{"id":71862,"date":"2020-02-28T21:00:12","date_gmt":"2020-02-28T18:00:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat"},"modified":"2020-03-03T16:14:10","modified_gmt":"2020-03-03T13:14:10","slug":"7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/7-opensorsnyh-instrumentov-dlya-monitoringa-bezopasnosti-oblachnyh-sistem-o-kotoryh-stoit-znat","title":{"rendered":"7 \u00f6ppen k\u00e4llkodsverktyg f\u00f6r s\u00e4kerhets\u00f6vervakning av molnsystem som du b\u00f6r k\u00e4nna till","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Den utbredda anv\u00e4ndningen av molnber\u00e4kning hj\u00e4lper f\u00f6retag att skala sin verksamhet. Men anv\u00e4ndningen av nya plattformar inneb\u00e4r ocks\u00e5 nya hot. Att st\u00f6dja en egen intern s\u00e4kerhetsteam f\u00f6r \u00f6vervakning av molntj\u00e4nsters s\u00e4kerhet \u00e4r en utmanande uppgift. De befintliga \u00f6vervakningsverktygen \u00e4r dyra och l\u00e5ngsamma. Det \u00e4r p\u00e5 m\u00e5nga s\u00e4tt sv\u00e5rt att hantera dem n\u00e4r det \u00e4r dags att s\u00e4kerst\u00e4lla s\u00e4kerheten f\u00f6r en storskalig molninfrastruktur. F\u00f6r att h\u00e5lla sin molns\u00e4kerhet p\u00e5 en h\u00f6g niv\u00e5 beh\u00f6ver f\u00f6retag kraftfulla, flexibla och l\u00e4ttanv\u00e4nda verktyg vars kapabiliteter \u00f6vertr\u00e4ffar vad som tidigare har varit tillg\u00e4ngligt. H\u00e4r kommer \u00f6ppen k\u00e4llkodstekniker till stor nytta, eftersom de hj\u00e4lper till att spara p\u00e5 s\u00e4kerhetsbudgeten och utvecklas av specialister som verkligen f\u00f6rst\u00e5r sitt omr\u00e5de.<\/p>\n

\"7<\/a><\/noindex><\/p>\n

I artikeln, vars \u00f6vers\u00e4ttning vi publicerar idag, ges en \u00f6versikt \u00f6ver 7 \u00f6ppna k\u00e4llkodsverktyg f\u00f6r s\u00e4kerhets\u00f6vervakning av molnsystem. Dessa verktyg \u00e4r avsedda att skydda mot hackare och cyberbrottslingar genom att uppt\u00e4cka avvikelser och os\u00e4kra aktiviteter.
\n<\/a><\/noindex><\/p>\n

1. Osquery<\/h2>\n

\nOsquery<\/a><\/noindex> \u00e4r ett system f\u00f6r l\u00e5g niv\u00e5 \u00f6vervakning och analys av operativsystem som g\u00f6r det m\u00f6jligt f\u00f6r s\u00e4kerhetsspecialister att genomf\u00f6ra komplexa datastudier med hj\u00e4lp av SQL. Osquery-ramverket kan k\u00f6ras p\u00e5 Linux, macOS, Windows och FreeBSD. Det representerar operativsystemet (OS) som en h\u00f6gpresterande relationsdatabas. Detta g\u00f6r det m\u00f6jligt f\u00f6r s\u00e4kerhetsspecialister att utforska OS genom att k\u00f6ra SQL-fr\u00e5gor. Till exempel kan en fr\u00e5ga ge information om aktiva processer, laddade k\u00e4rnmoduler, \u00f6ppna n\u00e4tverksanslutningar, installerade webbl\u00e4sartill\u00e4gg, h\u00e5rdvaruh\u00e4ndelser och filhashar.<\/p>\n

