5 मुक्त-स्रोत सुरक्षा इव्हेंट व्यवस्थापन प्रणाली

एक चांगला आयटी सुरक्षा तज्ञ सामान्यपेक्षा कसा वेगळा असतो? नाही, या वस्तुस्थितीनुसार नाही की कोणत्याही वेळी तो मॅनेजर इगोरने काल त्याच्या सहकारी मारियाला पाठवलेल्या संदेशांची संख्या मेमरीमधून नाव देऊ शकतो. एक चांगला सुरक्षा तज्ञ संभाव्य उल्लंघने अगोदरच ओळखण्याचा आणि रिअल टाइममध्ये पकडण्याचा प्रयत्न करतो, घटना पुढे चालू नये याची खात्री करण्यासाठी सर्वतोपरी प्रयत्न करतो. सिक्युरिटी इव्हेंट मॅनेजमेंट सिस्टम (एसआयईएम, सिक्युरिटी इन्फॉर्मेशन आणि इव्हेंट मॅनेजमेंट) त्वरीत रेकॉर्डिंग आणि कोणत्याही प्रयत्न केलेल्या उल्लंघनांना ब्लॉक करण्याचे कार्य मोठ्या प्रमाणात सुलभ करते.

पारंपारिकपणे, SIEM प्रणाली माहिती सुरक्षा व्यवस्थापन प्रणाली आणि सुरक्षा इव्हेंट व्यवस्थापन प्रणाली एकत्र करतात. सिस्टमचे एक महत्त्वाचे वैशिष्ट्य म्हणजे रिअल टाइममधील सुरक्षा इव्हेंटचे विश्लेषण, जे आपल्याला विद्यमान नुकसान होण्यापूर्वी त्यांना प्रतिसाद देण्याची परवानगी देते.

SIEM सिस्टमची मुख्य कार्ये:

• डेटा संकलन आणि सामान्यीकरण
• डेटा सहसंबंध
• अलर्ट
• व्हिज्युअलायझेशन पॅनेल
• डेटा स्टोरेजची संस्था
• डेटा शोध आणि विश्लेषण
• अहवाल देत आहे

SIEM सिस्टीमच्या उच्च मागणीची कारणे

अलीकडे, माहिती प्रणालीवरील हल्ल्यांची जटिलता आणि समन्वय मोठ्या प्रमाणात वाढला आहे. त्याच वेळी, वापरल्या जाणार्‍या माहिती सुरक्षा साधनांचे कॉम्प्लेक्स देखील अधिक जटिल होत आहे- नेटवर्क आणि होस्ट-आधारित घुसखोरी शोध प्रणाली, DLP प्रणाली, अँटी-व्हायरस प्रणाली आणि फायरवॉल, असुरक्षा स्कॅनर इ. प्रत्येक सुरक्षा साधन विविध पातळ्यांवर तपशीलांसह इव्हेंटचा प्रवाह तयार करते आणि अनेकदा हल्ला केवळ वेगवेगळ्या सिस्टीममधील इव्हेंट आच्छादित करून पाहिला जाऊ शकतो.

सर्व प्रकारच्या व्यावसायिक SIEM प्रणालींबद्दल बरेच काही आहे हे लिहिले आहे, परंतु आम्ही विनामूल्य, पूर्ण वाढीव मुक्त स्रोत SIEM सिस्टीमचे संक्षिप्त विहंगावलोकन ऑफर करतो ज्यात वापरकर्त्यांच्या संख्येवर किंवा स्वीकृत संचयित डेटाच्या व्हॉल्यूमवर कृत्रिम निर्बंध नाहीत आणि ते सहजपणे स्केलेबल आणि समर्थित देखील आहेत. आम्हाला आशा आहे की यामुळे अशा प्रणालींच्या संभाव्यतेचे मूल्यांकन करण्यात मदत होईल आणि असे उपाय कंपनीच्या व्यवसाय प्रक्रियेत समाकलित करणे योग्य आहे की नाही हे ठरविण्यात मदत करेल.

