂອງການປະຕິບັດໃນສະພາບແວດລ້ອມທີ່ວິເຄາະ. ຫຼັງຈາກນັ້ນ Grapl ດໍາເນີນການ Analyzers ໃນກາຟຜົນໄດ້ຮັບໂດຍໃຊ້ "ລາຍເຊັນຂອງຜູ້ໂຈມຕີ" ເພື່ອກໍານົດຄວາມຜິດປົກກະຕິແລະຮູບແບບທີ່ຫນ້າສົງໄສ. ເມື່ອນັກວິເຄາະລະບຸຂໍ້ຍ່ອຍທີ່ໜ້າສົງໄສ, Grapl ຈະສ້າງໂຄງສ້າງການມີສ່ວນພົວພັນທີ່ມີຈຸດປະສົງສຳລັບການສືບສວນ. Engagement ແມ່ນຫ້ອງຮຽນ Python ທີ່ສາມາດໂຫຼດໄດ້, ຕົວຢ່າງ, ເຂົ້າໄປໃນ Jupyter Notebook ທີ່ໃຊ້ໃນສະພາບແວດລ້ອມ AWS. ນອກຈາກນັ້ນ, Grapl ສາມາດເພີ່ມຂະຫນາດຂອງການເກັບກໍາຂໍ້ມູນສໍາລັບການສືບສວນເຫດການໂດຍຜ່ານການຂະຫຍາຍກາຟ.

ຖ້າທ່ານຕ້ອງການເຂົ້າໃຈ Grapl ໄດ້ດີຂຶ້ນ, ທ່ານສາມາດເຂົ້າໄປເບິ່ງໄດ້ ມັນ ວິດີໂອທີ່ໜ້າສົນໃຈ - ການບັນທຶກການສະແດງຈາກ Bsides Las Vegas 2019.

4. OSSEC

OSSEC ແມ່ນ​ໂຄງ​ການ​ທີ່​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ໃນ​ປີ 2004​. ໂຄງການນີ້, ໂດຍທົ່ວໄປ, ສາມາດມີລັກສະນະເປັນແພລະຕະຟອມຕິດຕາມກວດກາຄວາມປອດໄພ open-source ທີ່ຖືກອອກແບບມາສໍາລັບການວິເຄາະເຈົ້າພາບແລະການກວດສອບການບຸກລຸກ. OSSEC ຖືກດາວໂຫຼດຫຼາຍກວ່າ 500000 ເທື່ອຕໍ່ປີ. ແພລະຕະຟອມນີ້ສ່ວນໃຫຍ່ແມ່ນໃຊ້ເປັນວິທີການກວດພົບການບຸກລຸກໃນເຄື່ອງແມ່ຂ່າຍ. ຍິ່ງໄປກວ່ານັ້ນ, ພວກເຮົາກໍາລັງເວົ້າເຖິງທັງລະບົບທ້ອງຖິ່ນແລະລະບົບຟັງ. OSSEC ຍັງຖືກນໍາໃຊ້ເລື້ອຍໆເປັນເຄື່ອງມືສໍາລັບການກວດສອບການກວດສອບແລະການວິເຄາະບັນທຶກຂອງ firewalls, ລະບົບການກວດສອບການບຸກລຸກ, ເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌, ແລະຍັງສໍາລັບການສຶກສາບັນທຶກການກວດສອບ.

OSSEC ລວມຄວາມສາມາດຂອງລະບົບກວດຈັບການບຸກລຸກທີ່ອີງໃສ່ເຈົ້າພາບ (HIDS) ກັບລະບົບການຈັດການເຫດການຄວາມປອດໄພ (SIM) ແລະຂໍ້ມູນຄວາມປອດໄພ ແລະການຈັດການເຫດການ (SIEM). OSSEC ຍັງສາມາດກວດສອບຄວາມສົມບູນຂອງໄຟລ໌ໃນເວລາຈິງ. ນີ້, ສໍາລັບການຍົກຕົວຢ່າງ, ຕິດຕາມກວດກາການລົງທະບຽນ Windows ແລະກວດພົບ rootkits. OSSEC ສາມາດແຈ້ງໃຫ້ພາກສ່ວນກ່ຽວຂ້ອງກ່ຽວກັບບັນຫາທີ່ກວດພົບໃນເວລາຈິງ ແລະຊ່ວຍຕອບສະໜອງໄດ້ໄວຕໍ່ກັບໄພຂົ່ມຂູ່ທີ່ກວດພົບ. ແພລະຕະຟອມນີ້ສະຫນັບສະຫນູນ Microsoft Windows ແລະລະບົບ Unix ທີ່ທັນສະໄຫມທີ່ສຸດ, ລວມທັງ Linux, FreeBSD, OpenBSD ແລະ Solaris.

