{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 narz\u0119dzi open source do monitorowania bezpiecze\u0144stwa system\u00f3w chmurowych, o kt\u00f3rych warto wiedzie\u0107","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Szerokie rozpowszechnienie oblicze\u0144 w chmurze pomaga firmom w skalowaniu dzia\u0142alno\u015bci. Jednak wprowadzenie nowych platform oznacza r\u00f3wnie\u017c pojawienie si\u0119 nowych zagro\u017ce\u0144. Wsparcie wewn\u0119trznej dru\u017cyny odpowiedzialnej za monitorowanie bezpiecze\u0144stwa us\u0142ug w chmurze to zadanie trudne. Istniej\u0105ce narz\u0119dzia monitoruj\u0105ce s\u0105 drogie i wolne. W pewnym zakresie trudno jest nimi zarz\u0105dza\u0107, szczeg\u00f3lnie gdy nale\u017cy zapewni\u0107 bezpiecze\u0144stwo du\u017cej infrastruktury chmurowej. Firmy, aby utrzyma\u0107 swoje bezpiecze\u0144stwo w chmurze na wysokim poziomie, potrzebuj\u0105 mocnych, elastycznych i zrozumia\u0142ych narz\u0119dzi, kt\u00f3rych mo\u017cliwo\u015bci przewy\u017cszaj\u0105 to, co by\u0142o wcze\u015bniej dost\u0119pne. W tym przypadku bardzo pomocne okazuj\u0105 si\u0119 technologie open source, kt\u00f3re pomagaj\u0105 oszcz\u0119dza\u0107 bud\u017cet na bezpiecze\u0144stwo i s\u0105 tworzone przez specjalist\u00f3w znaj\u0105cych si\u0119 na swoim fachu.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

W artykule, kt\u00f3rego t\u0142umaczenie dzisiaj publikujemy, przedstawiono przegl\u0105d 7 narz\u0119dzi open source do monitorowania bezpiecze\u0144stwa system\u00f3w chmurowych. Narz\u0119dzia te maj\u0105 na celu ochron\u0119 przed hakerami i cyberprzest\u0119pcami poprzez wykrywanie anomalii i niebezpiecznych dzia\u0142a\u0144.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> to system do niskopoziomowego monitorowania i analizy system\u00f3w operacyjnych, kt\u00f3ry pozwala specjalistom ds. bezpiecze\u0144stwa przeprowadza\u0107 z\u0142o\u017cone badania danych przy u\u017cyciu SQL. Framework Osquery mo\u017ce dzia\u0142a\u0107 na Linuxie, macOS, Windows i FreeBSD. Reprezentuje system operacyjny (OS) w postaci wysokowydajnej bazy danych relacyjnej. Pozwala to specjalistom ds. bezpiecze\u0144stwa bada\u0107 OS poprzez wykonywanie zapyta\u0144 SQL. Na przyk\u0142ad, za pomoc\u0105 zapytania mo\u017cna dowiedzie\u0107 si\u0119 o uruchomionych procesach, za\u0142adowanych modu\u0142ach j\u0105dra, otwartych po\u0142\u0105czeniach sieciowych, zainstalowanych rozszerzeniach przegl\u0105darki, zdarzeniach sprz\u0119towych, oraz sumach kontrolnych plik\u00f3w.<\/p>\n

Framework Osquery zosta\u0142 stworzony przez Facebooka. Jego kod zosta\u0142 udost\u0119pniony w 2014 roku, po tym jak firma zrozumia\u0142a, \u017ce nie tylko ona sama potrzebuje narz\u0119dzi do monitorowania niskopoziomowych mechanizm\u00f3w system\u00f3w operacyjnych. Od tego czasu z Osquery korzystaj\u0105 specjali\u015bci z takich firm jak Dactiv, Google, Kolide, Trail of Bits, Uptycs oraz wiele innych. Niedawno pojawi\u0142y si\u0119 informacje og\u0142oszono<\/a><\/noindex> o tym, \u017ce Linux Foundation i Facebook zamierzaj\u0105 utworzy\u0107 fundusz wsparcia dla Osquery.<\/p>\n

