Den utbredda användningen av molnberäkning hjälper företag att skala sin verksamhet. Men användningen av nya plattformar innebär också nya hot. Att stödja en egen intern säkerhetsteam för övervakning av molntjänsters säkerhet är en utmanande uppgift. De befintliga övervakningsverktygen är dyra och långsamma. Det är på många sätt svårt att hantera dem när det är dags att säkerställa säkerheten för en storskalig molninfrastruktur. För att hålla sin molnsäkerhet på en hög nivå behöver företag kraftfulla, flexibla och lättanvända verktyg vars kapabiliteter överträffar vad som tidigare har varit tillgängligt. Här kommer öppen källkodstekniker till stor nytta, eftersom de hjälper till att spara på säkerhetsbudgeten och utvecklas av specialister som verkligen förstår sitt område.
I artikeln, vars översättning vi publicerar idag, ges en översikt över 7 öppna källkodsverktyg för säkerhetsövervakning av molnsystem. Dessa verktyg är avsedda att skydda mot hackare och cyberbrottslingar genom att upptäcka avvikelser och osäkra aktiviteter.
1. Osquery
är ett system för låg nivå övervakning och analys av operativsystem som gör det möjligt för säkerhetsspecialister att genomföra komplexa datastudier med hjälp av SQL. Osquery-ramverket kan köras på Linux, macOS, Windows och FreeBSD. Det representerar operativsystemet (OS) som en högpresterande relationsdatabas. Detta gör det möjligt för säkerhetsspecialister att utforska OS genom att köra SQL-frågor. Till exempel kan en fråga ge information om aktiva processer, laddade kärnmoduler, öppna nätverksanslutningar, installerade webbläsartillägg, hårdvaruhändelser och filhashar.
Osquery-ramverket skapades av Facebook. Dess kod offentliggjordes 2014, efter att företaget insåg att behovet av verktyg för att övervaka låg nivå mekanismer i operativsystem inte bara gällde dem själva. Sedan dess används Osquery av specialister från företag som Dactiv, Google, Kolide, Trail of Bits, Uptycs och många fler. Nyligen har det rapporterats att Linux Foundation och Facebook planerar att bilda en fond för att stödja Osquery.
Övervakningstjänsten Osquery, kallad osqueryd, möjliggör schemaläggning av frågor för att samla in data från hela organisationens infrastruktur. Tjänsten samlar in resultaten av frågorna och skapar loggar som speglar förändringar i infrastrukturen. Detta kan hjälpa säkerhetsspecialister att hålla sig informerade om systemets tillstånd och är särskilt användbart för att identifiera anomalier. Osquerys loggsamlingsmöjligheter kan användas för att underlätta upptäckten av kända och okända skadliga program, samt för att identifiera intrång i systemet och för att leta efter installerade program av angripare. material där detaljer om upptäckten av anomalier med hjälp av Osquery kan hittas.
2. GoAudit
Systemet består av två huvudkomponenter. Den första är en sorts kärnnivåkod som är avsedd för att fånga och övervaka systemanrop. Den andra komponenten är en tjänst som körs i användarrummet, kallad . Den ansvarar för att skriva resultaten av auditen på disken. , ett system skapats av och släpptes 2016, är avsett att ersätta auditd. Det har förbättrade loggningsmöjligheter eftersom det konverterar flerledade händelsemeddelanden som genereras av Linux-audit-systemet till enskilda BLOB-objekt i JSON, vilket förenklar analysen. Med GoAudit kan man direkt komma åt kärnnivåmekanismer över nätverket. Dessutom kan minimal filtrering av händelser aktiveras på själva värden (eller helt stängas av). Samtidigt är GoAudit ett projekt som inte bara syftar till att säkerställa säkerhet. Det här verktyget är tänkt som ett multifunktionellt hjälpmedel för specialister som arbetar med systemsupport eller utveckling. Det hjälper till att hantera problem i storskaliga infrastrukturer.
GoAudit-systemet är skrivet i Golang. Detta är ett typ-säkert och högpresterande språk. Innan installation av GoAudit, kontrollera att du har en version av Golang som är högre än 1.7.