ແພລະຕະຟອມ OSSEC ປະກອບດ້ວຍຫນ່ວຍງານຄວບຄຸມສູນກາງ, ຜູ້ຈັດການ, ນໍາໃຊ້ເພື່ອຮັບແລະຕິດຕາມຂໍ້ມູນຈາກຕົວແທນ (ບັນດາໂຄງການຂະຫນາດນ້ອຍທີ່ຕິດຕັ້ງຢູ່ໃນລະບົບທີ່ຕ້ອງໄດ້ຮັບການກວດສອບ). ຜູ້ຈັດການໄດ້ຖືກຕິດຕັ້ງຢູ່ໃນລະບົບ Linux, ເຊິ່ງເກັບຮັກສາຖານຂໍ້ມູນທີ່ໃຊ້ໃນການກວດສອບຄວາມສົມບູນຂອງໄຟລ໌. ມັນຍັງເກັບຮັກສາບັນທຶກແລະບັນທຶກເຫດການແລະຜົນການກວດສອບລະບົບ.

ໂຄງການ OSSEC ປະຈຸບັນໄດ້ຮັບການສະຫນັບສະຫນູນຈາກ Atomicorp. ບໍລິສັດເບິ່ງແຍງສະບັບແຫຼ່ງເປີດຟຣີ, ແລະ, ນອກຈາກນັ້ນ, ການສະເຫນີ ຂະຫຍາຍ ຮຸ່ນການຄ້າຂອງຜະລິດຕະພັນ. ທີ່ນີ້ podcast ທີ່ຜູ້ຈັດການໂຄງການ OSSEC ເວົ້າກ່ຽວກັບສະບັບຫລ້າສຸດຂອງລະບົບ - OSSEC 3.0. ມັນຍັງເວົ້າເຖິງປະຫວັດສາດຂອງໂຄງການ, ແລະມັນແຕກຕ່າງຈາກລະບົບການຄ້າທີ່ທັນສະໄຫມທີ່ໃຊ້ໃນດ້ານຄວາມປອດໄພຂອງຄອມພິວເຕີ້.

5. ເມກາຕ

ສຸລິຕາ ເປັນໂຄງການແຫຼ່ງເປີດທີ່ສຸມໃສ່ການແກ້ໄຂບັນຫາຕົ້ນຕໍຂອງຄວາມປອດໄພຂອງຄອມພິວເຕີ. ໂດຍສະເພາະ, ມັນປະກອບມີລະບົບການກວດສອບການບຸກລຸກ, ລະບົບປ້ອງກັນການບຸກລຸກ, ແລະເຄື່ອງມືຕິດຕາມກວດກາຄວາມປອດໄພຂອງເຄືອຂ່າຍ.