Demon monitorowania host\u00f3w Osquery, nazywany osqueryd, pozwala na planowanie wykonywania zapyta\u0144 maj\u0105cych na celu zbieranie danych z ca\u0142ej infrastruktury organizacji. Demon zbiera wyniki zapyta\u0144 i tworzy dzienniki, kt\u00f3re odzwierciedlaj\u0105 zmiany w stanie infrastruktury. Mo\u017ce to pom\u00f3c specjalistom ds. bezpiecze\u0144stwa w monitorowaniu sytuacji w systemie i jest szczeg\u00f3lnie u\u017cyteczne do identyfikacji anomalii. Mo\u017cliwo\u015bci Osquery w zakresie agregacji dziennik\u00f3w mog\u0105 by\u0107 wykorzystane do u\u0142atwienia wyszukiwania znanym i nieznanym z\u0142o\u015bliwym oprogramowaniem, a tak\u017ce do identyfikacji punkt\u00f3w, w kt\u00f3rych intruzi wnikn\u0119li do systemu, oraz do znajdowania zainstalowanych przez nich program\u00f3w. Oto<\/a><\/noindex> materia\u0142, w kt\u00f3rym mo\u017cna znale\u017a\u0107 szczeg\u00f3\u0142y dotycz\u0105ce wykrywania anomalii za pomoc\u0105 Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSystem audyt Linux<\/a><\/noindex> sk\u0142ada si\u0119 z dw\u00f3ch g\u0142\u00f3wnych komponent\u00f3w. Pierwszy to pewien kod na poziomie j\u0105dra, przeznaczony do przechwytywania i monitorowania wywo\u0142a\u0144 systemowych. Drugi komponent to demon dzia\u0142aj\u0105cy w przestrzeni u\u017cytkownika, nazywany auditd<\/a><\/noindex>. Odpowiada on za zapisywanie wynik\u00f3w audytu na dysku. GoAudit<\/a><\/noindex>, system stworzony przez Slack<\/a><\/noindex> i wydany w 2016 roku, przeznaczony jest do zast\u0105pienia auditd. Posiada ulepszone mo\u017cliwo\u015bci logowania dzi\u0119ki konwersji wielowierszowych komunikat\u00f3w o zdarzeniach generowanych przez system audytu Linux w jedne obiekty BLOB JSON, co u\u0142atwia analiz\u0119. Dzi\u0119ki GoAudit mo\u017cna bezpo\u015brednio uzyskiwa\u0107 dost\u0119p do mechanizm\u00f3w na poziomie j\u0105dra przez sie\u0107. Ponadto mo\u017cna w\u0142\u0105czy\u0107 minimalne filtrowanie zdarze\u0144 na samym ho\u015bcie (lub ca\u0142kowicie wy\u0142\u0105czy\u0107 filtrowanie). Warto doda\u0107, \u017ce GoAudit to projekt nie tylko dla zapewnienia bezpiecze\u0144stwa. To narz\u0119dzie zaprojektowane jako wielofunkcyjne wsparcie dla specjalist\u00f3w zajmuj\u0105cych si\u0119 administracj\u0105 systemami lub programowaniem. Pomaga w rozwi\u0105zywaniu problem\u00f3w w du\u017cych infrastrukturach.<\/p>\n

System GoAudit jest napisany w Golang. To bezpieczny typowo i wysokowydajny j\u0119zyk. Przed zainstalowaniem GoAudit upewnij si\u0119, \u017ce posiadasz wersj\u0119 Golang powy\u017cej 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjekt Grapl<\/a><\/noindex> (Graph Analytics Platform) zosta\u0142 przet\u0142umaczony na open source w marcu ubieg\u0142ego roku. Jest to stosunkowo nowa platforma do wykrywania problem\u00f3w z bezpiecze\u0144stwem, przeprowadzania ekspertyz komputerowych oraz tworzenia raport\u00f3w o incydentach. Atakuj\u0105cy cz\u0119sto dzia\u0142aj\u0105, wykorzystuj\u0105c co\u015b, co przypomina model grafu, uzyskuj\u0105c kontrol\u0119 nad okre\u015blon\u0105 systemem i badaj\u0105c inne systemy sieciowe, zaczynaj\u0105c od tego systemu. Dlatego ca\u0142kowicie naturalne jest, \u017ce r\u00f3wnie\u017c obro\u0144cy system\u00f3w b\u0119d\u0105 u\u017cywa\u0107 mechanizmu opartego na modelu grafu relacji system\u00f3w sieciowych, uwzgl\u0119dniaj\u0105c cechy wi\u0119zi mi\u0119dzy systemami. Grapl demonstruje pr\u00f3b\u0119 zastosowania \u015brodk\u00f3w do wykrywania incydent\u00f3w oraz reagowania na nie, opieraj\u0105c si\u0119 na modelu grafu, a nie na modelu log\u00f3w.<\/p>\n

