ProHoster > Š‘Š»Š¾Š³ > Administrācija > 7 atvērtā pirmkoda rÄ«ki mākoņsistēmu droŔības uzraudzÄ«bai, par kuriem ir vērts zināt

7 atvērtā pirmkoda rÄ«ki mākoņsistēmu droŔības uzraudzÄ«bai, par kuriem ir vērts zināt

PlaŔā mākoņdatoÅ”anas ievieÅ”ana palÄ«dz uzņēmumiem paplaÅ”ināt savu uzņēmējdarbÄ«bu. Taču jaunu platformu izmantoÅ”ana nozÄ«mē arÄ« jaunu draudu raÅ”anos. Savas komandas uzturÄ“Å”ana organizācijā, kas ir atbildÄ«ga par mākoņpakalpojumu droŔības uzraudzÄ«bu, nav viegls uzdevums. EsoÅ”ie uzraudzÄ«bas rÄ«ki ir dārgi un lēni. Tos zināmā mērā ir grÅ«ti pārvaldÄ«t, ja runa ir par liela mēroga mākoņa infrastruktÅ«ras nodroÅ”ināŔanu. Lai saglabātu mākoņdroŔības lÄ«meni augstā lÄ«menÄ«, uzņēmumiem ir nepiecieÅ”ami jaudÄ«gi, elastÄ«gi un intuitÄ«vi rÄ«ki, kas pārsniedz iepriekÅ” pieejamo lÄ«meni. Å eit ļoti noder atvērtā pirmkoda tehnoloÄ£ijas, kas palÄ«dz ietaupÄ«t droŔības budžetus un tās rada speciālisti, kuri daudz zina par savu biznesu.

7 atvērtā pirmkoda rÄ«ki mākoņsistēmu droŔības uzraudzÄ«bai, par kuriem ir vērts zināt

Rakstā, kura tulkojumu mēs Å”odien publicējam, ir sniegts pārskats par 7 atvērtā pirmkoda rÄ«kiem mākoņsistēmu droŔības uzraudzÄ«bai. Å ie rÄ«ki ir paredzēti, lai aizsargātu pret hakeriem un kibernoziedzniekiem, atklājot anomālijas un nedroÅ”as darbÄ«bas.

1. Osquery

Osquery ir zema lÄ«meņa operētājsistēmu uzraudzÄ«bas un analÄ«zes sistēma, kas ļauj droŔības speciālistiem veikt sarežģītu datu ieguvi, izmantojot SQL. Osquery ietvars var darboties operētājsistēmās Linux, macOS, Windows un FreeBSD. Tā attēlo operētājsistēmu (OS) kā augstas veiktspējas relāciju datu bāzi. Tas ļauj droŔības speciālistiem pārbaudÄ«t OS, izpildot SQL vaicājumus. Piemēram, izmantojot vaicājumu, varat uzzināt par palaistiem procesiem, ielādētajiem kodola moduļiem, atvērtajiem tÄ«kla savienojumiem, instalētajiem pārlÅ«kprogrammas paplaÅ”inājumiem, aparatÅ«ras notikumiem un failu jaucējfunkcijām.

Osquery ietvaru izveidoja Facebook. Tā kods tika atvērts 2014. gadā pēc tam, kad uzņēmums saprata, ka ne tikai viņam paÅ”am ir nepiecieÅ”ami rÄ«ki, lai uzraudzÄ«tu operētājsistēmu zemā lÄ«meņa mehānismus. KopÅ” tā laika Osquery ir izmantojuÅ”i tādu uzņēmumu speciālisti kā Dactiv, Google, Kolide, Trail of Bits, Uptycs un daudzi citi. Tas bija nesen paziņoja ka Linux fonds un Facebook gatavojas izveidot fondu Osquery atbalstam.

Osquery saimniekdatora pārraudzÄ«bas dēmons, ko sauc par osqueryd, ļauj ieplānot vaicājumus, kas apkopo datus no visas jÅ«su organizācijas infrastruktÅ«ras. Dēmons apkopo vaicājumu rezultātus un izveido žurnālus, kas atspoguļo izmaiņas infrastruktÅ«ras stāvoklÄ«. Tas var palÄ«dzēt droŔības speciālistiem sekot lÄ«dzi sistēmas statusam un ir Ä«paÅ”i noderÄ«gi anomāliju noteikÅ”anai. Osquery žurnālu apkopoÅ”anas iespējas var tikt izmantotas, lai palÄ«dzētu atrast zināmu un nezināmu ļaunprogrammatÅ«ru, kā arÄ« noteiktu, kur uzbrucēji ir iekļuvuÅ”i jÅ«su sistēmā, un atrastu, kādas programmas tie ir instalējuÅ”i. Å”eit ir Lasiet vairāk par anomāliju noteikÅ”anu, izmantojot Osquery.