3. Grapl
Projektet (Graph Analytics Platform) konverterades till öppen källkod i mars förra året. Detta är en relativt ny plattform för att upptäcka säkerhetsproblem, genomföra datorsäkerhetsanalys och skapa incidentrapporter. Angripare arbetar ofta med hjälp av något som liknar en grafmodell, där de får kontroll över ett specifikt system och undersöker andra nätverkssystem med det som utgångspunkt. Därför är det helt naturligt att även systemskyddare kommer att använda en mekanism baserad på en grafmodell av nätverksrelationer som beaktar egenskaperna av relationerna mellan systemen. Grapl visar ett försök att tillämpa åtgärder för att identifiera incidenter och svara på dem, baserat på en grafmodell snarare än en loggmodell.
Grapl-verktyget tar emot säkerhetsrelaterade loggar (Sysmon-loggar eller loggar i vanlig JSON-format) och konverterar dem till delgrafer (definierar 'identifierande information' för varje nod). Sedan sammanfogar det delgraferna till en huvudgraf (Master Graph), som representerar de åtgärder som utförts i de analyserade miljöerna. Därefter kör Grapl analyserare (Analyzers) på den resulterande grafen med hjälp av 'angriparens signaturer' för att identifiera avvikelser och misstänkta mönster. När en analyserare identifierar en misstänkt delgraf, genererar Grapl en engagemangskonstruktion avsedd för utredningar. Engagement är en Python-klass som kan laddas upp, till exempel i Jupyter Notebook, som körs i AWS-miljö. Grapl kan också öka informationsinsamlingen för incidentutredningar genom att utöka grafen.
Om du vill få en djupare förståelse för Grapl - kolla in en intressant video - inspelning av en presentation från BSides Las Vegas 2019.
4. OSSEC
är ett projekt som grundades 2004. Detta projekt kan övergripande beskrivas som en öppen källkods plattform för säkerhetsövervakning, inriktad på analys av värdar och intrångsdetektering. Varje år laddas OSSEC ner mer än 500 000 gånger. Denna plattform används främst som ett verktyg för att upptäcka intrång på servrar. Det handlar om både lokala och molnbaserade system. OSSEC används dessutom ofta som ett verktyg för att granska övervakningsloggar och analysera brandväggar, intrångsdetekteringssystem, webbservrar, samt för att studera autentiseringsloggar.
OSSEC kombinerar funktioner från system för värdbaserad intrångsdetektering (HIDS, Host-Based Intrusion Detection System) med incidenthanteringssystem för säkerhet (SIM, Security Incident Management) och med system för säkerhetsinformation och säkerhetshändelseshantering (SIEM, Security Information and Event Management). OSSEC kan dessutom utföra övervakning av filintegritet i realtid. Detta inkluderar exempelvis övervakning av Windows-registret och upptäckten av rootkits. OSSEC kan varna berörda parter om upptäckta problem i realtid och hjälper till att snabbt reagera på upptäckta hot. Plattformen stöder Microsoft Windows och de flesta moderna Unix-liknande system, inklusive Linux, FreeBSD, OpenBSD och Solaris.
OSSEC-plattformen består av en central styrande enhet, en manager som används för att ta emot och övervaka information från agenter (små program som är installerade på de system som ska övervakas). Managern installeras på en Linux-system som lagrar en databas som används för att kontrollera filintegritet. Den lagrar dessutom loggar och poster om händelser och resultat från systemrevision.
Projektet OSSEC stöds för närvarande av företaget Atomicorp. Företaget övervakar den gratis öppen källkods versionen och erbjuder dessutom kommersiell version av produkten. en podcast där projektledaren för OSSEC pratar om den senaste versionen av systemet – OSSEC 3.0. Det diskuteras även om projektets historia och hur det skiljer sig från moderna kommersiella system som används inom datorsäkerhet.
5. Suricata
— detta är ett öppet källkodsprojekt som fokuserar på att lösa grundläggande problem inom datoräkerhet. Projektet inkluderar särskilt ett intrångsdetekteringssystem, ett intrångsförebyggandesystem, och ett verktyg för övervakning av nätäkerhet.
Denna produkt lanserades 2009. Den fungerar baserat på regler. Det vill säga — den som använder den har möjlighet att beskriva vissa egenskaper hos nätverkstrafik. Om en regel aktiveras så genererar Suricata ett meddelande som blockerar eller bryter en misstänkt anslutning, vilket återigen beror på de angivna reglerna. Projektet stöder dessutom flerkärnig bearbetning. Detta möjliggör snabb behandling av ett stort antal regler i nätverk med stora trafikvolymer. Tack vare flerkärnigt stöd klarar en vanlig server av att framgångsrikt analysera trafik som går i 10 Gbit/s. Administratören behöver inte begränsa uppsättningen av regler som används för trafikanalys. Suricata stödjer dessutom hashning och filutvinning.
