5 खुला स्रोत सुरक्षा घटना व्यवस्थापन प्रणाली

कसरी राम्रो आईटी सुरक्षा विशेषज्ञ एक साधारण भन्दा फरक छ? होइन, यस तथ्यले होइन कि कुनै पनि समयमा उसले मेमोरीबाट सन्देशहरूको संख्या नाम दिन सक्छ जुन म्यानेजर इगोरले हिजो आफ्नो सहकर्मी मारियालाई पठाएको थियो। एक राम्रो सुरक्षा विशेषज्ञले सम्भावित उल्लङ्घनहरू अग्रिम रूपमा पहिचान गर्न र तिनीहरूलाई वास्तविक समयमा समात्ने प्रयास गर्दछ, घटना जारी नहोस् भनेर सुनिश्चित गर्न हरेक प्रयास गर्दै। सुरक्षा घटना व्यवस्थापन प्रणालीहरू (SIEM, सुरक्षा जानकारी र घटना व्यवस्थापनबाट) ले कुनै पनि प्रयास गरिएका उल्लङ्घनहरूलाई द्रुत रूपमा रेकर्ड गर्ने र ब्लक गर्ने कार्यलाई धेरै सरल बनाउँछ।

परम्परागत रूपमा, SIEM प्रणालीहरूले सूचना सुरक्षा व्यवस्थापन प्रणाली र सुरक्षा घटना व्यवस्थापन प्रणालीलाई जोड्दछ। प्रणालीहरूको महत्त्वपूर्ण विशेषता भनेको वास्तविक समयमा सुरक्षा घटनाहरूको विश्लेषण हो, जसले तपाईंलाई अवस्थित क्षति हुनु अघि तिनीहरूलाई प्रतिक्रिया दिन अनुमति दिन्छ।

SIEM प्रणालीका मुख्य कार्यहरू:

• डाटा सङ्कलन र सामान्यीकरण
• डाटा सहसंबंध
• चेतावनी
• भिजुअलाइजेशन प्यानलहरू
• डाटा भण्डारण को संगठन
• डाटा खोज र विश्लेषण
• रिपोर्टिङ

SIEM प्रणालीहरूको लागि उच्च मागको कारणहरू

हालै, सूचना प्रणालीमा आक्रमणको जटिलता र समन्वय धेरै बढेको छ। एकै समयमा, प्रयोग गरिएको सूचना सुरक्षा उपकरणहरूको जटिल पनि थप जटिल हुँदै गइरहेको छ - नेटवर्क र होस्ट-आधारित घुसपैठ पत्ता लगाउने प्रणालीहरू, DLP प्रणालीहरू, एन्टि-भाइरस प्रणालीहरू र फायरवालहरू, भेद्यता स्क्यानरहरू, इत्यादि। प्रत्येक सुरक्षा उपकरणले विभिन्न स्तरका विवरणहरू भएका घटनाहरूको स्ट्रिम उत्पन्न गर्छ, र प्राय: आक्रमणहरू विभिन्न प्रणालीहरूबाट घटनाहरू ओभरल्याप गरेर मात्र देख्न सकिन्छ।

त्यहाँ सबै प्रकारका व्यावसायिक SIEM प्रणालीहरूको बारेमा धेरै छ लेखिएको, तर हामी नि:शुल्क, पूर्ण विकसित खुला स्रोत SIEM प्रणालीहरूको संक्षिप्त सिंहावलोकन प्रस्ताव गर्दछौं जसमा प्रयोगकर्ताहरूको संख्या वा स्वीकृत भण्डारण गरिएको डाटाको मात्रामा कृत्रिम प्रतिबन्धहरू छैनन्, र सजिलै मापनयोग्य र समर्थित छन्। हामी आशा गर्छौं कि यसले त्यस्ता प्रणालीहरूको सम्भाव्यता मूल्याङ्कन गर्न मद्दत गर्नेछ र त्यस्ता समाधानहरू कम्पनीको व्यापार प्रक्रियाहरूमा एकीकरण गर्न लायक छ कि छैन भनेर निर्णय गर्नेछ।

AlienVault OSSIM

AlienVault OSSIM AlienVault USM को एक खुला स्रोत संस्करण हो, अग्रणी व्यावसायिक SIEM प्रणाली मध्ये एक। OSSIM Snort नेटवर्क घुसपैठ पत्ता लगाउने प्रणाली, Nagios नेटवर्क र होस्ट निगरानी प्रणाली, OSSEC होस्ट-आधारित घुसपैठ पत्ता लगाउने प्रणाली, र OpenVAS भेद्यता स्क्यानर सहित धेरै खुला स्रोत परियोजनाहरू मिलेर बनेको फ्रेमवर्क हो।

यन्त्रहरू निगरानी गर्न, AlienVault एजेन्ट प्रयोग गरिन्छ, जसले होस्टबाट लगहरू syslog ढाँचामा GELF प्लेटफर्ममा पठाउँछ, वा प्लगइन तेस्रो-पक्ष सेवाहरूसँग एकीकरणको लागि प्रयोग गर्न सकिन्छ, जस्तै Cloudflare वेबसाइट रिभर्स प्रोक्सी सेवा वा Okta multi - कारक प्रमाणीकरण प्रणाली।