ຜະລິດຕະພັນນີ້ປາກົດໃນປີ 2009. ວຽກງານຂອງລາວແມ່ນອີງໃສ່ກົດລະບຽບ. ນັ້ນແມ່ນ, ຜູ້ທີ່ໃຊ້ມັນມີໂອກາດທີ່ຈະອະທິບາຍລັກສະນະທີ່ແນ່ນອນຂອງການຈະລາຈອນເຄືອຂ່າຍ. ຖ້າກົດລະບຽບຖືກກະຕຸ້ນ, Suricata ສ້າງການແຈ້ງເຕືອນ, ຂັດຂວາງຫຼືຢຸດການເຊື່ອມຕໍ່ທີ່ຫນ້າສົງໄສ, ເຊິ່ງ, ອີກເທື່ອຫນຶ່ງ, ແມ່ນຂຶ້ນກັບກົດລະບຽບທີ່ກໍານົດໄວ້. ໂຄງການຍັງສະຫນັບສະຫນູນການດໍາເນີນງານຫຼາຍ threaded. ນີ້ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະປະມວນຜົນກົດລະບຽບຈໍານວນຫລາຍໃນເຄືອຂ່າຍທີ່ມີປະລິມານການຈະລາຈອນຫຼາຍ. ຂໍຂອບໃຈກັບການສະຫນັບສະຫນູນຫຼາຍກະທູ້, ເຄື່ອງແມ່ຂ່າຍທໍາມະດາຢ່າງສົມບູນສາມາດວິເຄາະການຈະລາຈອນທີ່ເດີນທາງດ້ວຍຄວາມໄວ 10 Gbit / s ໄດ້ຢ່າງສໍາເລັດຜົນ. ໃນກໍລະນີນີ້, ຜູ້ບໍລິຫານບໍ່ຈໍາເປັນຕ້ອງຈໍາກັດຊຸດຂອງກົດລະບຽບທີ່ໃຊ້ໃນການວິເຄາະການຈະລາຈອນ. Suricata ຍັງສະຫນັບສະຫນູນ hashing ແລະການດຶງໄຟລ໌.

Suricata ສາມາດຖືກຕັ້ງຄ່າໃຫ້ແລ່ນໃນເຊີບເວີປົກກະຕິຫຼືໃນເຄື່ອງ virtual, ເຊັ່ນ AWS, ໂດຍໃຊ້ຄຸນສົມບັດທີ່ນໍາສະເຫນີບໍ່ດົນມານີ້ໃນຜະລິດຕະພັນ. ການ​ຕິດ​ຕາມ​ການ​ຈະ​ລາ​ຈອນ​.

ໂຄງ​ການ​ສະ​ຫນັບ​ສະ​ຫນູນ Lua scripts​, ທີ່​ສາ​ມາດ​ຖືກ​ນໍາ​ໃຊ້​ເພື່ອ​ສ້າງ​ເຫດ​ຜົນ​ສະ​ລັບ​ສັບ​ຊ້ອນ​ແລະ​ລະ​ອຽດ​ສໍາ​ລັບ​ການ​ວິ​ເຄາະ​ລາຍ​ເຊັນ​ໄພ​ຂົ່ມ​ຂູ່​.

ໂຄງການ Suricata ຖືກຄຸ້ມຄອງໂດຍມູນນິທິຄວາມປອດໄພຂໍ້ມູນຂ່າວສານເປີດ (OISF).

6. ຊີກ (ອ້າຍ)

ເຊັ່ນດຽວກັນກັບ Suricata, Zeek (ໂຄງການນີ້ໃນເມື່ອກ່ອນເອີ້ນວ່າ Bro ແລະຖືກປ່ຽນຊື່ເປັນ Zeek ຢູ່ BroCon 2018) ຍັງເປັນລະບົບການກວດສອບການບຸກລຸກ ແລະເຄື່ອງມືກວດສອບຄວາມປອດໄພຂອງເຄືອຂ່າຍທີ່ສາມາດກວດຫາຄວາມຜິດປົກກະຕິເຊັ່ນ: ກິດຈະກໍາທີ່ໜ້າສົງໄສ ຫຼືອັນຕະລາຍ. Zeek ແຕກຕ່າງຈາກ IDS ແບບດັ້ງເດີມໃນນັ້ນ, ບໍ່ຄືກັບລະບົບກົດລະບຽບທີ່ກວດພົບຂໍ້ຍົກເວັ້ນ, Zeek ຍັງຈັບ metadata ທີ່ກ່ຽວຂ້ອງກັບສິ່ງທີ່ເກີດຂື້ນໃນເຄືອຂ່າຍ. ນີ້ແມ່ນເຮັດເພື່ອເຂົ້າໃຈສະພາບຂອງພຶດຕິກໍາເຄືອຂ່າຍທີ່ຜິດປົກກະຕິ. ນີ້ອະນຸຍາດໃຫ້, ສໍາລັບການຍົກຕົວຢ່າງ, ໂດຍການວິເຄາະການໂທ HTTP ຫຼືຂັ້ນຕອນສໍາລັບການແລກປ່ຽນໃບຢັ້ງຢືນຄວາມປອດໄພ, ເພື່ອເບິ່ງໂປໂຕຄອນ, ຢູ່ໃນຫົວຊຸດ, ຢູ່ໃນຊື່ໂດເມນ.

