{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 instrumente open-source pentru monitorizarea securit\u0103\u021bii sistemelor cloud pe care ar trebui s\u0103 le cuno\u0219ti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

R\u0103sp\u00e2ndirea extins\u0103 a calculului cloud ajut\u0103 companiile s\u0103-\u0219i scaleze afacerile. Dar utilizarea noilor platforme aduce \u0219i noi amenin\u021b\u0103ri. Suportul unei echipe interne dedicate monitoriz\u0103rii securit\u0103\u021bii serviciilor cloud este o sarcin\u0103 complex\u0103. Instrumentele existente de monitorizare sunt scumpe \u0219i lente. Acestea sunt, \u00een unele privin\u021be, greu de gestionat atunci c\u00e2nd trebuie s\u0103 asigure securitatea unei infrastructuri cloud de mari dimensiuni. Companiile, pentru a-\u0219i men\u021bine securitatea cloud la un nivel ridicat, au nevoie de instrumente puternice, flexibile \u0219i u\u0219or de folosit, ale c\u0103ror capabilit\u0103\u021bi dep\u0103\u0219esc ceea ce era disponibil anterior. Aici intervine tehnologia open-source, care ajut\u0103 la economisirea bugetelor pentru securitate \u0219i este dezvoltat\u0103 de speciali\u0219ti ce cunosc domeniul.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

\u00cen articolul al c\u0103rui traducere o public\u0103m ast\u0103zi, g\u0103si\u021bi o prezentare a 7 instrumente open-source pentru monitorizarea securit\u0103\u021bii sistemelor cloud. Aceste instrumente sunt concepute pentru a proteja \u00eempotriva hackerilor \u0219i infractorilor cibernetici prin detectarea anomaliilor \u0219i a ac\u021biunilor nesigure.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> este un sistem pentru monitorizarea la nivel de baz\u0103 \u0219i analiza sistemelor de operare, care permite speciali\u0219tilor \u00een securitate s\u0103 efectueze cercet\u0103ri complexe asupra datelor folosind SQL. Framework-ul Osquery poate func\u021biona pe Linux, macOS, Windows \u0219i FreeBSD. Acesta prezint\u0103 sistemul de operare (OS) sub forma unei baze de date rela\u021bionale cu performan\u021be \u00eenalte. Acest lucru permite speciali\u0219tilor \u00een securitate s\u0103 exploreze OS-ul prin executarea interog\u0103rilor SQL. De exemplu, printr-o interogare, se pot ob\u021bine informa\u021bii despre procesele \u00een execu\u021bie, modulele kernel \u00eenc\u0103rcate, conexiunile de re\u021bea deschise, extensiile instalate ale browserului, evenimentele hardware, sau sumele de control ale fi\u0219ierelor.<\/p>\n

Framework-ul Osquery a fost creat de Facebook. Codul s\u0103u a fost deschis \u00een 2014, dup\u0103 ce compania a realizat c\u0103 nu doar ea are nevoie de instrumente pentru monitorizarea mecanismelor de baz\u0103 ale sistemelor de operare. De atunci, Osquery este folosit de speciali\u0219ti de la companii precum Dactiv, Google, Kolide, Trail of Bits, Uptycs \u0219i multe altele. Recent, a fost anun\u021bat<\/a><\/noindex> anun\u021bat c\u0103 Linux Foundation \u0219i Facebook inten\u021bioneaz\u0103 s\u0103 \u00eenfiin\u021beze un fond pentru sus\u021binerea Osquery.<\/p>\n

Demonul de monitorizare a gazdelor Osquery, denumit osqueryd, permite programarea execut\u0103rii de interog\u0103ri destinate colect\u0103rii datelor din \u00eentreaga infrastructur\u0103 a organiza\u021biei. Demonul adun\u0103 rezultatele interog\u0103rilor \u0219i creeaz\u0103 jurnale care reflect\u0103 modific\u0103rile st\u0103rii infrastructurii. Acest lucru poate ajuta speciali\u0219tii \u00een securitate s\u0103 fie la curent cu starea sistemului \u0219i este deosebit de util pentru identificarea anomaliilor. Capacit\u0103\u021bile Osquery de agregare a jurnalelor pot fi folosite pentru a facilita identificarea programelor mali\u021bioase cunoscute \u0219i necunoscute, precum \u0219i pentru a descoperi punctele de acces ale ciberneticilor \u00een sistem \u0219i pentru a c\u0103uta programele instalate de ace\u0219tia. Iat\u0103<\/a><\/noindex> material, \u00een care se pot g\u0103si detalii despre detectarea anomaliilor folosind Osquery.<\/p>\n