लग व्यवस्थापन, क्लाउड पूर्वाधार अनुगमन, स्वचालन, र अपडेट गरिएको खतरा जानकारी र भिजुअलाइजेसनको लागि परिष्कृत कार्यक्षमताको साथ USM संस्करण OSSIM भन्दा फरक छ।

लाभ

• प्रमाणित खुला स्रोत परियोजनाहरूमा निर्मित;
• प्रयोगकर्ता र विकासकर्ताहरूको ठूलो समुदाय।

कमीकमजोरी

• क्लाउड प्लेटफर्महरूको निगरानीलाई समर्थन गर्दैन (उदाहरणका लागि, AWS वा Azure);
• त्यहाँ कुनै लग व्यवस्थापन, दृश्य, स्वचालन वा तेस्रो-पक्ष सेवाहरूसँग एकीकरण छैन।

मुहान

MozDef (मोजिला रक्षा प्लेटफर्म)

Mozilla द्वारा विकसित MozDef SIEM प्रणाली सुरक्षा घटना प्रशोधन प्रक्रियाहरू स्वचालित गर्न प्रयोग गरिन्छ। प्रणालीलाई अधिकतम कार्यसम्पादन, स्केलेबिलिटी र गल्ती सहिष्णुता प्राप्त गर्नको लागि ग्राउन्ड अपबाट डिजाइन गरिएको छ, माइक्रोसर्भिस आर्किटेक्चरको साथ - प्रत्येक सेवा डकर कन्टेनरमा चल्छ।

OSSIM जस्तै, MozDef समय-परीक्षण खुला स्रोत परियोजनाहरूमा बनाइएको छ, जसमा Elasticsearch लग अनुक्रमणिका र खोज मोड्युल, लचिलो वेब इन्टरफेस निर्माण गर्नको लागि Meteor प्लेटफर्म, र दृश्य र प्लटिङका ​​लागि Kibana प्लगइन समावेश छ।

घटना सहसंबंध र अलर्टिंग Elasticsearch क्वेरीहरू प्रयोग गरेर प्रदर्शन गरिन्छ, जसले तपाईंलाई Python प्रयोग गरेर आफ्नै घटना प्रशोधन र चेतावनी नियमहरू लेख्न अनुमति दिन्छ। Mozilla को अनुसार, MozDef प्रति दिन 300 मिलियन भन्दा बढी घटनाहरू प्रशोधन गर्न सक्छ। MozDef ले JSON ढाँचामा घटनाहरू मात्र स्वीकार गर्दछ, तर तेस्रो-पक्ष सेवाहरूसँग एकीकरण छ।

लाभ

• एजेन्टहरू प्रयोग गर्दैन - मानक JSON लगहरूसँग काम गर्दछ;
• माइक्रोसर्भिस आर्किटेक्चरको लागि सजिलै मापन गर्नुहोस्;
• AWS CloudTrail र GuardDuty सहित क्लाउड सेवा डेटा स्रोतहरू समर्थन गर्दछ।

कमीकमजोरी

• नयाँ र कम स्थापित प्रणाली।

मुहान

वाजुह

Wazuh ले OSSEC को फोर्कको रूपमा विकास सुरु गर्यो, सबैभन्दा लोकप्रिय खुला स्रोत SIEM मध्ये एक। र अब यो नयाँ कार्यक्षमता, बग समाधान र अनुकूलित वास्तुकला संग यसको आफ्नै अद्वितीय समाधान हो।

प्रणाली ElasticStack स्ट्याक (Elasticsearch, Logstash, Kibana) मा निर्मित छ र दुबै एजेन्ट-आधारित डेटा सङ्कलन र प्रणाली लग इन्जेसन समर्थन गर्दछ। यसले लगहरू उत्पन्न गर्ने तर एजेन्ट स्थापनालाई समर्थन गर्दैन - नेटवर्क उपकरणहरू, प्रिन्टरहरू र बाह्य उपकरणहरू निगरानी गर्नका लागि प्रभावकारी बनाउँछ।

Wazuh ले अवस्थित OSSEC एजेन्टहरूलाई समर्थन गर्दछ र OSSEC बाट Wazuh मा माइग्रेट गर्न मार्गदर्शन पनि प्रदान गर्दछ। यद्यपि OSSEC अझै सक्रिय रूपमा समर्थित छ, नयाँ वेब इन्टरफेस, REST API, नियमहरूको थप पूर्ण सेट, र अन्य धेरै सुधारहरू थपिएको कारण Wazuh लाई OSSEC को निरन्तरताको रूपमा हेरिएको छ।