ຖ້າພວກເຮົາພິຈາລະນາ Zeek ເປັນເຄື່ອງມືຄວາມປອດໄພຂອງເຄືອຂ່າຍ, ພວກເຮົາສາມາດເວົ້າໄດ້ວ່າມັນໃຫ້ຜູ້ຊ່ຽວຊານໂອກາດທີ່ຈະສືບສວນເຫດການໂດຍການຮຽນຮູ້ກ່ຽວກັບສິ່ງທີ່ເກີດຂຶ້ນກ່ອນຫຼືໃນລະຫວ່າງເຫດການ. Zeek ຍັງປ່ຽນຂໍ້ມູນການຈະລາຈອນເຄືອຂ່າຍເຂົ້າໄປໃນເຫດການລະດັບສູງແລະສະຫນອງຄວາມສາມາດໃນການເຮັດວຽກກັບນາຍພາສາສະຄິບ. ນາຍພາສາສະຫນັບສະຫນູນພາສາການຂຽນໂປລແກລມທີ່ຖືກນໍາໃຊ້ເພື່ອພົວພັນກັບເຫດການແລະຊອກຫາສິ່ງທີ່ເຫດການເຫຼົ່ານັ້ນຫມາຍເຖິງຄວາມປອດໄພຂອງເຄືອຂ່າຍ. ພາສາການຂຽນໂປລແກລມ Zeek ສາມາດຖືກໃຊ້ເພື່ອປັບແຕ່ງວິທີການແປ metadata ໃຫ້ເຫມາະສົມກັບຄວາມຕ້ອງການຂອງອົງການສະເພາະ. ມັນອະນຸຍາດໃຫ້ທ່ານສ້າງເງື່ອນໄຂທີ່ສັບສົນໂດຍໃຊ້ຕົວປະຕິບັດການ AND, OR ແລະ NOT. ນີ້ເຮັດໃຫ້ຜູ້ໃຊ້ສາມາດປັບແຕ່ງວິທີການວິເຄາະສະພາບແວດລ້ອມຂອງເຂົາເຈົ້າ. ຢ່າງໃດກໍ່ຕາມ, ຄວນສັງເກດວ່າ, ໃນການປຽບທຽບກັບ Suricata, Zeek ອາດຈະເບິ່ງຄືວ່າເປັນເຄື່ອງມືທີ່ສັບສົນຫຼາຍໃນເວລາດໍາເນີນການຄົ້ນຫາໄພຂົ່ມຂູ່ດ້ານຄວາມປອດໄພ.

ຖ້າຫາກວ່າທ່ານມີຄວາມສົນໃຈໃນລາຍລະອຽດເພີ່ມເຕີມກ່ຽວກັບ Zeek, ກະລຸນາຕິດຕໍ່ ນີ້ ວິດີໂອ.