2. GoAudit<\/h2>\n

\nSistem auditul Linux<\/a><\/noindex> este format din dou\u0103 componente principale. Prima este un cod la nivel de kernel, destinat intercept\u0103rii \u0219i monitoriz\u0103rii apelurilor de sistem. A doua component\u0103 este un demon, care ruleaz\u0103 \u00een spa\u021biul utilizatorului, denumit auditd<\/a><\/noindex>. Acesta este responsabil pentru \u00eenregistrarea pe disc a rezultatelor auditului. GoAudit<\/a><\/noindex>, un sistem creat de Slack<\/a><\/noindex> \u0219i lansat \u00een 2016, este destinat \u00eenlocuirii auditd. Are capabilit\u0103\u021bi \u00eembun\u0103t\u0103\u021bite de jurnalizare datorit\u0103 faptului c\u0103 converte\u0219te mesajele multiline despre evenimente generate de sistemul de audit Linux \u00een obiecte JSON unice BLOB, ceea ce simplific\u0103 analiza. Datorit\u0103 GoAudit, se poate accesa direct mecanismele la nivel de kernel prin re\u021bea. \u00cen plus, se poate activa filtrarea minim\u0103 a evenimentelor pe gazd\u0103 (sau se poate dezactiva complet filtrarea). Totu\u0219i, GoAudit este un proiect destinat nu doar asigur\u0103rii securit\u0103\u021bii. Acest instrument este conceput ca un mediu multifunc\u021bional pentru speciali\u0219tii care se ocup\u0103 cu \u00eentre\u021binerea sistemelor sau dezvoltarea. Ajut\u0103 la rezolvarea problemelor \u00een infrastructuri de mari dimensiuni.<\/p>\n

Sistemul GoAudit este scris \u00een Golang. Acesta este un limbaj tipizat sigur \u0219i de \u00eenalt\u0103 performan\u021b\u0103. \u00cenainte de instalarea GoAudit, verifica\u021bi ca versiunea dvs. de Golang s\u0103 fie mai mare de 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProiect Grapl<\/a><\/noindex> (Graph Analytics Platform) a fost transformat\u0103 \u00een software open-source \u00een martie anul trecut. Aceasta este o platform\u0103 relativ nou\u0103 pentru detectarea problemelor de securitate, pentru efectuarea de expertize judiciare informatice \u0219i pentru generarea de rapoarte despre incidente. Atacatorii lucreaz\u0103 adesea folosind ceva de genul unui model grafic, ob\u021bin\u00e2nd controlul asupra unei anumite sisteme \u0219i investig\u00e2nd alte sisteme de re\u021bea, \u00eencep\u00e2nd cu acel sistem. Din acest motiv, este firesc ca \u0219i ap\u0103r\u0103torii sistemelor s\u0103 utilizeze un mecanism bazat pe un model grafic de rela\u021bii \u00eentre sistemele de re\u021bea, care s\u0103 \u021bin\u0103 cont de specificit\u0103\u021bile rela\u021biilor dintre sisteme. Grapl demonstreaz\u0103 o \u00eencercare de aplicare a m\u0103surilor de identificare a incidentelor \u0219i de r\u0103spuns la acestea, baz\u00e2ndu-se pe un model grafic, nu pe un model de jurnal.<\/p>\n

Instrumentul Grapl prime\u0219te jurnale relevante pentru securitate (jurnale Sysmon sau jurnale \u00een format JSON standard) \u0219i le converte\u0219te \u00een subgrafuri (definind \u201einforma\u021bii de identificare\u201d pentru fiecare nod). Apoi, le combin\u0103 \u00een un graf comun (Master Graph), care reprezint\u0103 ac\u021biunile efectuate \u00een mediile analizate. Ulterior, Grapl ruleaz\u0103 pe graf analizoare (Analyzers) folosind \u201esemn\u0103turi ale atacatorului\u201d pentru a identifica anomalii \u0219i tipare suspecte. C\u00e2nd analizorul detecteaz\u0103 un subgraf suspect, Grapl genereaz\u0103 un constructor Engagement, destinat desf\u0103\u0219ur\u0103rii investiga\u021biilor. Engagement este o clas\u0103 Python care poate fi \u00eenc\u0103rcat\u0103, de exemplu, \u00een Jupyter Notebook, desf\u0103\u0219urat \u00een mediu AWS. \u00cen plus, Grapl poate extinde colectarea informa\u021biilor pentru investigarea incidentului prin extinderea graficului.<\/p>\n

