7 алата отвореног кода за праћење безбедности цлоуд система о којима вреди знати

Широко усвајање рачунарства у облаку помаже компанијама да повећају своје пословање. Али употреба нових платформи значи и појаву нових претњи. Одржавање сопственог тима унутар организације одговорне за праћење безбедности услуга у облаку није лак задатак. Постојећи алати за праћење су скупи и спори. Њима је, у извесној мери, тешко управљати када је у питању обезбеђење инфраструктуре облака великих размера. Да би своју безбедност у облаку одржале на високом нивоу, компанијама су потребни моћни, флексибилни и интуитивни алати који превазилазе оно што је раније било доступно. Овде су веома корисне технологије отвореног кода, које помажу да се уштеде безбедносни буџети и креирају их стручњаци који знају много о свом пословању.

Чланак, чији превод данас објављујемо, даје преглед 7 алата отвореног кода за праћење безбедности цлоуд система. Ови алати су дизајнирани да заштите од хакера и сајбер криминалаца откривањем аномалија и небезбедних активности.

1. Оскуери

Оскуери је систем за праћење и анализу оперативних система ниског нивоа који омогућава професионалцима за безбедност да спроводе сложено рударење података користећи СКЛ. Оквир Оскуери може да ради на Линук-у, мацОС-у, Виндовс-у и ФрееБСД-у. Представља оперативни систем (ОС) као релациону базу података високих перформанси. Ово омогућава стручњацима за безбедност да испитају ОС покретањем СКЛ упита. На пример, помоћу упита можете сазнати о покренутим процесима, учитаним модулима кернела, отвореним мрежним везама, инсталираним екстензијама прегледача, хардверским догађајима и хешовима датотека.

Оквир Оскуери креирао је Фацебоок. Његов код је отворен 2014. године, након што је компанија схватила да нису само њој потребни алати за праћење механизама ниског нивоа оперативних система. Од тада, Оскуери користе стручњаци из компанија као што су Дацтив, Гоогле, Колиде, Траил оф Битс, Уптицс и многе друге. Недавно је било најавио да ће Линукс фондација и Фејсбук формирати фонд за подршку Оскуерију.

Оскуери-јев демон за праћење хоста, назван оскуерид, омогућава вам да закажете упите који прикупљају податке из инфраструктуре ваше организације. Даемон прикупља резултате упита и креира евиденције које одражавају промене у стању инфраструктуре. Ово може помоћи безбедносним стручњацима да буду у току са статусом система и посебно је корисно за идентификацију аномалија. Оскуери-јеве могућности агрегације евиденције могу се користити да вам помогну да пронађете познати и непознати малвер, као и да идентификујете где су нападачи ушли у ваш систем и да откријете које програме су инсталирали. ovde је Прочитајте више о откривању аномалија користећи Оскуери.

2.ГоАудит

Систем Линук аудит састоји се од две главне компоненте. Први је неки код на нивоу кернела дизајниран да пресретне и надгледа системске позиве. Друга компонента је демон корисничког простора који се зове аудитд. Одговоран је за писање резултата ревизије на диск. ГоАудит, систем који је креирала компанија Слацк и објављен 2016. године, намењен замени ревидираних. Побољшао је могућности евидентирања тако што је конвертовао вишелинијске поруке о догађајима које генерише Линук систем ревизије у појединачне ЈСОН блобове ради лакше анализе. Уз ГоАудит, можете директно да приступите механизмима на нивоу кернела преко мреже. Поред тога, можете омогућити минимално филтрирање догађаја на самом хосту (или потпуно онемогућити филтрирање). Истовремено, ГоАудит је пројекат дизајниран не само да осигура сигурност. Овај алат је дизајниран као алатка богата функцијама за професионалце за подршку система или развој. Помаже у борби против проблема у инфраструктури великих размера.

ГоАудит систем је написан на Голангу. То је језик који је безбедан за типове и има високе перформансе. Пре инсталирања ГоАудита, проверите да ли је ваша верзија Голанг-а виша од 1.7.