AlienVault OSSIM

AlienVault OSSIM ही AlienVault USM ची मुक्त-स्रोत आवृत्ती आहे, अग्रगण्य व्यावसायिक SIEM प्रणालींपैकी एक. OSSIM ही एक फ्रेमवर्क आहे ज्यामध्ये स्नॉर्ट नेटवर्क घुसखोरी शोध प्रणाली, नागिओस नेटवर्क आणि होस्ट मॉनिटरिंग सिस्टम, OSSEC होस्ट-आधारित घुसखोरी शोध प्रणाली आणि OpenVAS असुरक्षा स्कॅनर यासह अनेक मुक्त स्त्रोत प्रकल्पांचा समावेश आहे.

डिव्हाइसेसचे निरीक्षण करण्यासाठी, AlienVault एजंट वापरला जातो, जो होस्टकडून syslog स्वरूपात लॉग GELF प्लॅटफॉर्मवर पाठवतो किंवा प्लगइनचा वापर तृतीय-पक्ष सेवांसह एकत्रीकरणासाठी केला जाऊ शकतो, जसे की क्लाउडफ्लेअर वेबसाइट रिव्हर्स प्रॉक्सी सेवा किंवा ओक्टा मल्टी - घटक प्रमाणीकरण प्रणाली.

लॉग मॅनेजमेंट, क्लाउड इन्फ्रास्ट्रक्चर मॉनिटरिंग, ऑटोमेशन आणि अपडेटेड धोका माहिती आणि व्हिज्युअलायझेशनसाठी वर्धित कार्यक्षमतेसह USM आवृत्ती OSSIM पेक्षा वेगळी आहे.

फायदे

• सिद्ध मुक्त-स्रोत प्रकल्पांवर बांधले;
• वापरकर्ते आणि विकासकांचा मोठा समुदाय.

उणीवा

• क्लाउड प्लॅटफॉर्मच्या निरीक्षणास समर्थन देत नाही (उदाहरणार्थ, AWS किंवा Azure);
• तृतीय-पक्ष सेवांसह लॉग व्यवस्थापन, व्हिज्युअलायझेशन, ऑटोमेशन किंवा एकत्रीकरण नाही.

स्रोत

MozDef (मोझिला डिफेन्स प्लॅटफॉर्म)

Mozilla ने विकसित केलेली MozDef SIEM प्रणाली सुरक्षा घटना प्रक्रिया प्रक्रिया स्वयंचलित करण्यासाठी वापरली जाते. मायक्रोसर्व्हिस आर्किटेक्चरसह जास्तीत जास्त कार्यप्रदर्शन, स्केलेबिलिटी आणि फॉल्ट टॉलरन्स प्राप्त करण्यासाठी जमिनीपासून सिस्टमची रचना केली गेली आहे - प्रत्येक सेवा डॉकर कंटेनरमध्ये चालते.

OSSIM प्रमाणे, MozDef देखील वेळ-चाचणी केलेल्या ओपन सोर्स प्रोजेक्ट्सवर तयार केले आहे, ज्यामध्ये Elasticsearch लॉग इंडेक्सिंग आणि शोध मॉड्यूल, एक लवचिक वेब इंटरफेस तयार करण्यासाठी Meteor प्लॅटफॉर्म आणि व्हिज्युअलायझेशन आणि प्लॉटिंगसाठी किबाना प्लगइन समाविष्ट आहे.

इलास्टिकसर्च क्वेरीचा वापर करून इव्हेंट सहसंबंध आणि अलर्टिंग केले जाते, जे तुम्हाला पायथन वापरून तुमचे स्वतःचे इव्हेंट प्रोसेसिंग आणि अलर्टिंग नियम लिहू देते. Mozilla च्या मते, MozDef दररोज 300 दशलक्ष पेक्षा जास्त कार्यक्रमांवर प्रक्रिया करू शकते. MozDef केवळ JSON फॉरमॅटमधील इव्हेंट स्वीकारते, परंतु तृतीय-पक्ष सेवांसह एकीकरण आहे.