2.GoAudit

Sistēma Linux audits sastāv no divām galvenajām sastāvdaļām. Pirmais ir daži kodola lÄ«meņa kodi, kas paredzēti sistēmas zvanu pārtverÅ”anai un uzraudzÄ«bai. Otrais komponents ir lietotāja telpas dēmons, ko sauc auditd. Tas ir atbildÄ«gs par audita rezultātu ierakstÄ«Å”anu diskā. GoAudit, uzņēmuma izveidotā sistēma Ä»engans un izlaists 2016. gadā, paredzēts aizstāt auditd. Tam ir uzlabotas reÄ£istrÄ“Å”anas iespējas, pārvērÅ”ot vairāku rindu notikumu ziņojumus, ko Ä£enerējusi Linux audita sistēma, atseviŔķos JSON blokos, lai atvieglotu analÄ«zi. Izmantojot GoAudit, tÄ«klā var tieÅ”i piekļūt kodola lÄ«meņa mehānismiem. Turklāt varat iespējot minimālu notikumu filtrÄ“Å”anu paŔā resursdatorā (vai pilnÄ«bā atspējot filtrÄ“Å”anu). Tajā paŔā laikā GoAudit ir projekts, kas paredzēts ne tikai droŔības nodroÅ”ināŔanai. Å is rÄ«ks ir izstrādāts kā ar funkcijām bagāts rÄ«ks sistēmu atbalsta vai izstrādes profesionāļiem. Tas palÄ«dz cÄ«nÄ«ties ar problēmām liela mēroga infrastruktÅ«rās.

GoAudit sistēma ir uzrakstÄ«ta Golang valodā. Tā ir tipiem droÅ”a un augstas veiktspējas valoda. Pirms GoAudit instalÄ“Å”anas pārbaudiet, vai jÅ«su Golang versija ir jaunāka par 1.7.

3. Grapl

Projekts Grapl (Graph Analytics Platform) tika pārcelta uz atvērtā pirmkoda kategoriju pagājuŔā gada martā. Tā ir salÄ«dzinoÅ”i jauna platforma droŔības problēmu noteikÅ”anai, datoru kriminālistikas veikÅ”anai un incidentu ziņojumu Ä£enerÄ“Å”anai. Uzbrucēji bieži strādā, izmantojot kaut ko lÄ«dzÄ«gu grafika modelim, iegÅ«stot kontroli pār vienu sistēmu un izpētot citas tÄ«kla sistēmas, sākot no Ŕīs sistēmas. Tāpēc gluži dabiski, ka sistēmu aizstāvji izmantos arÄ« mehānismu, kas balstÄ«ts uz tÄ«kla sistēmu savienojumu grafika modeli, ņemot vērā sistēmu savstarpējo attiecÄ«bu Ä«patnÄ«bas. Grapl demonstrē mēģinājumu ieviest incidentu noteikÅ”anas un reaģēŔanas pasākumus, pamatojoties uz grafika modeli, nevis žurnāla modeli.

Grapl rÄ«ks ņem ar droŔību saistÄ«tus žurnālus (Sysmon žurnālus vai žurnālus parastajā JSON formātā) un pārvērÅ” tos apakÅ”grafikos (definējot katra mezgla ā€œidentitātiā€). Pēc tam tas apvieno apakÅ”grafikus kopējā grafikā (Master Graph), kas attēlo darbÄ«bas, kas veiktas analizētajā vidē. Pēc tam Grapl palaiž analizatorus iegÅ«tajā diagrammā, izmantojot ā€œuzbrucēju parakstusā€, lai identificētu anomālijas un aizdomÄ«gus modeļus. Kad analizators identificē aizdomÄ«gu apakÅ”grafu, Grapl Ä£enerē iesaistes konstrukciju, kas paredzēta izmeklÄ“Å”anai. Engagement ir Python klase, ko var ielādēt, piemēram, Jupyter piezÄ«mjdatorā, kas izvietots AWS vidē. Turklāt Grapl var palielināt informācijas vākÅ”anas mērogu incidentu izmeklÄ“Å”anai, paplaÅ”inot grafiku.

Ja vēlaties labāk izprast Grapl, varat to apskatÄ«t Å”is interesants video - priekÅ”nesuma ieraksts no BSides Las Vegas 2019.

