{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 ferramentas de c\u00f3digo aberto para monitoramento de seguran\u00e7a em sistemas de nuvem que voc\u00ea deve conhecer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A ampla dissemina\u00e7\u00e3o da computa\u00e7\u00e3o em nuvem ajuda as empresas a escalarem seus neg\u00f3cios. No entanto, a ado\u00e7\u00e3o de novas plataformas tamb\u00e9m traz novas amea\u00e7as. O suporte dentro da organiza\u00e7\u00e3o por uma equipe dedicada ao monitoramento da seguran\u00e7a dos servi\u00e7os em nuvem \u00e9 uma tarefa complexa. As ferramentas de monitoramento existentes s\u00e3o caras e lentas. Elas podem ser dif\u00edceis de gerenciar quando se precisa garantir a seguran\u00e7a de uma infraestrutura de nuvem em grande escala. As empresas, para manter sua seguran\u00e7a em nuvem em alto n\u00edvel, precisam de ferramentas poderosas, flex\u00edveis e intuitivas, cujas capacidades superem aquelas que estavam dispon\u00edveis anteriormente. \u00c9 aqui que as tecnologias de c\u00f3digo aberto se tornam \u00fateis, ajudando a economizar or\u00e7amentos de seguran\u00e7a e sendo desenvolvidas por especialistas que conhecem bem suas \u00e1reas.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

No artigo, cuja tradu\u00e7\u00e3o publicamos hoje, \u00e9 apresentado um panorama de 7 ferramentas de c\u00f3digo aberto para monitoramento da seguran\u00e7a de sistemas em nuvem. Essas ferramentas s\u00e3o destinadas a proteger contra hackers e criminosos cibern\u00e9ticos, detectando anomalias e a\u00e7\u00f5es inseguras.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> \u00e9 um sistema para monitoramento e an\u00e1lise em n\u00edvel baixo de sistemas operacionais, que permite aos profissionais de seguran\u00e7a realizar investiga\u00e7\u00f5es complexas de dados usando SQL. O framework Osquery pode ser executado em Linux, macOS, Windows e FreeBSD. Ele apresenta o sistema operacional (SO) na forma de um banco de dados relacional de alto desempenho. Isso permite que os especialistas em seguran\u00e7a investiguem o SO realizando consultas SQL. Por exemplo, uma consulta pode revelar processos em execu\u00e7\u00e3o, m\u00f3dulos do kernel carregados, conex\u00f5es de rede abertas, extens\u00f5es de navegador instaladas, eventos de hardware e somas de verifica\u00e7\u00e3o de arquivos.<\/p>\n

O framework Osquery foi criado pelo Facebook. Seu c\u00f3digo foi aberto em 2014, ap\u00f3s a empresa perceber que n\u00e3o era a \u00fanica necessitando de ferramentas para monitorar mecanismos de baixo n\u00edvel de sistemas operacionais. Desde ent\u00e3o, o Osquery tem sido utilizado por especialistas de empresas como Dactiv, Google, Kolide, Trail of Bits, Uptycs, e muitas outras. Recentemente, houve declarado<\/a><\/noindex> not\u00edcias de que a Linux Foundation e o Facebook est\u00e3o planejando estabelecer um fundo de apoio ao Osquery.<\/p>\n