Narz\u0119dzie Grapl przyjmuje logi zwi\u0105zane z bezpiecze\u0144stwem (logi Sysmon lub logi w standardowym formacie JSON) i konwertuje je na podgrafy (okre\u015blaj\u0105c \u201einformacje identyfikacyjne\u201d dla ka\u017cdego w\u0119z\u0142a). Nast\u0119pnie \u0142\u0105czy podgrafy w og\u00f3lny graf (Master Graph), kt\u00f3ry przedstawia dzia\u0142ania podj\u0119te w analizowanych \u015brodowiskach. Nast\u0119pnie Grapl uruchamia na otrzymanym grafie analizatory (Analyzers) przy u\u017cyciu \u201esygnatur atakuj\u0105cego\u201d do wykrywania anomalii i podejrzanych wzorc\u00f3w. Gdy analizator identyfikuje podejrzany podgraf, Grapl generuje konstrukcj\u0119 Engagement, przeznaczon\u0105 do prowadzenia dochodze\u0144. Engagement to klasa Pythona, kt\u00f3r\u0105 mo\u017cna za\u0142adowa\u0107 na przyk\u0142ad w Jupyter Notebook dzia\u0142aj\u0105cym w \u015brodowisku AWS. Grapl potrafi r\u00f3wnie\u017c zwi\u0119ksza\u0107 zakres zbierania informacji w celu prowadzenia dochodzenia w sprawie incydentu przez rozszerzenie grafu.<\/p>\n

Je\u015bli chcesz lepiej zrozumie\u0107 Grapl \u2014 mo\u017cesz obejrze\u0107 to<\/a><\/noindex> interesuj\u0105cy film \u2014 nagranie wyst\u0105pienia z BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 to projekt za\u0142o\u017cony w 2004 roku. Mo\u017cna go w skr\u00f3cie opisa\u0107 jako otwart\u0105 platform\u0119 monitorowania bezpiecze\u0144stwa, kt\u00f3ra koncentruje si\u0119 na analizie host\u00f3w i wykrywaniu intruzji. Co roku OSSEC jest pobierany ponad 500000 razy. Platforma ta jest g\u0142\u00f3wnie u\u017cywana jako narz\u0119dzie do wykrywania intruzji w serwery, zar\u00f3wno lokalne, jak i w chmurze. OSSEC jest r\u00f3wnie\u017c cz\u0119sto wykorzystywany jako narz\u0119dzie do analizy dziennik\u00f3w monitorowania i analizy zap\u00f3r sieciowych, system\u00f3w wykrywania intruzji, serwer\u00f3w WWW oraz w badaniach dziennik\u00f3w uwierzytelniania.<\/p>\n

OSSEC \u0142\u0105czy mo\u017cliwo\u015bci systemu wykrywania intruzji na poziomie hosta (HIDS, Host-Based Intrusion Detection System) z systemem zarz\u0105dzania incydentami bezpiecze\u0144stwa (SIM, Security Incident Management) oraz systemem zarz\u0105dzania informacjami i zdarzeniami bezpiecze\u0144stwa (SIEM, Security Information and Event Management). OSSEC potrafi r\u00f3wnie\u017c monitorowa\u0107 integralno\u015b\u0107 plik\u00f3w w czasie rzeczywistym, np. monitorowanie rejestru Windows, wykrywanie rootkit\u00f3w. OSSEC ma zdolno\u015b\u0107 powiadamiania zainteresowanych o wykrytych problemach w czasie rzeczywistym i wspiera szybk\u0105 reakcj\u0119 na znalezione zagro\u017cenia. Platforma wspiera Microsoft Windows oraz wi\u0119kszo\u015b\u0107 nowoczesnych system\u00f3w Unix-podobnych, w tym Linux, FreeBSD, OpenBSD i Solaris.<\/p>\n