3. Грапл

Пројекат Грапл (Грапх Аналитицс Платформ) је у марту прошле године пребачен у категорију отвореног кода. То је релативно нова платформа за откривање безбедносних проблема, спровођење компјутерске форензике и генерисање извештаја о инцидентима. Нападачи често раде користећи нешто попут модела графа, добијајући контролу над једним системом и истражујући друге мрежне системе почевши од тог система. Стога је сасвим природно да ће и браниоци система користити механизам заснован на моделу графа веза мрежних система, узимајући у обзир особености односа између система. Грапл демонстрира покушај да се имплементирају мере детекције инцидената и одговора на основу модела графикона, а не модела дневника.

Алатка Грапл узима евиденције везане за безбедност (Сисмон евиденције или евиденције у редовном ЈСОН формату) и претвара их у подграфове (дефинишући „идентитет“ за сваки чвор). Након тога комбинује подграфове у заједнички граф (Мастер Грапх), који представља радње извршене у анализираним окружењима. Грапл затим покреће анализаторе на резултујућем графикону користећи „потписе нападача“ да идентификује аномалије и сумњиве обрасце. Када анализатор идентификује сумњив подграф, Грапл генерише конструкт ангажовања намењен за истраживање. Енгагемент је Питхон класа која се може учитати, на пример, у Јупитер нотебоок примењен у АВС окружењу. Грапл, поред тога, може повећати обим прикупљања информација за истрагу инцидента кроз проширење графикона.

Ако желите да боље разумете Грапл, можете погледати ово занимљив видео - снимак наступа са БСидес Лас Вегаса 2019.

4. ОССЕЦ

ОССЕЦ је пројекат основан 2004. године. Овај пројекат се генерално може окарактерисати као платформа за надгледање безбедности отвореног кода дизајнирана за анализу хоста и откривање упада. ОССЕЦ се преузима више од 500000 пута годишње. Ова платформа се углавном користи као средство за откривање упада на сервере. Штавише, говоримо и о локалним и о цлоуд системима. ОССЕЦ се такође често користи као алат за испитивање евиденције праћења и анализе заштитних зидова, система за откривање упада, веб сервера, као и за проучавање евиденције аутентификације.

ОССЕЦ комбинује могућности система за откривање упада заснованог на хосту (ХИДС) са системом за управљање безбедносним инцидентима (СИМ) и системом за управљање безбедносним информацијама и догађајима (СИЕМ). ОССЕЦ такође може да прати интегритет датотеке у реалном времену. Ово, на пример, надгледа Виндовс регистар и открива роотките. ОССЕЦ је у стању да обавести заинтересоване стране о откривеним проблемима у реалном времену и помаже да се брзо реагује на откривене претње. Ова платформа подржава Мицрософт Виндовс и најсавременије системе сличне Уник-у, укључујући Линук, ФрееБСД, ОпенБСД и Соларис.

ОССЕЦ платформа се састоји од централног контролног ентитета, менаџера, који се користи за примање и праћење информација од агената (мали програми инсталирани на системима који треба да се надгледају). Менаџер је инсталиран на Линук систему, који чува базу података која се користи за проверу интегритета датотека. Такође чува евиденције и записе догађаја и резултате ревизије система.

Пројекат ОССЕЦ тренутно подржава Атомицорп. Компанија надгледа бесплатну верзију отвореног кода и, поред тога, нуди проширен комерцијална верзија производа. ovde је подцаст у којем менаџер пројекта ОССЕЦ говори о најновијој верзији система - ОССЕЦ 3.0. Такође говори о историји пројекта, и по чему се разликује од савремених комерцијалних система који се користе у области рачунарске безбедности.

5. Мееркат

Сурицата је пројекат отвореног кода фокусиран на решавање главних проблема рачунарске безбедности. Конкретно, укључује систем за откривање упада, систем за превенцију упада и алат за праћење безбедности мреже.

Овај производ се појавио 2009. Његов рад се заснива на правилима. Односно, онај ко га користи има могућност да опише одређене карактеристике мрежног саобраћаја. Ако се правило покрене, Сурицата генерише обавештење, блокира или прекида сумњиву везу, што опет зависи од наведених правила. Пројекат такође подржава рад са више нити. Ово омогућава брзу обраду великог броја правила у мрежама које носе велике количине саобраћаја. Захваљујући подршци за више нити, сасвим обичан сервер је у стању да успешно анализира саобраћај који путује брзином од 10 Гбит/с. У овом случају, администратор не мора да ограничава скуп правила која се користе за анализу саобраћаја. Сурицата такође подржава хеширање и преузимање датотека.

