A ampla disseminação da computação em nuvem ajuda as empresas a escalarem seus negócios. No entanto, a adoção de novas plataformas também traz novas ameaças. O suporte dentro da organização por uma equipe dedicada ao monitoramento da segurança dos serviços em nuvem é uma tarefa complexa. As ferramentas de monitoramento existentes são caras e lentas. Elas podem ser difíceis de gerenciar quando se precisa garantir a segurança de uma infraestrutura de nuvem em grande escala. As empresas, para manter sua segurança em nuvem em alto nível, precisam de ferramentas poderosas, flexíveis e intuitivas, cujas capacidades superem aquelas que estavam disponíveis anteriormente. É aqui que as tecnologias de código aberto se tornam úteis, ajudando a economizar orçamentos de segurança e sendo desenvolvidas por especialistas que conhecem bem suas áreas.
No artigo, cuja tradução publicamos hoje, é apresentado um panorama de 7 ferramentas de código aberto para monitoramento da segurança de sistemas em nuvem. Essas ferramentas são destinadas a proteger contra hackers e criminosos cibernéticos, detectando anomalias e ações inseguras.
1. Osquery
é um sistema para monitoramento e análise em nível baixo de sistemas operacionais, que permite aos profissionais de segurança realizar investigações complexas de dados usando SQL. O framework Osquery pode ser executado em Linux, macOS, Windows e FreeBSD. Ele apresenta o sistema operacional (SO) na forma de um banco de dados relacional de alto desempenho. Isso permite que os especialistas em segurança investiguem o SO realizando consultas SQL. Por exemplo, uma consulta pode revelar processos em execução, módulos do kernel carregados, conexões de rede abertas, extensões de navegador instaladas, eventos de hardware e somas de verificação de arquivos.
O framework Osquery foi criado pelo Facebook. Seu código foi aberto em 2014, após a empresa perceber que não era a única necessitando de ferramentas para monitorar mecanismos de baixo nível de sistemas operacionais. Desde então, o Osquery tem sido utilizado por especialistas de empresas como Dactiv, Google, Kolide, Trail of Bits, Uptycs, e muitas outras. Recentemente, houve notícias de que a Linux Foundation e o Facebook estão planejando estabelecer um fundo de apoio ao Osquery.
O daemon de monitoramento de hosts Osquery, chamado osqueryd, permite programar a execução de consultas destinadas a coletar dados de toda a infraestrutura da organização. O daemon coleta os resultados das consultas e cria logs que refletem a mudança de estado da infraestrutura. Isso pode ajudar os especialistas em segurança a se manterem informados sobre a situação do sistema e é especialmente útil na identificação de anomalias. As capacidades de agregação de logs do Osquery podem ser utilizadas para facilitar a busca de malware conhecido e desconhecido, assim como para identificar as áreas de infiltração dos invasores no sistema e encontrar os programas que eles instalaram. material onde se podem encontrar detalhes sobre a detecção de anomalias usando o Osquery.
2. GoAudit
Sistema consiste em dois componentes principais. O primeiro é um código de nível de kernel projetado para interceptar e monitorar chamadas de sistema. O segundo componente é um daemon que opera no espaço do usuário, chamado . Ele é responsável por gravar em disco os resultados da auditoria. , um sistema criado pela e lançado em 2016, destinado a substituir o auditd. Ele possui capacidades de logging aprimoradas, pois converte mensagens de eventos multilinhas geradas pelo sistema de auditoria Linux em objetos BLOB JSON únicos, o que simplifica a análise. Com o GoAudit, é possível acessar diretamente mecanismos de nível de kernel pela rede. Além disso, a filtragem mínima de eventos pode ser habilitada no próprio host (ou totalmente desabilitada). O GoAudit, no entanto, é um projeto projetado não apenas para garantir a segurança. Esta ferramenta foi concebida como um recurso multifuncional para especialistas em suporte de sistemas ou desenvolvimento. Ela ajuda a resolver problemas em infraestruturas em larga escala.
O sistema GoAudit é escrito em Golang. Este é um idioma seguro em termos de tipos e de alto desempenho. Antes de instalar o GoAudit, verifique se a versão do Golang que você possui é superior a 1.7.