लाभ

• लोकप्रिय SIEM OSSEC मा आधारित र उपयुक्त;
• विभिन्न स्थापना विकल्पहरूलाई समर्थन गर्दछ: डकर, कठपुतली, शेफ, उत्तरदायी;
• AWS र Azure सहित क्लाउड सेवाहरूको निगरानीलाई समर्थन गर्दछ;
• धेरै प्रकारका आक्रमणहरू पत्ता लगाउन नियमहरूको विस्तृत सेट समावेश गर्दछ र तपाईंलाई PCI DSS v3.1 र CIS सँग तुलना गर्न अनुमति दिन्छ।
• घटना दृश्य र एपीआई समर्थनको लागि Splunk लग भण्डारण र विश्लेषण प्रणाली संग एकीकृत।

कमीकमजोरी

• जटिल वास्तुकला - Wazuh ब्याकएन्ड कम्पोनेन्टहरू बाहेक पूर्ण लोचदार स्ट्याक डिप्लोइमेन्ट चाहिन्छ।

मुहान

प्रिल्युड ओएस

Prelude OSS फ्रान्सेली कम्पनी CS द्वारा विकसित व्यावसायिक Prelude SIEM को खुला स्रोत संस्करण हो। समाधान एक लचिलो, मोड्युलर SIEM प्रणाली हो जसले बहु लग ढाँचाहरूलाई समर्थन गर्दछ, तेस्रो-पक्ष उपकरणहरू जस्तै OSSEC, Snort र Suricata नेटवर्क पत्ता लगाउने प्रणालीसँग एकीकरण।

प्रत्येक घटनालाई IDMEF ढाँचा प्रयोग गरेर सन्देशमा सामान्यीकृत गरिन्छ, जसले अन्य प्रणालीहरूसँग डाटा आदानप्रदानलाई सरल बनाउँछ। तर मलममा फ्लाई छ - Prelude SIEM को व्यावसायिक संस्करणको तुलनामा Prelude OSS प्रदर्शन र कार्यक्षमतामा धेरै सीमित छ, र साना परियोजनाहरू वा SIEM समाधानहरू अध्ययन गर्न र Prelude SIEM को मूल्याङ्कन गर्नको लागि बढी लक्षित छ।

लाभ

• समय-परीक्षण प्रणाली, 1998 देखि विकसित;
• धेरै फरक लग ढाँचाहरू समर्थन गर्दछ;
• IMDEF ढाँचामा डेटालाई सामान्य बनाउँछ, यसलाई अन्य सुरक्षा प्रणालीहरूमा डाटा स्थानान्तरण गर्न सजिलो बनाउँछ।

कमीकमजोरी

• अन्य खुला स्रोत SIEM प्रणालीहरूको तुलनामा कार्यक्षमता र प्रदर्शनमा उल्लेखनीय रूपमा सीमित।

मुहान

सागन

Sagan एक उच्च-प्रदर्शन SIEM हो जसले Snort सँग अनुकूलतालाई जोड दिन्छ। Snort को लागी लेखिएको समर्थन नियमहरु को अतिरिक्त, Sagan Snort डेटाबेस मा लेख्न सक्छ र Shuil इन्टरफेस संग पनि प्रयोग गर्न सकिन्छ। अनिवार्य रूपमा, यो एक हल्का बहु-थ्रेडेड समाधान हो जसले नयाँ सुविधाहरू प्रदान गर्दछ जबकि Snort प्रयोगकर्ताहरूलाई अनुकूल रहन्छ।

लाभ

• Snort डाटाबेस, नियम, र प्रयोगकर्ता इन्टरफेस संग पूर्ण रूपमा उपयुक्त;
• बहु-थ्रेडेड वास्तुकलाले उच्च प्रदर्शन प्रदान गर्दछ।

कमीकमजोरी

• एक सानो समुदाय संग एक अपेक्षाकृत युवा परियोजना;
• एक जटिल स्थापना प्रक्रिया जसमा स्रोतबाट सम्पूर्ण SIEM निर्माण समावेश छ।

मुहान

निष्कर्षमा

वर्णन गरिएका प्रत्येक SIEM प्रणालीहरूको आफ्नै विशेषताहरू र सीमितताहरू छन्, त्यसैले तिनीहरूलाई कुनै पनि संगठनको लागि विश्वव्यापी समाधान भन्न सकिँदैन। यद्यपि, यी समाधानहरू खुला स्रोत हुन्, तिनीहरूलाई तैनाती, परीक्षण, र अत्यधिक लागतहरू बिना मूल्याङ्कन गर्न अनुमति दिन्छ।

तपाइँ ब्लगमा अरू के रोचक पढ्न सक्नुहुन्छ? Cloud4Y

→ सम्पूर्ण ग्रहको VNIITE: कसरी "स्मार्ट घर" प्रणाली USSR मा आविष्कार गरियो
→ कसरी तंत्रिका इन्टरफेसले मानवतालाई मद्दत गर्दछ
→ रूसी बजार मा साइबर बीमा
→ लाइट, क्यामेरा... क्लाउड: बादलले फिल्म उद्योगलाई कसरी परिवर्तन गर्दैछ
→ बादलमा फुटबल - फेसन वा आवश्यकता?

हाम्रो सदस्यता लिनुहोस् तार- च्यानल, ताकि अर्को लेख नछुटाउन! हामी हप्तामा दुई पटक भन्दा बढी र केवल व्यापार मा लेख्छौं।

स्रोत: www.habr.com