Сурицата се може конфигурисати да ради на редовним серверима или на виртуелним машинама, као што је АВС, користећи недавно представљену функцију у производу праћење саобраћаја.

Пројекат подржава Луа скрипте, које се могу користити за креирање сложене и детаљне логике за анализу потписа претњи.

Пројектом Сурицата управља Опен Информатион Сецурити Фоундатион (ОИСФ).

6. Зеек (брато)

Као Сурицата, Зеек (овај пројекат се раније звао Бро и преименован је у Зеек на БроЦон 2018) је такође систем за откривање упада и алат за праћење безбедности мреже који може да открије аномалије као што су сумњиве или опасне активности. Зеек се разликује од традиционалног ИДС-а по томе што, за разлику од система заснованих на правилима који откривају изузетке, Зеек такође хвата метаподатке повезане са оним што се дешава на мрежи. Ово се ради како би се боље разумео контекст необичног понашања мреже. Ово омогућава, на пример, анализом ХТТП позива или процедуре за размену безбедносних сертификата, да погледамо протокол, заглавља пакета, имена домена.

Ако Зеек сматрамо алатом за мрежну безбедност, онда можемо рећи да он пружа специјалисту прилику да истражи инцидент тако што ће сазнати шта се догодило пре или током инцидента. Зеек такође претвара податке о мрежном саобраћају у догађаје високог нивоа и пружа могућност рада са тумачем скрипте. Преводилац подржава програмски језик који се користи за интеракцију са догађајима и за откривање шта тачно ти догађаји значе у смислу безбедности мреже. Програмски језик Зеек се може користити за прилагођавање начина на који се метаподаци тумаче тако да одговарају потребама одређене организације. Омогућава вам да изградите сложене логичке услове користећи И, ОР и НОТ операторе. Ово корисницима даје могућност да прилагоде начин на који се анализирају њихова окружења. Међутим, треба напоменути да, у поређењу са Сурицатом, Зеек може изгледати као прилично сложен алат када се врши извиђање безбедносних претњи.

Ако сте заинтересовани за више детаља о Зееку, контактирајте ово видео.

7. Пантер

Пантер је моћна платформа изворно заснована на облаку за континуирано праћење безбедности. Недавно је пребачен у категорију отвореног кода. Главни архитекта је на почетку пројекта СтреамАлерт — решења за аутоматску анализу дневника, чији је код отворио Аирбнб. Пантер даје кориснику јединствен систем за централно откривање претњи у свим окружењима и организовање одговора на њих. Овај систем је способан да расте заједно са величином инфраструктуре која се опслужује. Откривање претњи је засновано на транспарентним, детерминистичким правилима за смањење лажних позитивних резултата и непотребног оптерећења за безбедносне професионалце.

Међу главним карактеристикама Пантера су следеће:

• Откривање неовлашћеног приступа ресурсима анализом логова.
• Откривање претњи, имплементирано претраживањем дневника за индикаторе који указују на безбедносне проблеме. Претрага се врши коришћењем Пантерових стандардизованих поља података.
• Провера усаглашености система са СОЦ/ПЦИ/ХИПАА стандардима коришћењем уграђени Пантер механизми.
• Заштитите своје ресурсе у облаку аутоматским исправљањем грешака у конфигурацији које би могле да изазову озбиљне проблеме ако их искористе нападачи.

Пантхер је распоређен на АВС облаку организације користећи АВС ЦлоудФорматион. Ово омогућава кориснику да увек има контролу над својим подацима.

Резултати

Надгледање безбедности система је критичан задатак ових дана. У решавању овог проблема, компанијама било које величине могу помоћи алати отвореног кода који пружају много могућности и не коштају скоро ништа или су бесплатни.

Драги читаоци! Које алатке за надзор безбедности користите?

Извор: ввв.хабр.цом