Dac\u0103 dori\u021bi s\u0103 \u00een\u021belege\u021bi mai bine Grapl \u2013 pute\u021bi viziona it<\/a><\/noindex> un videoclip interesant \u2013 \u00eenregistrarea unei prezent\u0103ri de la BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u2014 este un proiect fondat \u00een 2004. Acest proiect poate fi descris \u00een general ca o platform\u0103 open-source de monitorizare a securit\u0103\u021bii, destinat\u0103 analizei gazdelor \u0219i detect\u0103rii intruziunilor. \u00cen fiecare an, OSSEC este desc\u0103rcat de mai bine de 500000 de ori. Aceast\u0103 platform\u0103 este utilizat\u0103, \u00een principal, ca un instrument de detectare a intruziunilor pe servere. Este vorba at\u00e2t despre sistemele locale, c\u00e2t \u0219i despre cele \u00een cloud. De asemenea, OSSEC este adesea folosit ca un instrument de investigare a jurnalelor de monitorizare \u0219i analiza firewall-urilor, sistemelor de detectare a intruziunilor, serverelor web, precum \u0219i pentru studierea jurnalelor de autentificare.<\/p>\n

OSSEC combin\u0103 capacit\u0103\u021bile sistemului de detectare a intruziunilor bazat pe gazde (HIDS, Host-Based Intrusion Detection System) cu un sistem de gestionare a incidentelor de securitate (SIM, Security Incident Management) \u0219i cu un sistem de gestionare a informa\u021biilor de securitate \u0219i a evenimentelor de securitate (SIEM, Security Information and Event Management). OSSEC poate efectua, de asemenea, monitorizarea integrit\u0103\u021bii fi\u0219ierelor \u00een timp real. De exemplu, monitorizarea registrului Windows, detectarea rootkit-urilor. OSSEC poate notifica p\u0103r\u021bile interesate despre problemele detectate \u00een timp real \u0219i ajut\u0103 la reac\u021bia rapid\u0103 la amenin\u021b\u0103rile identificate. Aceast\u0103 platform\u0103 suport\u0103 Microsoft Windows \u0219i majoritatea sistemelor Unix-like moderne, inclusiv Linux, FreeBSD, OpenBSD \u0219i Solaris.<\/p>\n

Platforma OSSEC const\u0103 dintr-o entitate central\u0103 de gestionare, un manager care este utilizat pentru a ob\u021bine \u0219i monitoriza informa\u021biile de la agen\u021bi (programe mici instalate pe sistemele care trebuie monitorizate). Managerul este instalat pe un sistem Linux care stocheaz\u0103 o baz\u0103 de date utilizat\u0103 pentru verificarea integrit\u0103\u021bii fi\u0219ierelor. De asemenea, stocheaz\u0103 jurnale \u0219i \u00eenregistr\u0103ri de evenimente \u0219i rezultate de audit al sistemelor.<\/p>\n

Proiectul OSSEC este \u00een prezent sus\u021binut de compania Atomicorp. Compania se ocup\u0103 de versiunea gratuit\u0103 open-source \u0219i, \u00een plus, ofer\u0103 o versiune extins\u0103<\/a><\/noindex> a produsului comercial. Iat\u0103<\/a><\/noindex> un podcast \u00een care managerul proiectului OSSEC vorbe\u0219te despre cea mai recent\u0103 versiune a sistemului \u2014 OSSEC 3.0. De asemenea, se discut\u0103 despre istoria proiectului \u0219i despre cum se deosebe\u0219te de sistemele comerciale moderne utilizate \u00een domeniul securit\u0103\u021bii cibernetice.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 este un proiect open-source destinat solu\u021bion\u0103rii problemelor fundamentale de securitate a computerelor. \u00cen mod special, este inclus un sistem de detec\u021bie a intruziunilor, un sistem de prevenire a intruziunilor \u0219i un instrument pentru monitorizarea securit\u0103\u021bii re\u021belei.<\/p>\n

Acest produs a ap\u0103rut \u00een 2009. Func\u021bionarea sa se bazeaz\u0103 pe reguli. Asta \u00eenseamn\u0103 c\u0103 utilizatorul are posibilitatea de a descrie anumite caracteristici ale traficului de re\u021bea. Dac\u0103 o regul\u0103 se activeaz\u0103, Suricata genereaz\u0103 o notificare, bloc\u00e2nd sau \u00eentrerup\u00e2nd o conexiune suspect\u0103, \u00een func\u021bie de regulile stabilite. Proiectul suport\u0103, de asemenea, func\u021bionarea \u00een modul multiplu, ceea ce permite procesarea rapid\u0103 a unui num\u0103r mare de reguli \u00een re\u021bele cu volume mari de trafic. Datorit\u0103 suportului pentru multiprocesare, un server obi\u0219nuit poate analiza cu succes traficul la o vitez\u0103 de 10 Gbit\/s. \u00cen acest fel, administratorul nu trebuie s\u0103 limiteze setul de reguli utilizate pentru analiza traficului. Suricata suport\u0103, de asemenea, hash-urile \u0219i extragerea fi\u0219ierelor.<\/p>\n