3. Grapl
Projeto (Graph Analytics Platform) foi classificado como open source em março do ano passado. Esta é uma plataforma relativamente nova para detectar problemas de segurança, realizar investigações forenses digitais e elaborar relatórios de incidentes. Os atacantes muitas vezes operam usando algo semelhante a um modelo de grafo, obtendo controle sobre um sistema específico e explorando outros sistemas de rede a partir desse sistema. Portanto, é natural que os defensores dos sistemas também utilizem um mecanismo baseado em um modelo de grafo das relações dos sistemas de rede, considerando as características das interações entre eles. O Grapl demonstra uma tentativa de aplicar medidas para identificar e responder a incidentes, com base em um modelo de grafo, e não em um modelo de log.
A ferramenta Grapl aceita logs relacionados à segurança (logs Sysmon ou logs em formato JSON padrão) e os converte em subgrafos (definindo 'informações de identificação' para cada nó). Em seguida, ela combina os subgrafos em um grafo geral (Master Graph), que representa as ações realizadas nos ambientes analisados. Depois, o Grapl executa analisadores (Analyzers) no grafo resultante, usando 'assinaturas de atacantes' para identificar anomalias e padrões suspeitos. Quando um analisador identifica um subgrafo suspeito, o Grapl gera um construtor Engagement, destinado à condução de investigações. Engagement é uma classe Python que pode ser carregada, por exemplo, em um Jupyter Notebook implantado no ambiente AWS. Além disso, o Grapl pode expandir a coleta de informações para a investigação de incidentes através da ampliação do grafo.
Se você deseja entender melhor o Grapl, pode assistir a um vídeo interessante — gravação da apresentação no BSides Las Vegas 2019.
4. OSSEC
— é um projeto fundado em 2004. Este projeto, em geral, pode ser caracterizado como uma plataforma de código aberto para monitoramento de segurança, destinada à análise de hosts e à detecção de intrusões. Anualmente, o OSSEC é baixado mais de 500.000 vezes. Esta plataforma é utilizada, principalmente, como um meio de detecção de intrusões em servidores. Tanto em sistemas locais quanto em sistemas em nuvem. Além disso, o OSSEC é frequentemente usado como uma ferramenta para pesquisa de logs de monitoramento e análise de firewalls, sistemas de detecção de intrusões e servidores web, além de estudar logs de autenticação.
O OSSEC combina as capacidades de um sistema de detecção de intrusões baseado em host (HIDS, Host-Based Intrusion Detection System) com um sistema de gerenciamento de incidentes de segurança (SIM, Security Incident Management) e com um sistema de gerenciamento de informações de segurança e eventos de segurança (SIEM, Security Information and Event Management). Além disso, o OSSEC pode monitorar a integridade dos arquivos em tempo real. Isso inclui, por exemplo, o monitoramento do registro do Windows e a detecção de rootkits. O OSSEC consegue notificar as partes interessadas sobre problemas detectados em tempo real e ajudar a reagir rapidamente a ameaças encontradas. Esta plataforma é compatível com Microsoft Windows e a maioria dos sistemas Unix-like modernos, incluindo Linux, FreeBSD, OpenBSD e Solaris.
A plataforma OSSEC consiste em uma entidade central de gerenciamento, um gerenciador usado para receber e monitorar informações de agentes (programas pequenos instalados em sistemas que precisam ser monitorados). O gerenciador é instalado em um sistema Linux, que armazena um banco de dados utilizado para verificar a integridade dos arquivos. Além disso, ele armazena logs e registros de eventos e resultados de auditorias de sistemas.
O projeto OSSEC é atualmente mantido pela empresa Atomicorp. A empresa cuida da versão gratuita de código aberto e, além disso, oferece comercial do produto. um podcast onde o gerente do projeto OSSEC fala sobre a nova versão do sistema — OSSEC 3.0. Também é discutida a história do projeto e como ele difere dos sistemas comerciais modernos utilizados na área de segurança da informação.
5. Suricata
— é um projeto de código aberto voltado para resolver as principais questões de segurança cibernética. Em particular, inclui um sistema de detecção de intrusões, um sistema de prevenção de intrusões e uma ferramenta para monitoramento da segurança da rede.
Este produto foi lançado em 2009. Seu funcionamento é baseado em regras. Ou seja, quem o utiliza tem a possibilidade de descrever certas características do tráfego de rede. Se uma regra é acionada, o Suricata gera uma notificação, bloqueando ou interrompendo a conexão suspeita, o que, por sua vez, depende das regras definidas. O projeto também suporta operação em modo multithread. Isso permite um rápido processamento de um grande número de regras em redes que lidam com altos volumes de tráfego. Graças ao suporte à multithreading, até um servidor comum pode analisar com sucesso o tráfego a uma velocidade de 10 Gbps. Nesse caso, o administrador não precisa restringir o conjunto de regras usadas para análise de tráfego. O Suricata, além disso, suporta hash e extração de arquivos.