7. ແພນເທີ

Panther ເປັນແພລດຟອມທີ່ມີພະລັງ, ເປັນແພລດຟອມ cloud-native ພື້ນເມືອງສໍາລັບການກວດສອບຄວາມປອດໄພຢ່າງຕໍ່ເນື່ອງ. ບໍ່ດົນມານີ້ມັນຖືກໂອນໄປຫາປະເພດແຫຼ່ງເປີດ. ສະຖາປະນິກຕົ້ນຕໍແມ່ນຢູ່ໃນຕົ້ນກໍາເນີດຂອງໂຄງການ StreamAlert — ວິ​ທີ​ແກ້​ໄຂ​ສໍາ​ລັບ​ການ​ວິ​ເຄາະ​ບັນ​ທຶກ​ອັດ​ຕະ​ໂນ​ມັດ​, ລະ​ຫັດ​ທີ່​ໄດ້​ເປີດ​ໂດຍ Airbnb​. Panther ໃຫ້ຜູ້ໃຊ້ເປັນລະບົບດຽວສໍາລັບສູນກາງການກວດພົບໄພຂົ່ມຂູ່ໃນທຸກສະພາບແວດລ້ອມແລະຈັດຕັ້ງການຕອບສະຫນອງຕໍ່ພວກເຂົາ. ລະບົບນີ້ມີຄວາມສາມາດຂະຫຍາຍຕົວພ້ອມກັບຂະຫນາດຂອງໂຄງສ້າງພື້ນຖານທີ່ຖືກຮັບໃຊ້. ການກວດຫາໄພຂົ່ມຂູ່ແມ່ນອີງໃສ່ກົດລະບຽບທີ່ໂປ່ງໃສ, ກໍານົດເພື່ອຫຼຸດຜ່ອນຜົນບວກທີ່ບໍ່ຖືກຕ້ອງແລະວຽກງານທີ່ບໍ່ຈໍາເປັນສໍາລັບຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພ.

ໃນບັນດາລັກສະນະຕົ້ນຕໍຂອງ Panther ແມ່ນດັ່ງຕໍ່ໄປນີ້:

• ການກວດສອບການເຂົ້າເຖິງຊັບພະຍາກອນທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດໂດຍການວິເຄາະບັນທຶກ.
• ການກວດຫາໄພຂົ່ມຂູ່, ປະຕິບັດໂດຍການຄົ້ນຫາບັນທຶກສໍາລັບຕົວຊີ້ວັດທີ່ຊີ້ໃຫ້ເຫັນບັນຫາຄວາມປອດໄພ. ການຄົ້ນຫາແມ່ນດໍາເນີນການໂດຍໃຊ້ຊ່ອງຂໍ້ມູນມາດຕະຖານຂອງ Panter.
• ການກວດສອບລະບົບສໍາລັບການປະຕິບັດຕາມມາດຕະຖານ SOC / PCI / HIPAA ໂດຍໃຊ້ ຝັງ ກົນໄກຂອງ Panther.
• ປົກປ້ອງຊັບພະຍາກອນຄລາວໂດຍອັດຕະໂນມັດແກ້ໄຂຂໍ້ຜິດພາດໃນການຕັ້ງຄ່າທີ່ອາດເຮັດໃຫ້ເກີດບັນຫາຮ້າຍແຮງຖ້າຜູ້ໂຈມຕີຖືກຂູດຮີດ.

Panther ຖືກນຳໃຊ້ຢູ່ໃນຄລາວຂອງ AWS ຂອງອົງກອນໂດຍໃຊ້ AWS CloudFormation. ນີ້ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ສາມາດຄວບຄຸມຂໍ້ມູນຂອງລາວໄດ້ຕະຫຼອດເວລາ.

ຜົນໄດ້ຮັບ

ການຕິດຕາມຄວາມປອດໄພຂອງລະບົບແມ່ນເປັນວຽກງານທີ່ສໍາຄັນໃນມື້ນີ້. ໃນການແກ້ໄຂບັນຫານີ້, ບໍລິສັດຂອງຂະຫນາດໃດກໍ່ຕາມສາມາດໄດ້ຮັບການຊ່ວຍເຫຼືອໂດຍເຄື່ອງມືເປີດທີ່ສະຫນອງໂອກາດຫຼາຍແລະຄ່າໃຊ້ຈ່າຍເກືອບບໍ່ມີຫຍັງຫຼືບໍ່ເສຍຄ່າ.

ທ່ານຜູ້ອ່ານທີ່ຮັກແພງ! ເຈົ້າໃຊ້ເຄື່ອງມືກວດສອບຄວາມປອດໄພອັນໃດ?

ແຫຼ່ງຂໍ້ມູນ: www.habr.com