Osquery-ramverket skapades av Facebook. Dess kod offentliggjordes 2014, efter att f\u00f6retaget ins\u00e5g att behovet av verktyg f\u00f6r att \u00f6vervaka l\u00e5g niv\u00e5 mekanismer i operativsystem inte bara g\u00e4llde dem sj\u00e4lva. Sedan dess anv\u00e4nds Osquery av specialister fr\u00e5n f\u00f6retag som Dactiv, Google, Kolide, Trail of Bits, Uptycs och m\u00e5nga fler. Nyligen har det rapporterats meddelats<\/a><\/noindex> att Linux Foundation och Facebook planerar att bilda en fond f\u00f6r att st\u00f6dja Osquery.<\/p>\n

\u00d6vervakningstj\u00e4nsten Osquery, kallad osqueryd, m\u00f6jligg\u00f6r schemal\u00e4ggning av fr\u00e5gor f\u00f6r att samla in data fr\u00e5n hela organisationens infrastruktur. Tj\u00e4nsten samlar in resultaten av fr\u00e5gorna och skapar loggar som speglar f\u00f6r\u00e4ndringar i infrastrukturen. Detta kan hj\u00e4lpa s\u00e4kerhetsspecialister att h\u00e5lla sig informerade om systemets tillst\u00e5nd och \u00e4r s\u00e4rskilt anv\u00e4ndbart f\u00f6r att identifiera anomalier. Osquerys loggsamlingsm\u00f6jligheter kan anv\u00e4ndas f\u00f6r att underl\u00e4tta uppt\u00e4ckten av k\u00e4nda och ok\u00e4nda skadliga program, samt f\u00f6r att identifiera intr\u00e5ng i systemet och f\u00f6r att leta efter installerade program av angripare. H\u00e4r \u00e4r<\/a><\/noindex> material d\u00e4r detaljer om uppt\u00e4ckten av anomalier med hj\u00e4lp av Osquery kan hittas.<\/p>\n

2. GoAudit<\/h2>\n

\nSystemet Linux-audit<\/a><\/noindex> best\u00e5r av tv\u00e5 huvudkomponenter. Den f\u00f6rsta \u00e4r en sorts k\u00e4rnniv\u00e5kod som \u00e4r avsedd f\u00f6r att f\u00e5nga och \u00f6vervaka systemanrop. Den andra komponenten \u00e4r en tj\u00e4nst som k\u00f6rs i anv\u00e4ndarrummet, kallad auditd<\/a><\/noindex>. Den ansvarar f\u00f6r att skriva resultaten av auditen p\u00e5 disken. GoAudit<\/a><\/noindex>, ett system skapats av Slack<\/a><\/noindex> och sl\u00e4pptes 2016, \u00e4r avsett att ers\u00e4tta auditd. Det har f\u00f6rb\u00e4ttrade loggningsm\u00f6jligheter eftersom det konverterar flerledade h\u00e4ndelsemeddelanden som genereras av Linux-audit-systemet till enskilda BLOB-objekt i JSON, vilket f\u00f6renklar analysen. Med GoAudit kan man direkt komma \u00e5t k\u00e4rnniv\u00e5mekanismer \u00f6ver n\u00e4tverket. Dessutom kan minimal filtrering av h\u00e4ndelser aktiveras p\u00e5 sj\u00e4lva v\u00e4rden (eller helt st\u00e4ngas av). Samtidigt \u00e4r GoAudit ett projekt som inte bara syftar till att s\u00e4kerst\u00e4lla s\u00e4kerhet. Det h\u00e4r verktyget \u00e4r t\u00e4nkt som ett multifunktionellt hj\u00e4lpmedel f\u00f6r specialister som arbetar med systemsupport eller utveckling. Det hj\u00e4lper till att hantera problem i storskaliga infrastrukturer.<\/p>\n

GoAudit-systemet \u00e4r skrivet i Golang. Detta \u00e4r ett typ-s\u00e4kert och h\u00f6gpresterande spr\u00e5k. Innan installation av GoAudit, kontrollera att du har en version av Golang som \u00e4r h\u00f6gre \u00e4n 1.7.<\/p>\n

