أدوات الأمان مفتوحة المصدر
Wazuh: نظام SIEM مفتوح المصدر الذي تديره الفرق الفعلية
Wazuh هو نظام أساسي SIEM/XDR مفتوح المصدر مبني على سلسلة OSSEC: وكلاء على نقاط النهاية يجمعون السجلات والمقاييس، ومدير يطبق القواعد، ولوحة مفهرس بالإضافة إلى لوحة معلومات (تعتمد على OpenSearch) تحولها إلى وحدة تحكم SOC عاملة. إنه يشحن وحدات الامتثال لـ PCI/GDPR/HIPAA ويتكامل مع مجموعة الكشف الحديثة، وهو أحد خيارات SIEM القليلة مفتوحة المصدر التي تنتهي الفرق الصغيرة من نشرها بالفعل.
النقاط الرئيسية
- الهندسة المعمارية عبارة عن لوحة تحكم للوكيل والمدير والفهرس: يقوم الوكلاء عبر الأنظمة الأساسية (Windows وLinux وmacOS) بجمع السجلات وتشغيل عمليات التحقق من التكامل (FIM) وتنفيذ عمليات فحص خط الأساس للأمان؛ يرتبط المدير، ويقدم المفهرس/لوحة المعلومات المستندة إلى OpenSearch البحث والمرئيات؛ التثبيت الشامل يجعل عمليات النشر الأولى سهلة المتابعة.
- محرك القواعد قابل للتوسيع: وحدة فك الترميز + قاعدة XML تتجاوز آلاف العناصر المضمنة (زغب SSH، وإساءة استخدام Sudo، وأنماط Web Shell)، والقواعد المخصصة لسجلات التطبيق الخاصة بك، والتحقق من المعقولية (القواعد المخصصة التي تشير إلى حقول الأحداث التي تهمك؛ قم بمراجعة كل قاعدة مخصصة في الاختبار قبل المنتج).
- وحدات الامتثال هي السبب وراء ابتسامة المدققين: يقوم SCA (تقييم تكوين الأمان) المدمج بفحص معايير CIS على الوكلاء مباشرة (يرتبط بمقالة تدقيق أمان Linux)، واكتشاف الثغرات الأمنية التي تربط بيانات CVE بالبرامج المثبتة، ولوحات معلومات PCI/GDPR/HIPAA/ISO الجاهزة التي تحول جمع الأدلة من المشروع إلى التكوين.
- الاستجابة النشطة هي الحافة الحادة الاختيارية: يمكن لـ Wazuh تشغيل استجابات مكتوبة (حظر عنوان IP، وعزل وكيل، وإيقاف عملية) عند التنبيه، وبينما تؤدي الأتمتة القوية والإهمال إلى حدوث انقطاعات خاصة بها، لذلك تبقي معظم العقارات الاستجابة النشطة مقتصرة على الإجراءات ذات النطاق الضيق والمراجعة على النوافذ عالية الثقة.
- حقيقة القياس: يبلغ عدد الوكلاء بالآلاف في مدير واحد، أو تقسيم العقارات الكبيرة أو استخدام وضع المجموعة، والمفهرس (OpenSearch) هو خنزير الموارد المعتاد؛ ينتمي حجم وحدة المعالجة المركزية/ذاكرة الوصول العشوائي وإدارة دورة حياة الفهرس (نوافذ الاستبقاء) إلى التصميم، نظرًا لأن ستة أشهر من سجلات نقطة النهاية هي قصة تخزين وليست فكرة لاحقة.
- مقارنة بأدواتنا الأمنية الأخرى: يغطي Suricata أسلاك الشبكة، ويغطي Wazuh نقاط النهاية وتقارير الامتثال، ويضيف Falco اكتشاف وقت تشغيل الحاوية (مقالنا)، ويتعامل Trivy/OpenVAS مع فحص الثغرات الأمنية؛ Wazuh هي الطبقة المظلة التي يوصى بها في أغلب الأحيان أولاً لفريق صغير يقوم ببناء SOC بميزانية محدودة.
ملاحظة ميدانية
عرض تقديمي لـ Wazuh للعرض فقط والذي أصبح إنتاجًا: التقط سلك تعثر FIM قذيفة ويب سقطت على موقع WordPress منسي بعد 40 دقيقة من التسوية بدلاً من عدم حدوثها مطلقًا. وافق العميل على طرح الأسطول بالكامل في ذلك الأسبوع. تبيع أدوات الكشف نفسها في المرة الأولى التي تكتشف فيها شيئًا حقيقيًا.
أسئلة شائعة
وزوه أم SIEM تجاري؟
بالنسبة للفرق الصغيرة إلى المتوسطة، غالبًا ما يحمل منحنى تكلفة Wazuh وتغطية الميزات (FIM وSCA واكتشاف الثغرات ولوحات المعلومات) عبء عمل SOC؛ تشتري المنصات التجارية علاقات النطاق والدعم حيث يحتاج الوضع التنظيمي إلى مساءلة البائع.
هل يمكنه استيعاب السجلات دون تثبيت الوكلاء؟
نعم: سجل النظام، وإعادة توجيه أحداث Windows، ومصادر سجل API تغذي المدير أيضًا؛ يمنحك الوكلاء شيكات محلية أكثر ثراءً (FIM، والمخزون، وSCA)، لذا استخدم مصادر بدون وكيل حيث لا يمكن للوكلاء الشحن.
ما هو FIM ولماذا يهم؟
مراقبة سلامة الملف: يقوم Wazuh بفحص المجاميع الاختبارية للمسارات المهمة (الثنائيات والتكوينات) والتنبيهات بشأن التغييرات؛ بالنسبة لعقارات الاستضافة، هذا هو سلك التعثر الذي يلتقط قطرات الويب وتعديلات التكوين غير المصرح بها التي تفوتها الماسحات الضوئية.
كيف نحافظ على مستوى صوت التنبيه سليمًا؟
ضبط القواعد مثل أي IDS: مراجعة كل قاعدة على حدة للمشغلات الصاخبة، وتسجيل درجة الخطورة لكل بيئة، وعتبات التنبيه للحادث، وتقاعد القواعد ربع السنوية؛ إن SIEM غير المضبوط يدرب المحللين على تجاهله، وهو أسوأ من عدم وجود SIEM.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
بصراحة، معظم الفرق تصل إلينا بعد أن تجرّب بنفسها أولًا: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. توجد خدمة اختبارات الاختراق و أمن خوادم لينكس لدينا حتى لا تضطر إلى تعلّم أدوات الأمان مفتوحة المصدر بالطريقة الصعبة؛ نتولى الإعداد والمراقبة ومفاجآت الثالثة فجرًا.