O daemon de monitoramento de hosts Osquery, chamado osqueryd, permite programar a execu\u00e7\u00e3o de consultas destinadas a coletar dados de toda a infraestrutura da organiza\u00e7\u00e3o. O daemon coleta os resultados das consultas e cria logs que refletem a mudan\u00e7a de estado da infraestrutura. Isso pode ajudar os especialistas em seguran\u00e7a a se manterem informados sobre a situa\u00e7\u00e3o do sistema e \u00e9 especialmente \u00fatil na identifica\u00e7\u00e3o de anomalias. As capacidades de agrega\u00e7\u00e3o de logs do Osquery podem ser utilizadas para facilitar a busca de malware conhecido e desconhecido, assim como para identificar as \u00e1reas de infiltra\u00e7\u00e3o dos invasores no sistema e encontrar os programas que eles instalaram. Aqui<\/a><\/noindex> material onde se podem encontrar detalhes sobre a detec\u00e7\u00e3o de anomalias usando o Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSistema auditoria Linux<\/a><\/noindex> consiste em dois componentes principais. O primeiro \u00e9 um c\u00f3digo de n\u00edvel de kernel projetado para interceptar e monitorar chamadas de sistema. O segundo componente \u00e9 um daemon que opera no espa\u00e7o do usu\u00e1rio, chamado auditd<\/a><\/noindex>. Ele \u00e9 respons\u00e1vel por gravar em disco os resultados da auditoria. GoAudit<\/a><\/noindex>, um sistema criado pela Slack<\/a><\/noindex> e lan\u00e7ado em 2016, destinado a substituir o auditd. Ele possui capacidades de logging aprimoradas, pois converte mensagens de eventos multilinhas geradas pelo sistema de auditoria Linux em objetos BLOB JSON \u00fanicos, o que simplifica a an\u00e1lise. Com o GoAudit, \u00e9 poss\u00edvel acessar diretamente mecanismos de n\u00edvel de kernel pela rede. Al\u00e9m disso, a filtragem m\u00ednima de eventos pode ser habilitada no pr\u00f3prio host (ou totalmente desabilitada). O GoAudit, no entanto, \u00e9 um projeto projetado n\u00e3o apenas para garantir a seguran\u00e7a. Esta ferramenta foi concebida como um recurso multifuncional para especialistas em suporte de sistemas ou desenvolvimento. Ela ajuda a resolver problemas em infraestruturas em larga escala.<\/p>\n

O sistema GoAudit \u00e9 escrito em Golang. Este \u00e9 um idioma seguro em termos de tipos e de alto desempenho. Antes de instalar o GoAudit, verifique se a vers\u00e3o do Golang que voc\u00ea possui \u00e9 superior a 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjeto Grapl<\/a><\/noindex> (Graph Analytics Platform) foi classificado como open source em mar\u00e7o do ano passado. Esta \u00e9 uma plataforma relativamente nova para detectar problemas de seguran\u00e7a, realizar investiga\u00e7\u00f5es forenses digitais e elaborar relat\u00f3rios de incidentes. Os atacantes muitas vezes operam usando algo semelhante a um modelo de grafo, obtendo controle sobre um sistema espec\u00edfico e explorando outros sistemas de rede a partir desse sistema. Portanto, \u00e9 natural que os defensores dos sistemas tamb\u00e9m utilizem um mecanismo baseado em um modelo de grafo das rela\u00e7\u00f5es dos sistemas de rede, considerando as caracter\u00edsticas das intera\u00e7\u00f5es entre eles. O Grapl demonstra uma tentativa de aplicar medidas para identificar e responder a incidentes, com base em um modelo de grafo, e n\u00e3o em um modelo de log.<\/p>\n

A ferramenta Grapl aceita logs relacionados \u00e0 seguran\u00e7a (logs Sysmon ou logs em formato JSON padr\u00e3o) e os converte em subgrafos (definindo 'informa\u00e7\u00f5es de identifica\u00e7\u00e3o' para cada n\u00f3). Em seguida, ela combina os subgrafos em um grafo geral (Master Graph), que representa as a\u00e7\u00f5es realizadas nos ambientes analisados. Depois, o Grapl executa analisadores (Analyzers) no grafo resultante, usando 'assinaturas de atacantes' para identificar anomalias e padr\u00f5es suspeitos. Quando um analisador identifica um subgrafo suspeito, o Grapl gera um construtor Engagement, destinado \u00e0 condu\u00e7\u00e3o de investiga\u00e7\u00f5es. Engagement \u00e9 uma classe Python que pode ser carregada, por exemplo, em um Jupyter Notebook implantado no ambiente AWS. Al\u00e9m disso, o Grapl pode expandir a coleta de informa\u00e7\u00f5es para a investiga\u00e7\u00e3o de incidentes atrav\u00e9s da amplia\u00e7\u00e3o do grafo.<\/p>\n