3. Grapl<\/h2>\n

\nProjektet Grapl<\/a><\/noindex> (Graph Analytics Platform) konverterades till \u00f6ppen k\u00e4llkod i mars f\u00f6rra \u00e5ret. Detta \u00e4r en relativt ny plattform f\u00f6r att uppt\u00e4cka s\u00e4kerhetsproblem, genomf\u00f6ra dators\u00e4kerhetsanalys och skapa incidentrapporter. Angripare arbetar ofta med hj\u00e4lp av n\u00e5got som liknar en grafmodell, d\u00e4r de f\u00e5r kontroll \u00f6ver ett specifikt system och unders\u00f6ker andra n\u00e4tverkssystem med det som utg\u00e5ngspunkt. D\u00e4rf\u00f6r \u00e4r det helt naturligt att \u00e4ven systemskyddare kommer att anv\u00e4nda en mekanism baserad p\u00e5 en grafmodell av n\u00e4tverksrelationer som beaktar egenskaperna av relationerna mellan systemen. Grapl visar ett f\u00f6rs\u00f6k att till\u00e4mpa \u00e5tg\u00e4rder f\u00f6r att identifiera incidenter och svara p\u00e5 dem, baserat p\u00e5 en grafmodell snarare \u00e4n en loggmodell.<\/p>\n

Grapl-verktyget tar emot s\u00e4kerhetsrelaterade loggar (Sysmon-loggar eller loggar i vanlig JSON-format) och konverterar dem till delgrafer (definierar 'identifierande information' f\u00f6r varje nod). Sedan sammanfogar det delgraferna till en huvudgraf (Master Graph), som representerar de \u00e5tg\u00e4rder som utf\u00f6rts i de analyserade milj\u00f6erna. D\u00e4refter k\u00f6r Grapl analyserare (Analyzers) p\u00e5 den resulterande grafen med hj\u00e4lp av 'angriparens signaturer' f\u00f6r att identifiera avvikelser och misst\u00e4nkta m\u00f6nster. N\u00e4r en analyserare identifierar en misst\u00e4nkt delgraf, genererar Grapl en engagemangskonstruktion avsedd f\u00f6r utredningar. Engagement \u00e4r en Python-klass som kan laddas upp, till exempel i Jupyter Notebook, som k\u00f6rs i AWS-milj\u00f6. Grapl kan ocks\u00e5 \u00f6ka informationsinsamlingen f\u00f6r incidentutredningar genom att ut\u00f6ka grafen.<\/p>\n

Om du vill f\u00e5 en djupare f\u00f6rst\u00e5else f\u00f6r Grapl - kolla in detta<\/a><\/noindex> en intressant video - inspelning av en presentation fr\u00e5n BSides Las Vegas 2019.<\/p>\n

4. OSSEC<\/h2>\n

\nOSSEC<\/a><\/noindex> \u00e4r ett projekt som grundades 2004. Detta projekt kan \u00f6vergripande beskrivas som en \u00f6ppen k\u00e4llkods plattform f\u00f6r s\u00e4kerhets\u00f6vervakning, inriktad p\u00e5 analys av v\u00e4rdar och intr\u00e5ngsdetektering. Varje \u00e5r laddas OSSEC ner mer \u00e4n 500 000 g\u00e5nger. Denna plattform anv\u00e4nds fr\u00e4mst som ett verktyg f\u00f6r att uppt\u00e4cka intr\u00e5ng p\u00e5 servrar. Det handlar om b\u00e5de lokala och molnbaserade system. OSSEC anv\u00e4nds dessutom ofta som ett verktyg f\u00f6r att granska \u00f6vervakningsloggar och analysera brandv\u00e4ggar, intr\u00e5ngsdetekteringssystem, webbservrar, samt f\u00f6r att studera autentiseringsloggar.<\/p>\n

OSSEC kombinerar funktioner fr\u00e5n system f\u00f6r v\u00e4rdbaserad intr\u00e5ngsdetektering (HIDS, Host-Based Intrusion Detection System) med incidenthanteringssystem f\u00f6r s\u00e4kerhet (SIM, Security Incident Management) och med system f\u00f6r s\u00e4kerhetsinformation och s\u00e4kerhetsh\u00e4ndelseshantering (SIEM, Security Information and Event Management). OSSEC kan dessutom utf\u00f6ra \u00f6vervakning av filintegritet i realtid. Detta inkluderar exempelvis \u00f6vervakning av Windows-registret och uppt\u00e4ckten av rootkits. OSSEC kan varna ber\u00f6rda parter om uppt\u00e4ckta problem i realtid och hj\u00e4lper till att snabbt reagera p\u00e5 uppt\u00e4ckta hot. Plattformen st\u00f6der Microsoft Windows och de flesta moderna Unix-liknande system, inklusive Linux, FreeBSD, OpenBSD och Solaris.<\/p>\n