O Suricata pode ser configurado para funcionar em servidores comuns ou em máquinas virtuais, por exemplo, na AWS, utilizando a nova funcionalidade recentemente adicionada ao produto. .
O projeto suporta scripts Lua, permitindo a criação de lógicas complexas e detalhadas para a análise de assinaturas de ameaças.
O projeto Suricata é gerido pela Open Information Security Foundation (OISF).
6. Zeek (Bro)
Assim como o Suricata, (este projeto era anteriormente chamado de Bro e foi renomeado para Zeek no evento BroCon 2018) — também é um sistema de detecção de intrusões e uma ferramenta para monitoramento da segurança da rede, que pode identificar anomalias, como ações suspeitas ou perigosas. O Zeek se diferencia dos IDS tradicionais porque, ao contrário dos sistemas baseados em regras que detectam exceções, também captura metadados relacionados ao que ocorre na rede. Isso é feito para compreender melhor o contexto do comportamento incomum na rede. Por exemplo, ao analisar uma chamada HTTP ou um processo de troca de certificados de segurança, é possível olhar para o protocolo, os cabeçalhos dos pacotes e os nomes de domínio.
Se considerarmos o Zeek como uma ferramenta de segurança de rede, podemos afirmar que ele oferece ao especialista a capacidade de investigar um incidente, entendendo o que aconteceu antes ou durante o evento. O Zeek, além disso, converte dados de tráfego de rede em eventos de alto nível e permite trabalhar com um interpretador de scripts. O interpretador suporta a linguagem de programação usada para organizar a interação com os eventos e para esclarecer o que esses eventos significam em termos de segurança de rede. A linguagem de programação do Zeek pode ser utilizada para configurar a interpretação de metadados conforme a necessidade específica de uma organização. Ela permite construir condições lógicas complexas, utilizando operadores AND, OR e NOT. Isso dá aos usuários a possibilidade de personalizar o processo de análise de seus ambientes. No entanto, é importante notar que, em comparação com o Suricata, o Zeek pode parecer uma ferramenta bastante complexa para realizar investigações de ameaças à segurança.
Se você está interessado em saber mais sobre o Zeek, entre em contato com um vídeo.
7. Panther
é uma plataforma poderosa, originalmente projetada para operar na nuvem, destinada à organização de monitoramento contínuo de segurança. Recentemente, foi transformada em um projeto de código aberto. Na origem do projeto está o arquiteto principal é uma solução para análise automatizada de logs, cujo código foi disponibilizado pela empresa Airbnb. O Panther oferece ao usuário um sistema unificado para a detecção centralizada de ameaças em todos os ambientes e para a organização da resposta a elas. Esse sistema é capaz de crescer junto com o tamanho da infraestrutura atendida. A detecção de ameaças é organizada com o uso de regras determinísticas transparentes, projetadas para reduzir o percentual de falsos positivos e diminuir a carga desnecessária sobre os especialistas em segurança.
Entre as principais funcionalidades do Panther, podem ser destacadas as seguintes:
- Detecção de acesso não autorizado a recursos por meio da análise de logs.
- Busca de ameaças, realizada através da investigação de logs que indicam problemas de segurança. A pesquisa é feita utilizando campos de dados padronizados do Panther.
- Verificação do sistema quanto à conformidade com os padrões SOC/PCI/HIPAA utilizando mecanismos Panther.
- Proteção de recursos em nuvem através da correção automática de erros de configuração, que, se explorados por invasores, podem causar problemas sérios.
O Panther é implementado na nuvem AWS da organização usando o AWS CloudFormation. Isso permite que o usuário tenha sempre controle sobre seus dados.
Resultados
O monitoramento da segurança dos sistemas é, hoje em dia, uma tarefa crucial. Na resolução desse desafio, ferramentas de código aberto podem ajudar empresas de qualquer porte, oferecendo uma ampla gama de recursos quase gratuitos ou gratuitos.
Prezados leitores! Quais ferramentas de monitoramento de segurança você utiliza?
Fonte: habr.com