Platforma OSSEC sk\u0142ada si\u0119 z centralnej jednostki zarz\u0105dzaj\u0105cej, mened\u017cera, kt\u00f3ry zbiera i monitoruje informacje od agent\u00f3w (ma\u0142ych program\u00f3w zainstalowanych w systemach do monitorowania). Mened\u017cer jest instalowany na systemie Linux, kt\u00f3ry przechowuje baz\u0119 danych wykorzystywan\u0105 do monitorowania integralno\u015bci plik\u00f3w. Dodatkowo przechowuje on dzienniki i rejestry zdarze\u0144 oraz wyniki audytu system\u00f3w.<\/p>\n

Wsparciem projektu OSSEC obecnie zajmuje si\u0119 firma Atomicorp. Firma nadzoruje darmow\u0105 wersj\u0119 open-source i ponadto oferuje rozszerzon\u0105<\/a><\/noindex> komercyjn\u0105 wersj\u0119 produktu. Oto<\/a><\/noindex> podcast, w kt\u00f3rym mened\u017cer projektu OSSEC opowiada o najnowszej wersji systemu \u2014 OSSEC 3.0. Poruszane s\u0105 tam r\u00f3wnie\u017c historia projektu i r\u00f3\u017cnice mi\u0119dzy nim a wsp\u00f3\u0142czesnymi systemami komercyjnymi u\u017cywanymi w dziedzinie bezpiecze\u0144stwa komputerowego.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> to jest projekt oparty na open source, kt\u00f3ry koncentruje si\u0119 na rozwi\u0105zaniu podstawowych problem\u00f3w zwi\u0105zanych z zapewnieniem bezpiecze\u0144stwa komputerowego. W szczeg\u00f3lno\u015bci obejmuje system wykrywania w\u0142ama\u0144, system zapobiegania w\u0142amaniom oraz narz\u0119dzie do monitorowania bezpiecze\u0144stwa sieciowego.<\/p>\n

Ten produkt pojawi\u0142 si\u0119 w 2009 roku. Jego dzia\u0142anie opiera si\u0119 na zasadach. To znaczy, \u017ce u\u017cytkownik ma mo\u017cliwo\u015b\u0107 opisania pewnych cech ruchu sieciowego. Gdy zasada zostanie aktywowana, Suricata generuje powiadomienie, blokuj\u0105c lub zrywaj\u0105c podejrzane po\u0142\u0105czenie, co znowu zale\u017cy od ustalonych zasad. Projekt wspiera r\u00f3wnie\u017c dzia\u0142anie w trybie wielow\u0105tkowym. Pozwala to na szybkie przetwarzanie du\u017cej liczby zasad w sieciach o du\u017cym nat\u0119\u017ceniu ruchu. Dzi\u0119ki wsparciu dla wielow\u0105tkowo\u015bci, zwyk\u0142y serwer jest w stanie skutecznie analizowa\u0107 ruch przy pr\u0119dko\u015bci 10 Gbit\/s. Przy tym administrator nie musi ogranicza\u0107 zestawu zasad u\u017cywanych do analizy ruchu. Suricata wspiera r\u00f3wnie\u017c haszowanie i wydobywanie plik\u00f3w.<\/p>\n

Suricata mo\u017cna skonfigurowa\u0107 do dzia\u0142ania na zwyk\u0142ych serwerach lub maszynach wirtualnych, na przyk\u0142ad w AWS, z wykorzystaniem nowo dodanej funkcji w produkcie. monitorowanie ruchu<\/a><\/noindex>.<\/p>\n

Projekt wspiera skrypty Lua, kt\u00f3re umo\u017cliwiaj\u0105 tworzenie z\u0142o\u017conej i szczeg\u00f3\u0142owej logiki analizy sygnatur zagro\u017ce\u0144.<\/p>\n