4. OSSEC

OSSEC ir projekts, kas dibināts 2004. gadā. Å o projektu kopumā var raksturot kā atvērtā koda droŔības uzraudzÄ«bas platformu, kas paredzēta resursdatora analÄ«zei un ielauÅ”anās atklāŔanai. OSSEC tiek lejupielādēts vairāk nekā 500000 XNUMX reižu gadā. Å Ä« platforma galvenokārt tiek izmantota kā lÄ«dzeklis, lai atklātu ielauÅ”anos serveros. Turklāt mēs runājam gan par vietējām, gan mākoņsistēmām. OSSEC bieži tiek izmantots arÄ« kā rÄ«ks ugunsmÅ«ru, ielauÅ”anās atklāŔanas sistēmu, tÄ«mekļa serveru uzraudzÄ«bas un analÄ«zes žurnālu pārbaudei, kā arÄ« autentifikācijas žurnālu izpētei.

OSSEC apvieno uz resursdatora balstÄ«tas ielauÅ”anās atklāŔanas sistēmas (HIDS) iespējas ar droŔības incidentu pārvaldÄ«bas (SIM) un droŔības informācijas un notikumu pārvaldÄ«bas (SIEM) sistēmu. OSSEC var arÄ« pārraudzÄ«t failu integritāti reāllaikā. Tas, piemēram, uzrauga Windows reÄ£istru un nosaka sakņu komplektus. OSSEC spēj informēt ieinteresētās puses par atklātajām problēmām reāllaikā un palÄ«dz ātri reaģēt uz atklātajiem draudiem. Å Ä« platforma atbalsta Microsoft Windows un vismodernākās Unix lÄ«dzÄ«gas sistēmas, tostarp Linux, FreeBSD, OpenBSD un Solaris.

OSSEC platforma sastāv no centrālās vadības vienības, pārvaldnieka, ko izmanto, lai saņemtu un pārraudzītu informāciju no aģentiem (sistēmās instalētas mazas programmas, kuras jāuzrauga). Pārvaldnieks ir instalēts Linux sistēmā, kurā tiek saglabāta datu bāze, ko izmanto failu integritātes pārbaudei. Tajā tiek glabāti arī notikumu un sistēmas audita rezultātu žurnāli un ieraksti.

OSSEC projektu paÅ”laik atbalsta Atomicorp. Uzņēmums pārrauga bezmaksas atvērtā pirmkoda versiju un turklāt piedāvā paplaÅ”ināts produkta komerciālā versija. Å”eit ir podkāsts, kurā OSSEC projektu vadÄ«tājs stāsta par jaunāko sistēmas versiju ā€“ OSSEC 3.0. Tas arÄ« stāsta par projekta vēsturi un to, kā tas atŔķiras no mÅ«sdienu komerciālajām sistēmām, ko izmanto datoru droŔības jomā.

5. surikats

Surikata ir atvērtā koda projekts, kas vērsts uz galveno datoru droŔības problēmu risināŔanu. Jo Ä«paÅ”i tas ietver ielauÅ”anās atklāŔanas sistēmu, ielauÅ”anās novērÅ”anas sistēmu un tÄ«kla droŔības uzraudzÄ«bas rÄ«ku.

Å is produkts parādÄ«jās 2009. Viņa darbs ir balstÄ«ts uz noteikumiem. Tas ir, tam, kurÅ” to izmanto, ir iespēja aprakstÄ«t noteiktas tÄ«kla trafika funkcijas. Ja kārtula tiek aktivizēta, Suricata Ä£enerē paziņojumu, bloķējot vai pārtraucot aizdomÄ«go savienojumu, kas atkal ir atkarÄ«gs no norādÄ«tajiem noteikumiem. Projekts atbalsta arÄ« vairāku vÄ«tņu darbÄ«bu. Tas ļauj ātri apstrādāt lielu skaitu noteikumu tÄ«klos, kas nodroÅ”ina lielu trafika apjomu. Pateicoties vairāku pavedienu atbalstam, pilnÄ«gi parasts serveris spēj veiksmÄ«gi analizēt trafiku, kas pārvietojas ar ātrumu 10 Gbit/s. Å ajā gadÄ«jumā administratoram nav jāierobežo satiksmes analÄ«zei izmantoto noteikumu kopums. Suricata atbalsta arÄ« jaukÅ”anu un failu izgÅ«Å”anu.

Suricata var konfigurēt tā, lai tā darbotos parastos serveros vai virtuālajās maŔīnās, piemēram, AWS, izmantojot nesen ieviesto lÄ«dzekli produktā. satiksmes uzraudzÄ«bu.

Projekts atbalsta Lua skriptus, kurus var izmantot, lai izveidotu sarežģītu un detalizētu loģiku draudu parakstu analīzei.

Suricata projektu pārvalda Open Information Security Foundation (OISF).