OSSEC-plattformen best\u00e5r av en central styrande enhet, en manager som anv\u00e4nds f\u00f6r att ta emot och \u00f6vervaka information fr\u00e5n agenter (sm\u00e5 program som \u00e4r installerade p\u00e5 de system som ska \u00f6vervakas). Managern installeras p\u00e5 en Linux-system som lagrar en databas som anv\u00e4nds f\u00f6r att kontrollera filintegritet. Den lagrar dessutom loggar och poster om h\u00e4ndelser och resultat fr\u00e5n systemrevision.<\/p>\n

Projektet OSSEC st\u00f6ds f\u00f6r n\u00e4rvarande av f\u00f6retaget Atomicorp. F\u00f6retaget \u00f6vervakar den gratis \u00f6ppen k\u00e4llkods versionen och erbjuder dessutom ut\u00f6kad<\/a><\/noindex> kommersiell version av produkten. H\u00e4r \u00e4r<\/a><\/noindex> en podcast d\u00e4r projektledaren f\u00f6r OSSEC pratar om den senaste versionen av systemet \u2013 OSSEC 3.0. Det diskuteras \u00e4ven om projektets historia och hur det skiljer sig fr\u00e5n moderna kommersiella system som anv\u00e4nds inom dators\u00e4kerhet.<\/p>\n

5. Suricata<\/h2>\n

\nSuricata<\/a><\/noindex> \u2014 detta \u00e4r ett \u00f6ppet k\u00e4llkodsprojekt som fokuserar p\u00e5 att l\u00f6sa grundl\u00e4ggande problem inom dator\u00e4kerhet. Projektet inkluderar s\u00e4rskilt ett intr\u00e5ngsdetekteringssystem, ett intr\u00e5ngsf\u00f6rebyggandesystem, och ett verktyg f\u00f6r \u00f6vervakning av n\u00e4t\u00e4kerhet.<\/p>\n

Denna produkt lanserades 2009. Den fungerar baserat p\u00e5 regler. Det vill s\u00e4ga \u2014 den som anv\u00e4nder den har m\u00f6jlighet att beskriva vissa egenskaper hos n\u00e4tverkstrafik. Om en regel aktiveras s\u00e5 genererar Suricata ett meddelande som blockerar eller bryter en misst\u00e4nkt anslutning, vilket \u00e5terigen beror p\u00e5 de angivna reglerna. Projektet st\u00f6der dessutom flerk\u00e4rnig bearbetning. Detta m\u00f6jligg\u00f6r snabb behandling av ett stort antal regler i n\u00e4tverk med stora trafikvolymer. Tack vare flerk\u00e4rnigt st\u00f6d klarar en vanlig server av att framg\u00e5ngsrikt analysera trafik som g\u00e5r i 10 Gbit\/s. Administrat\u00f6ren beh\u00f6ver inte begr\u00e4nsa upps\u00e4ttningen av regler som anv\u00e4nds f\u00f6r trafikanalys. Suricata st\u00f6djer dessutom hashning och filutvinning.<\/p>\n

Suricata kan konfigureras f\u00f6r att k\u00f6ra p\u00e5 vanliga servrar eller p\u00e5 virtuella maskiner, till exempel i AWS, med den senaste funktionen i produkten. traffic-monitoring<\/a><\/noindex>.<\/p>\n

Projektet st\u00f6der Lua-skript, vilket g\u00f6r det m\u00f6jligt att skapa komplex och detaljerad logik f\u00f6r hot-signaturanalyser.<\/p>\n

Projektet Suricata sk\u00f6ts av Open Information Security Foundation (OISF).<\/p>\n