Projektem Suricata zajmuje si\u0119 Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nPodobnie jak Suricata, Zeek<\/a><\/noindex> (ten projekt wcze\u015bniej nazywa\u0142 si\u0119 Bro i zosta\u0142 przemianowany na Zeek podczas wydarzenia BroCon 2018) \u2014 jest r\u00f3wnie\u017c systemem wykrywania w\u0142ama\u0144 oraz narz\u0119dziem do monitorowania bezpiecze\u0144stwa sieci, kt\u00f3re mo\u017ce identyfikowa\u0107 anomalie, takie jak podejrzane lub niebezpieczne dzia\u0142ania. Zeek r\u00f3\u017cni si\u0119 od tradycyjnych IDS tym, \u017ce, w przeciwie\u0144stwie do system\u00f3w opartych na zasadach, kt\u00f3re wykrywaj\u0105 wyj\u0105tki, Zeek r\u00f3wnie\u017c rejestruje metadane zwi\u0105zane z wydarzeniami w sieci. Ma to na celu lepsze zrozumienie kontekstu nietypowego zachowania sieciowego. Na przyk\u0142ad pozwala to, analizuj\u0105c wywo\u0142ania HTTP lub procedury wymiany certyfikat\u00f3w bezpiecze\u0144stwa, przyjrze\u0107 si\u0119 protoko\u0142owi, nag\u0142\u00f3wkom pakiet\u00f3w, nazwom domen.<\/p>\n

Je\u015bli spojrze\u0107 na Zeek jako narz\u0119dzie bezpiecze\u0144stwa sieciowego, mo\u017cna stwierdzi\u0107, \u017ce daje on specjali\u015bcie mo\u017cliwo\u015b\u0107 przeprowadzenia dochodzenia w sprawie incydentu, dowiaduj\u0105c si\u0119, co sprawi\u0142o, \u017ce wydarzy\u0142o si\u0119 to przed lub w trakcie incydentu. Zeek konwertuje dane o ruchu sieciowym na zdarzenia wysokiego poziomu i umo\u017cliwia prac\u0119 z interpreterem skrypt\u00f3w. Interpreter obs\u0142uguje j\u0119zyk programowania u\u017cywany do organizowania interakcji ze zdarzeniami oraz do ustalania, co te zdarzenia oznaczaj\u0105 w kontek\u015bcie bezpiecze\u0144stwa sieciowego. J\u0119zyk programowania Zeek mo\u017ce by\u0107 u\u017cywany do dostosowywania interpretacji metadanych w spos\u00f3b, kt\u00f3ry odpowiada konkretnej organizacji. Pozwala na budowanie z\u0142o\u017conych warunk\u00f3w logicznych z wykorzystaniem operator\u00f3w AND, OR i NOT. Daje to u\u017cytkownikom mo\u017cliwo\u015b\u0107 konfigurowania procedury analizy ich \u015brodowisk. Warto jednak zauwa\u017cy\u0107, \u017ce w por\u00f3wnaniu z Suricat\u0105, Zeek mo\u017ce wydawa\u0107 si\u0119 stosunkowo skomplikowanym narz\u0119dziem do przeprowadzania wywiadu zagro\u017ce\u0144 bezpiecze\u0144stwa.<\/p>\n

Je\u015bli chcesz pozna\u0107 wi\u0119cej szczeg\u00f3\u0142\u00f3w na temat Zeeka \u2013 skontaktuj si\u0119 z tym<\/a><\/noindex> wideo.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> to pot\u0119\u017cna platforma zaprojektowana z my\u015bl\u0105 o pracy w chmurze do ci\u0105g\u0142ego monitorowania bezpiecze\u0144stwa. Niedawno sta\u0142a si\u0119 oprogramowaniem open source. U podstaw projektu stoi g\u0142\u00f3wny architekt StreamAlert<\/a><\/noindex> rozwi\u0105zanie do automatyzowanej analizy log\u00f3w, kt\u00f3rego kod zosta\u0142 udost\u0119pniony przez firm\u0119 Airbnb. Panther oferuje u\u017cytkownikowi jednolity system do centralnego wykrywania zagro\u017ce\u0144 we wszystkich \u015brodowiskach oraz do organizowania reakcji na nie. System ten ma mo\u017cliwo\u015b\u0107 rozwoju wraz z wielko\u015bci\u0105 obs\u0142ugiwanej infrastruktury. Wykrywanie zagro\u017ce\u0144 zosta\u0142o zaplanowane przy u\u017cyciu przejrzystych regu\u0142 deterministycznych, aby zmniejszy\u0107 procent fa\u0142szywych alarm\u00f3w i zredukowa\u0107 zb\u0119dne obci\u0105\u017cenie specjalist\u00f3w ds. bezpiecze\u0144stwa.<\/p>\n

Do g\u0142\u00f3wnych funkcji Pantery mo\u017cna zaliczy\u0107:<\/p>\n