Clear NDR 1.0 har publicerats, en distribution för att skapa intrångsdetekteringssystem.

Stamus Networks har släppt en specifik distribution av Clear NDR 1.0, avsedd för distribution av system för detektion och förebyggande av nätverksintrång, samt organisering av reaktioner på upptäckta hot och övervakning av nätverkssäkerhet. Användarna erbjuds en färdig lösning för nätverkssäkerhet som kan användas direkt efter nedladdning. Distributionen stöder drift i Live-läge och drift i virtuella miljöer eller containrar. Projektets resultat sprids under GPLv3-licens. Storleken på den startbara bilden är 3,9 GB.

Distributionen bygger på Debian-paketbasen och använder det öppna intrångsdetekteringssystemet Suricata. Data från olika källor lagras i OpenSearch-lagringen. För att spåra det aktuella tillståndet och upptäckta incidenter erbjuds ett webbgränssnitt som är byggt ovanpå Kibana-gränssnittet. För att hantera regler och visualisera relaterad aktivitet används Stamus webbgränssnitt. Det inkluderar också system för fångst, lagring och indexering av nätverkspaket, Arkime, ett gränssnitt för utvärdering av inträffade händelser, EveBox, och datainsamlare, Fluentd.

Under de senaste 10 åren har distributionen utvecklats under namnet SELKS, men har omdöpts till Clear NDR efter att produkten bedömdes vara redo för användning i praktiska lösningar för små och medelstora företag, samt efter att distributionen delades upp i Community- och Enterprise-versioner. Enterprise-versionen kännetecknas av integration med maskininlärningssystem, avancerade klassificeringsverktyg för trafik, integration med externa hotresponsystem, dagliga uppdateringar av intrångsdetekteringsregler och teknisk support.

Huvudsakliga förändringar:

• Tre alternativ för distribution: ISO-avbild med grafiskt gränssnitt för dem som föredrar konfiguration via GUI, ISO-avbild med konsolmiljö för servrar och en version för drift i isolerade containrar.
• Intrångsdetekterings- och förebyggandesystemet Suricata har uppdaterats till 8.x-grenen.
• Övergången från plattformen för sökning, analys och lagring av data Elasticsearch till forken OpenSearch 2 har genomförts.
• Stödet för protokollet MCP (Model Context Protocol) har lagts till för integration med AI-plattformar, vilket möjliggör för AI-assistenter att få tillgång till insamlade data och verktyg från Clear NDR.
• Det har lagts till nya dashboard-paneler och datavisualiseringsmoduler i webbgränssnittet. Mer än 400 visualiseringsmoduler och 58 nya dashboard-paneler har föreslagits.
• Stödet för automatisk bearbetning av informationsflöden om hot har lagts till, utan att manuellt skriva regler för Suricata.
• Processen för att reagera på säkerhetsincidenter har påskyndats. En funktion för att få tillgång till bevis relaterade till incidenten med två klick har lagts till, såsom loggar, trafikflödesinspelningar, identifierade filoperationer och PCAP-dumpar.
• Möjligheten att integrera användargränssnittet med andra system har säkerställts.
• Möjligheterna för datahantering av lagringstider (Data Retention) har utökats.
• En mekanism för meddelanden om uppdateringar och nya versioner har integrerats.

Källa: opennet.ru