Se voc\u00ea deseja entender melhor o Grapl, pode assistir a isso<\/a><\/noindex> um v\u00eddeo interessante \u2014 grava\u00e7\u00e3o da apresenta\u00e7\u00e3o no BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 \u00e9 um projeto fundado em 2004. Este projeto, em geral, pode ser caracterizado como uma plataforma de c\u00f3digo aberto para monitoramento de seguran\u00e7a, destinada \u00e0 an\u00e1lise de hosts e \u00e0 detec\u00e7\u00e3o de intrus\u00f5es. Anualmente, o OSSEC \u00e9 baixado mais de 500.000 vezes. Esta plataforma \u00e9 utilizada, principalmente, como um meio de detec\u00e7\u00e3o de intrus\u00f5es em servidores. Tanto em sistemas locais quanto em sistemas em nuvem. Al\u00e9m disso, o OSSEC \u00e9 frequentemente usado como uma ferramenta para pesquisa de logs de monitoramento e an\u00e1lise de firewalls, sistemas de detec\u00e7\u00e3o de intrus\u00f5es e servidores web, al\u00e9m de estudar logs de autentica\u00e7\u00e3o.<\/p>\n

O OSSEC combina as capacidades de um sistema de detec\u00e7\u00e3o de intrus\u00f5es baseado em host (HIDS, Host-Based Intrusion Detection System) com um sistema de gerenciamento de incidentes de seguran\u00e7a (SIM, Security Incident Management) e com um sistema de gerenciamento de informa\u00e7\u00f5es de seguran\u00e7a e eventos de seguran\u00e7a (SIEM, Security Information and Event Management). Al\u00e9m disso, o OSSEC pode monitorar a integridade dos arquivos em tempo real. Isso inclui, por exemplo, o monitoramento do registro do Windows e a detec\u00e7\u00e3o de rootkits. O OSSEC consegue notificar as partes interessadas sobre problemas detectados em tempo real e ajudar a reagir rapidamente a amea\u00e7as encontradas. Esta plataforma \u00e9 compat\u00edvel com Microsoft Windows e a maioria dos sistemas Unix-like modernos, incluindo Linux, FreeBSD, OpenBSD e Solaris.<\/p>\n

A plataforma OSSEC consiste em uma entidade central de gerenciamento, um gerenciador usado para receber e monitorar informa\u00e7\u00f5es de agentes (programas pequenos instalados em sistemas que precisam ser monitorados). O gerenciador \u00e9 instalado em um sistema Linux, que armazena um banco de dados utilizado para verificar a integridade dos arquivos. Al\u00e9m disso, ele armazena logs e registros de eventos e resultados de auditorias de sistemas.<\/p>\n

O projeto OSSEC \u00e9 atualmente mantido pela empresa Atomicorp. A empresa cuida da vers\u00e3o gratuita de c\u00f3digo aberto e, al\u00e9m disso, oferece uma vers\u00e3o<\/a><\/noindex> comercial do produto. Aqui<\/a><\/noindex> um podcast onde o gerente do projeto OSSEC fala sobre a nova vers\u00e3o do sistema \u2014 OSSEC 3.0. Tamb\u00e9m \u00e9 discutida a hist\u00f3ria do projeto e como ele difere dos sistemas comerciais modernos utilizados na \u00e1rea de seguran\u00e7a da informa\u00e7\u00e3o.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 \u00e9 um projeto de c\u00f3digo aberto voltado para resolver as principais quest\u00f5es de seguran\u00e7a cibern\u00e9tica. Em particular, inclui um sistema de detec\u00e7\u00e3o de intrus\u00f5es, um sistema de preven\u00e7\u00e3o de intrus\u00f5es e uma ferramenta para monitoramento da seguran\u00e7a da rede.<\/p>\n

Este produto foi lan\u00e7ado em 2009. Seu funcionamento \u00e9 baseado em regras. Ou seja, quem o utiliza tem a possibilidade de descrever certas caracter\u00edsticas do tr\u00e1fego de rede. Se uma regra \u00e9 acionada, o Suricata gera uma notifica\u00e7\u00e3o, bloqueando ou interrompendo a conex\u00e3o suspeita, o que, por sua vez, depende das regras definidas. O projeto tamb\u00e9m suporta opera\u00e7\u00e3o em modo multithread. Isso permite um r\u00e1pido processamento de um grande n\u00famero de regras em redes que lidam com altos volumes de tr\u00e1fego. Gra\u00e7as ao suporte \u00e0 multithreading, at\u00e9 um servidor comum pode analisar com sucesso o tr\u00e1fego a uma velocidade de 10 Gbps. Nesse caso, o administrador n\u00e3o precisa restringir o conjunto de regras usadas para an\u00e1lise de tr\u00e1fego. O Suricata, al\u00e9m disso, suporta hash e extra\u00e7\u00e3o de arquivos.<\/p>\n