6. Zēks (brālis)

Tāpat kā Suricata, Zeek (Å”is projekts iepriekÅ” tika saukts par Bro un BroCon 2018 tika pārdēvēts par Zeek) ir arÄ« ielauÅ”anās atklāŔanas sistēma un tÄ«kla droŔības uzraudzÄ«bas rÄ«ks, kas var atklāt anomālijas, piemēram, aizdomÄ«gas vai bÄ«stamas darbÄ«bas. Zeek atŔķiras no tradicionālās IDS ar to, ka atŔķirÄ«bā no uz noteikumiem balstÄ«tām sistēmām, kas nosaka izņēmumus, Zeek tver arÄ« metadatus, kas saistÄ«ti ar tÄ«klā notiekoÅ”o. Tas tiek darÄ«ts, lai labāk izprastu neparastas tÄ«kla darbÄ«bas kontekstu. Tas ļauj, piemēram, analizējot HTTP zvanu vai droŔības sertifikātu apmaiņas procedÅ«ru, aplÅ«kot protokolu, pakeÅ”u galvenes, domēna nosaukumus.

Ja mēs uzskatām Zeek par tÄ«kla droŔības rÄ«ku, tad varam teikt, ka tas sniedz speciālistam iespēju izmeklēt incidentu, uzzinot par notikuÅ”o pirms incidenta vai tā laikā. Zeek arÄ« pārvērÅ” tÄ«kla trafika datus augsta lÄ«meņa notikumos un nodroÅ”ina iespēju strādāt ar skriptu tulku. Tulks atbalsta programmÄ“Å”anas valodu, ko izmanto, lai mijiedarbotos ar notikumiem un noskaidrotu, ko tieÅ”i Å”ie notikumi nozÄ«mē tÄ«kla droŔības ziņā. Zeek programmÄ“Å”anas valodu var izmantot, lai pielāgotu metadatu interpretāciju atbilstoÅ”i konkrētas organizācijas vajadzÄ«bām. Tas ļauj jums izveidot sarežģītus loÄ£iskos nosacÄ«jumus, izmantojot operatorus UN, OR un NOT. Tas lietotājiem sniedz iespēju pielāgot to, kā tiek analizēta viņu vide. Tomēr jāatzÄ«mē, ka, salÄ«dzinot ar Suricata, Zeek var Ŕķist diezgan sarežģīts instruments, veicot droŔības apdraudējumu izlÅ«koÅ”anu.

Ja jÅ«s interesē sÄ«kāka informācija par Zeek, lÅ«dzu sazinieties Å”is video.

7. Pantera

Pantera ir jaudÄ«ga, sākotnēji mākoņdatoÅ”anas platforma nepārtrauktai droŔības uzraudzÄ«bai. Tas nesen tika pārveidots par atvērto avotu. Galvenais arhitekts ir projekta pirmsākumos StreamAlert ā€” risinājumi automatizētai žurnālu analÄ«zei, kuru kodu atvēra Airbnb. Panther nodroÅ”ina lietotājam vienotu sistēmu, lai centralizēti atklātu draudus visās vidēs un organizētu atbildes reakciju uz tiem. Å Ä« sistēma spēj augt lÄ«dz ar apkalpojamās infrastruktÅ«ras lielumu. Draudi noteikÅ”ana ir balstÄ«ta uz pārredzamiem, deterministiskiem noteikumiem, lai samazinātu viltus pozitÄ«vus rezultātus un nevajadzÄ«gu darba slodzi droŔības speciālistiem.

Starp galvenajām Panther iezÄ«mēm ir Ŕādas:

  • Neatļautas piekļuves resursiem noteikÅ”ana, analizējot žurnālus.
  • Draudu noteikÅ”ana, kas ieviesta, žurnālos meklējot indikatorus, kas norāda uz droŔības problēmām. MeklÄ“Å”ana tiek veikta, izmantojot Panter standartizētos datu laukus.
  • Sistēmas atbilstÄ«bas SOC/PCI/HIPAA standartiem pārbaude, izmantojot iebÅ«vēts Pantera mehānismi.
  • Aizsargājiet savus mākoņa resursus, automātiski labojot konfigurācijas kļūdas, kas var radÄ«t nopietnas problēmas, ja tās izmanto uzbrucēji.

Panther tiek izvietots organizācijas AWS mākonī, izmantojot AWS CloudFormation. Tas ļauj lietotājam vienmēr kontrolēt savus datus.

Rezultāti

Sistēmas droŔības uzraudzÄ«ba mÅ«sdienās ir kritisks uzdevums. Å Ä«s problēmas risināŔanā jebkura lieluma uzņēmumiem var palÄ«dzēt atvērtā pirmkoda rÄ«ki, kas sniedz daudz iespēju un nemaksā gandrÄ«z neko vai ir bezmaksas.

Cienījamie lasītāji! Kādus droŔības uzraudzības rīkus jūs izmantojat?

7 atvērtā pirmkoda rÄ«ki mākoņsistēmu droŔības uzraudzÄ«bai, par kuriem ir vērts zināt

Avots: www.habr.com