Suricata poate fi configurat\u0103 pentru a func\u021biona pe servere obi\u0219nuite sau pe ma\u0219ini virtuale, de exemplu, \u00een AWS, folosind recent introdusa op\u021biune din produs. monitorizarea-traficului<\/a><\/noindex>.<\/p>\n

Proiectul suport\u0103 scripturi Lua, care pot fi utilizate pentru a crea logici complexe \u0219i detaliate pentru analiza semn\u0103turilor de amenin\u021bare.<\/p>\n

Proiectul Suricata este gestionat de Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nLa fel ca Suricata, Zeek<\/a><\/noindex> (acest proiect a fost denumit anterior Bro \u0219i a fost redenumit Zeek la evenimentul BroCon 2018) \u2014 este, de asemenea, un sistem pentru detec\u021bia intruziunilor \u0219i un instrument pentru monitorizarea securit\u0103\u021bii re\u021belei, capabil s\u0103 identifice anomalii, cum ar fi ac\u021biuni suspecte sau periculoase. Zeek se deosebe\u0219te de IDS-urile tradi\u021bionale prin faptul c\u0103, spre deosebire de sistemele bazate pe reguli care identific\u0103 excep\u021bii, Zeek captureaz\u0103 \u0219i metadatele legate de activitatea din re\u021bea. Acest lucru se face pentru a \u00een\u021belege mai bine contextul comportamentului neobi\u0219nuit al re\u021belei. De exemplu, permite analiza unui apel HTTP sau a unei proceduri de schimb de certificate de securitate, examin\u00e2nd protocolul, antetele pachetelor, numele de domeniu.<\/p>\n

Dac\u0103 analiz\u0103m Zeek ca instrument de securitate re\u021bea, putem spune c\u0103 ofer\u0103 specialistului posibilitatea de a investiga un incident, afl\u00e2nd ce s-a \u00eent\u00e2mplat \u00eenainte sau \u00een timpul incidentului. Zeek, de asemenea, converte\u0219te datele despre traficul de re\u021bea \u00een evenimente de nivel \u00eenalt \u0219i permite lucrul cu un interpret de scripturi. Interpreterul suport\u0103 un limbaj de programare utilizat pentru organizarea interac\u021biunii cu evenimentele \u0219i pentru a determina ce \u00eenseamn\u0103 aceste evenimente \u00een contextul securit\u0103\u021bii re\u021belei. Limbajul de programare Zeek poate fi folosit pentru a personaliza interpretarea metadatelor \u00een func\u021bie de nevoile specifice ale organiza\u021biei. Acesta permite construirea de condi\u021bii logice complexe, folosind operatorii AND, OR \u0219i NOT. Acest lucru le ofer\u0103 utilizatorilor posibilitatea de a personaliza procesul de analiz\u0103 a mediului lor. Totu\u0219i, este important de men\u021bionat c\u0103, comparativ cu Suricata, Zeek poate p\u0103rea un instrument destul de complicat pentru investigarea amenin\u021b\u0103rilor de securitate.<\/p>\n

Dac\u0103 sunte\u021bi interesat de detalii despre Zeek \u2014 contacta\u021bi acestei<\/a><\/noindex> video.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u2014 este o platform\u0103 puternic\u0103, ini\u021bial orientat\u0103 spre func\u021bionarea \u00een cloud pentru organizarea monitoriz\u0103rii continue a securit\u0103\u021bii. A devenit recent un proiect open-source. La baza proiectului se afl\u0103 arhitectul principal StreamAlert<\/a><\/noindex> \u2014 o solu\u021bie pentru analiza automatizat\u0103 a jurnalelor, al c\u0103rei cod a fost deschis de compania Airbnb. Panther ofer\u0103 utilizatorului un sistem unic pentru detectarea centralizat\u0103 a amenin\u021b\u0103rilor \u00een toate mediile \u0219i pentru organizarea reac\u021biei la acestea. Acest sistem poate s\u0103 creasc\u0103 odat\u0103 cu dimensiunea infrastructurii deservite. Detectarea amenin\u021b\u0103rilor este organizat\u0103 prin reguli deterministice transparente, realizate pentru a reduce procentul de alerte false \u0219i a diminua sarcina inutil\u0103 asupra speciali\u0219tilor \u00een securitate.<\/p>\n

Printre func\u021bionalit\u0103\u021bile principale ale Panther se num\u0103r\u0103 urm\u0103toarele:<\/p>\n