O Suricata pode ser configurado para funcionar em servidores comuns ou em m\u00e1quinas virtuais, por exemplo, na AWS, utilizando a nova funcionalidade recentemente adicionada ao produto. traffic-monitoring<\/a><\/noindex>.<\/p>\n

O projeto suporta scripts Lua, permitindo a cria\u00e7\u00e3o de l\u00f3gicas complexas e detalhadas para a an\u00e1lise de assinaturas de amea\u00e7as.<\/p>\n

O projeto Suricata \u00e9 gerido pela Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nAssim como o Suricata, Zeek<\/a><\/noindex> (este projeto era anteriormente chamado de Bro e foi renomeado para Zeek no evento BroCon 2018) \u2014 tamb\u00e9m \u00e9 um sistema de detec\u00e7\u00e3o de intrus\u00f5es e uma ferramenta para monitoramento da seguran\u00e7a da rede, que pode identificar anomalias, como a\u00e7\u00f5es suspeitas ou perigosas. O Zeek se diferencia dos IDS tradicionais porque, ao contr\u00e1rio dos sistemas baseados em regras que detectam exce\u00e7\u00f5es, tamb\u00e9m captura metadados relacionados ao que ocorre na rede. Isso \u00e9 feito para compreender melhor o contexto do comportamento incomum na rede. Por exemplo, ao analisar uma chamada HTTP ou um processo de troca de certificados de seguran\u00e7a, \u00e9 poss\u00edvel olhar para o protocolo, os cabe\u00e7alhos dos pacotes e os nomes de dom\u00ednio.<\/p>\n

Se considerarmos o Zeek como uma ferramenta de seguran\u00e7a de rede, podemos afirmar que ele oferece ao especialista a capacidade de investigar um incidente, entendendo o que aconteceu antes ou durante o evento. O Zeek, al\u00e9m disso, converte dados de tr\u00e1fego de rede em eventos de alto n\u00edvel e permite trabalhar com um interpretador de scripts. O interpretador suporta a linguagem de programa\u00e7\u00e3o usada para organizar a intera\u00e7\u00e3o com os eventos e para esclarecer o que esses eventos significam em termos de seguran\u00e7a de rede. A linguagem de programa\u00e7\u00e3o do Zeek pode ser utilizada para configurar a interpreta\u00e7\u00e3o de metadados conforme a necessidade espec\u00edfica de uma organiza\u00e7\u00e3o. Ela permite construir condi\u00e7\u00f5es l\u00f3gicas complexas, utilizando operadores AND, OR e NOT. Isso d\u00e1 aos usu\u00e1rios a possibilidade de personalizar o processo de an\u00e1lise de seus ambientes. No entanto, \u00e9 importante notar que, em compara\u00e7\u00e3o com o Suricata, o Zeek pode parecer uma ferramenta bastante complexa para realizar investiga\u00e7\u00f5es de amea\u00e7as \u00e0 seguran\u00e7a.<\/p>\n

Se voc\u00ea est\u00e1 interessado em saber mais sobre o Zeek, entre em contato com este<\/a><\/noindex> um v\u00eddeo.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u00e9 uma plataforma poderosa, originalmente projetada para operar na nuvem, destinada \u00e0 organiza\u00e7\u00e3o de monitoramento cont\u00ednuo de seguran\u00e7a. Recentemente, foi transformada em um projeto de c\u00f3digo aberto. Na origem do projeto est\u00e1 o arquiteto principal StreamAlert<\/a><\/noindex> \u00e9 uma solu\u00e7\u00e3o para an\u00e1lise automatizada de logs, cujo c\u00f3digo foi disponibilizado pela empresa Airbnb. O Panther oferece ao usu\u00e1rio um sistema unificado para a detec\u00e7\u00e3o centralizada de amea\u00e7as em todos os ambientes e para a organiza\u00e7\u00e3o da resposta a elas. Esse sistema \u00e9 capaz de crescer junto com o tamanho da infraestrutura atendida. A detec\u00e7\u00e3o de amea\u00e7as \u00e9 organizada com o uso de regras determin\u00edsticas transparentes, projetadas para reduzir o percentual de falsos positivos e diminuir a carga desnecess\u00e1ria sobre os especialistas em seguran\u00e7a.<\/p>\n

Entre as principais funcionalidades do Panther, podem ser destacadas as seguintes:<\/p>\n