Suricata kan konfigureras för att köra på vanliga servrar eller på virtuella maskiner, till exempel i AWS, med den senaste funktionen i produkten. .
Projektet stöder Lua-skript, vilket gör det möjligt att skapa komplex och detaljerad logik för hot-signaturanalyser.
Projektet Suricata sköts av Open Information Security Foundation (OISF).
6. Zeek (Bro)
Precis som Suricata, (detta projekt kallades tidigare Bro och bytte namn till Zeek vid BroCon 2018) — är också ett system för intrångsdetektering och ett verktyg för övervakning av nätäkerhet som kan identifiera anomalier, såsom misstänkta eller farliga beteenden. Zeek skiljer sig från traditionella IDS genom att, till skillnad från regelbaserade system som identifierar undantag, också fånga metadata kopplat till vad som händer i nätverket. Detta görs för att bättre förstå kontexten av ovanligt nätverksbeteende. Det möjliggör, till exempel, att genom att analysera en HTTP-anrop eller proceduren för certifikatutbyte, se på protokollet, på paketens huvuden, samt på domännamn.
Om man betraktar Zeek som ett verktyg för nätverkssäkerhet kan man säga att det ger specialisten möjlighet att genomföra en incidentutredning genom att få information om vad som inträffade före eller under händelsen. Zeek konverterar dessutom nätverkstrafikdata till högre nivåhändelser och möjliggör arbete med ett skript-tolkningsverktyg. Tolkningsverktyget stöder programmeringsspråket som används för att organisera interaktionen med händelser och för att förstå vad dessa händelser betyder i termer av nätverkssäkerhet. Zeeks programmeringsspråk kan användas för att anpassa tolkningen av metadata på det sätt som den specifika organisationen behöver. Det gör det möjligt att bygga komplexa logiska villkor med hjälp av operatorerna OCH, ELLER och INTE. Detta ger användarna möjlighet att skräddarsy analysprocedurerna för sina miljöer. Det bör dock noteras att jämfört med Suricata kan Zeek upplevas som ett ganska komplext verktyg för hotutredning.
Om du är intresserad av detaljer om Zeek — kontakta videon.
7. Panther
är en kraftfull plattform som ursprungligen var inriktad på molnbaserad kontinuerlig säkerhetsövervakning. Det har nyligen blivit en öppen källkodslösning. I projektets början stod den huvudsakliga arkitekten är en lösning för automatiserad logganalys vars kod släpptes av företaget Airbnb. Panther ger användaren ett enhetligt system för centraliserad hotdetektering i alla miljöer och för att organisera respons på dem. Detta system kan växa tillsammans med storleken på den hanterade infrastrukturen. Hotdetekteringen koordineras med hjälp av transparenta deterministiska regler som syftar till att minska antalet falska positiva resultat och minska den onödiga belastningen på säkerhetsspecialister.
Bland de viktigaste funktionerna hos Panther kan följande nämnas:
- Detektering av obehörig åtkomst till resurser genom logganalys.
- Hotdetektering genom att söka i loggar efter indikatorer som pekar på säkerhetsproblem. Sökningen utförs med hjälp av standardiserade datakategorier från Panther.
- Kontroll av systemet för efterlevnad av SOC/PCI/HIPAA-standarder med hjälp av Panther-mekanismer.
- Skydd av molnresurser genom automatisk korrigering av konfigurationsfel som, om de utnyttjas av illvilliga aktörer, kan leda till allvarliga problem.
Panther implementeras i organisationens AWS-moln med hjälp av AWS CloudFormation. Detta möjliggör för användaren att alltid ha kontroll över sina data.
Sammanfattning
Övervakning av säkerhetssystem är idag en av de viktigaste uppgifterna. För att lösa denna uppgift kan företag av alla storlekar dra nytta av öppen källkod, med många möjligheter som nästan inte kostar något eller är gratis.
Kära läsare! Vilka verktyg för säkerhetsövervakning använder du?
Källa: habr.com