फायदे

• एजंट वापरत नाही - मानक JSON लॉगसह कार्य करते;
• मायक्रोसर्व्हिस आर्किटेक्चरमुळे सहजपणे मोजमाप केले जाते;
• AWS CloudTrail आणि GuardDuty सह क्लाउड सेवा डेटा स्रोतांना समर्थन देते.

उणीवा

• नवीन आणि कमी प्रस्थापित प्रणाली.

स्रोत

वजूह

Wazuh ने OSSEC चा एक काटा म्हणून विकासाला सुरुवात केली, सर्वात लोकप्रिय ओपन सोर्स SIEMs पैकी एक. आणि आता नवीन कार्यक्षमता, दोष निराकरणे आणि ऑप्टिमाइझ केलेल्या आर्किटेक्चरसह हे स्वतःचे अद्वितीय समाधान आहे.

सिस्टम इलास्टिकस्टॅक स्टॅकवर (इलास्टिकसर्च, लॉगस्टॅश, किबाना) तयार केली गेली आहे आणि एजंट-आधारित डेटा संकलन आणि सिस्टम लॉग इनजेशन या दोन्हींना समर्थन देते. हे लॉग व्युत्पन्न करणार्‍या परंतु एजंट इंस्टॉलेशनला सपोर्ट न करणार्‍या उपकरणांचे निरीक्षण करण्यासाठी प्रभावी बनवते - नेटवर्क साधने, प्रिंटर आणि परिधीय.

Wazuh विद्यमान OSSEC एजंटला समर्थन देते आणि OSSEC मधून Wazuh मध्ये स्थलांतर करण्याबाबत मार्गदर्शन देखील प्रदान करते. जरी OSSEC अजूनही सक्रियपणे समर्थित आहे, तरीही नवीन वेब इंटरफेस, REST API, नियमांचा अधिक संपूर्ण संच आणि इतर अनेक सुधारणांमुळे Wazuh ला OSSEC ची निरंतरता म्हणून पाहिले जाते.

फायदे

• लोकप्रिय SIEM OSSEC वर आधारित आणि सुसंगत;
• विविध स्थापना पर्यायांना समर्थन देते: डॉकर, पपेट, शेफ, उत्तरदायी;
• AWS आणि Azure सह क्लाउड सेवांच्या देखरेखीचे समर्थन करते;
• एकाधिक प्रकारचे हल्ले शोधण्यासाठी नियमांचा एक व्यापक संच समाविष्ट करते आणि तुम्हाला PCI DSS v3.1 आणि CIS नुसार त्यांची तुलना करण्याची अनुमती देते.
• इव्हेंट व्हिज्युअलायझेशन आणि API समर्थनासाठी स्प्लंक लॉग स्टोरेज आणि विश्लेषण प्रणालीसह समाकलित करते.

उणीवा

• जटिल आर्किटेक्चर - Wazuh बॅकएंड घटकांव्यतिरिक्त संपूर्ण लवचिक स्टॅक उपयोजन आवश्यक आहे.

स्रोत

प्रिल्युड ओएस

Prelude OSS ही फ्रेंच कंपनी CS द्वारे विकसित केलेल्या व्यावसायिक प्रिल्युड SIEM ची मुक्त-स्रोत आवृत्ती आहे. समाधान एक लवचिक, मॉड्यूलर SIEM प्रणाली आहे जी एकाधिक लॉग स्वरूपनास समर्थन देते, OSSEC, Snort आणि Suricata नेटवर्क शोध प्रणाली सारख्या तृतीय-पक्ष साधनांसह एकत्रीकरण करते.