6. Zeek (Bro)<\/h2>\n

\nPrecis som Suricata, Zeek<\/a><\/noindex> (detta projekt kallades tidigare Bro och bytte namn till Zeek vid BroCon 2018) \u2014 \u00e4r ocks\u00e5 ett system f\u00f6r intr\u00e5ngsdetektering och ett verktyg f\u00f6r \u00f6vervakning av n\u00e4t\u00e4kerhet som kan identifiera anomalier, s\u00e5som misst\u00e4nkta eller farliga beteenden. Zeek skiljer sig fr\u00e5n traditionella IDS genom att, till skillnad fr\u00e5n regelbaserade system som identifierar undantag, ocks\u00e5 f\u00e5nga metadata kopplat till vad som h\u00e4nder i n\u00e4tverket. Detta g\u00f6rs f\u00f6r att b\u00e4ttre f\u00f6rst\u00e5 kontexten av ovanligt n\u00e4tverksbeteende. Det m\u00f6jligg\u00f6r, till exempel, att genom att analysera en HTTP-anrop eller proceduren f\u00f6r certifikatutbyte, se p\u00e5 protokollet, p\u00e5 paketens huvuden, samt p\u00e5 dom\u00e4nnamn.<\/p>\n

Om man betraktar Zeek som ett verktyg f\u00f6r n\u00e4tverkss\u00e4kerhet kan man s\u00e4ga att det ger specialisten m\u00f6jlighet att genomf\u00f6ra en incidentutredning genom att f\u00e5 information om vad som intr\u00e4ffade f\u00f6re eller under h\u00e4ndelsen. Zeek konverterar dessutom n\u00e4tverkstrafikdata till h\u00f6gre niv\u00e5h\u00e4ndelser och m\u00f6jligg\u00f6r arbete med ett skript-tolkningsverktyg. Tolkningsverktyget st\u00f6der programmeringsspr\u00e5ket som anv\u00e4nds f\u00f6r att organisera interaktionen med h\u00e4ndelser och f\u00f6r att f\u00f6rst\u00e5 vad dessa h\u00e4ndelser betyder i termer av n\u00e4tverkss\u00e4kerhet. Zeeks programmeringsspr\u00e5k kan anv\u00e4ndas f\u00f6r att anpassa tolkningen av metadata p\u00e5 det s\u00e4tt som den specifika organisationen beh\u00f6ver. Det g\u00f6r det m\u00f6jligt att bygga komplexa logiska villkor med hj\u00e4lp av operatorerna OCH, ELLER och INTE. Detta ger anv\u00e4ndarna m\u00f6jlighet att skr\u00e4ddarsy analysprocedurerna f\u00f6r sina milj\u00f6er. Det b\u00f6r dock noteras att j\u00e4mf\u00f6rt med Suricata kan Zeek upplevas som ett ganska komplext verktyg f\u00f6r hotutredning.<\/p>\n

Om du \u00e4r intresserad av detaljer om Zeek \u2014 kontakta detta<\/a><\/noindex> videon.<\/p>\n

7. Panther<\/h2>\n

\nPanther<\/a><\/noindex> \u00e4r en kraftfull plattform som ursprungligen var inriktad p\u00e5 molnbaserad kontinuerlig s\u00e4kerhets\u00f6vervakning. Det har nyligen blivit en \u00f6ppen k\u00e4llkodsl\u00f6sning. I projektets b\u00f6rjan stod den huvudsakliga arkitekten StreamAlert<\/a><\/noindex> \u00e4r en l\u00f6sning f\u00f6r automatiserad logganalys vars kod sl\u00e4pptes av f\u00f6retaget Airbnb. Panther ger anv\u00e4ndaren ett enhetligt system f\u00f6r centraliserad hotdetektering i alla milj\u00f6er och f\u00f6r att organisera respons p\u00e5 dem. Detta system kan v\u00e4xa tillsammans med storleken p\u00e5 den hanterade infrastrukturen. Hotdetekteringen koordineras med hj\u00e4lp av transparenta deterministiska regler som syftar till att minska antalet falska positiva resultat och minska den on\u00f6diga belastningen p\u00e5 s\u00e4kerhetsspecialister.<\/p>\n

Bland de viktigaste funktionerna hos Panther kan f\u00f6ljande n\u00e4mnas:<\/p>\n