प्रत्येक इव्हेंटला IDMEF फॉरमॅट वापरून संदेशात सामान्यीकृत केले जाते, जे इतर सिस्टमसह डेटा एक्सचेंज सुलभ करते. परंतु मलममध्ये एक माशी आहे - प्रील्यूड एसआयईएमच्या व्यावसायिक आवृत्तीच्या तुलनेत प्रील्यूड ओएसएस कामगिरी आणि कार्यक्षमतेमध्ये खूपच मर्यादित आहे आणि लहान प्रकल्पांसाठी किंवा एसआयईएम सोल्यूशन्सचा अभ्यास करण्यासाठी आणि प्रील्यूड एसआयईएमचे मूल्यांकन करण्यासाठी अधिक हेतू आहे.

फायदे

• वेळ-चाचणी प्रणाली, 1998 पासून विकसित;
• अनेक भिन्न लॉग स्वरूपनास समर्थन देते;
• डेटाला IMDEF फॉरमॅटमध्ये सामान्यीकृत करते, ज्यामुळे इतर सुरक्षा प्रणालींमध्ये डेटा हस्तांतरित करणे सोपे होते.

उणीवा

• इतर ओपन-सोर्स SIEM सिस्टीमच्या तुलनेत कार्यक्षमता आणि कार्यक्षमतेत लक्षणीयरीत्या मर्यादित.

स्रोत

सगन

Sagan एक उच्च-कार्यक्षमता SIEM आहे जो Snort सह सुसंगततेवर जोर देतो. Snort साठी लिहिलेल्या सपोर्टिंग नियमांव्यतिरिक्त, Sagan Snort डेटाबेसवर लिहू शकतो आणि अगदी Shuil इंटरफेससह वापरला जाऊ शकतो. मूलत:, हे एक हलके बहु-थ्रेडेड समाधान आहे जे स्नॉर्ट वापरकर्त्यांसाठी अनुकूल राहून नवीन वैशिष्ट्ये ऑफर करते.

फायदे

• Snort डेटाबेस, नियम आणि वापरकर्ता इंटरफेस सह पूर्णपणे सुसंगत;
• मल्टी-थ्रेडेड आर्किटेक्चर उच्च कार्यक्षमता प्रदान करते.

उणीवा

• लहान समुदायासह तुलनेने तरुण प्रकल्प;
• एक जटिल स्थापना प्रक्रिया ज्यामध्ये स्त्रोतापासून संपूर्ण SIEM तयार करणे समाविष्ट आहे.

स्रोत

निष्कर्ष

वर्णन केलेल्या प्रत्येक SIEM सिस्टमची स्वतःची वैशिष्ट्ये आणि मर्यादा आहेत, म्हणून त्यांना कोणत्याही संस्थेसाठी सार्वत्रिक समाधान म्हटले जाऊ शकत नाही. तथापि, हे सोल्यूशन्स ओपन सोर्स आहेत, ज्यामुळे त्यांना जास्त खर्च न करता तैनात, चाचणी आणि मूल्यांकन करता येते.

आपण ब्लॉगवर आणखी काय मनोरंजक वाचू शकता? Cloud4Y

→ संपूर्ण ग्रहाचा VNIITE: यूएसएसआरमध्ये "स्मार्ट होम" प्रणालीचा शोध कसा लागला
→ न्यूरल इंटरफेस मानवतेला कशी मदत करतात
→ रशियन बाजारात सायबर विमा
→ प्रकाश, कॅमेरा... ढग: ढग चित्रपट उद्योग कसे बदलत आहेत
→ ढगांमध्ये फुटबॉल - फॅशन की गरज?

आमच्या सदस्यता घ्या तार-चॅनेल, पुढील लेख चुकवू नये म्हणून! आम्ही आठवड्यातून दोनदा आणि फक्त व्यवसायावर लिहित नाही.

स्त्रोत: www.habr.com