Εργαλεία ασφαλείας ανοιχτού κώδικα
Suricata: Η μηχανή δικτύου πολλαπλών νημάτων με JSON εξ ορισμού
Το Suricata είναι το δίκτυο IDS/IPS που υποστηρίζεται από το OISF και έχει κατασκευαστεί εξαρχής πολυνηματικά, με ανάλυση πρωτοκόλλου (HTTP, DNS, μεταδεδομένα TLS) και έξοδο EVE JSON που έχει σχεδιαστεί για τον σύγχρονο αγωγό SOC. Διαβάζει τους περισσότερους κανόνες Snort, κάτι που διατηρεί το οικοσύστημα κοινόχρηστο, και συνδυάζεται φυσικά με τα αναλυτικά στοιχεία κλάσης Elastic ως αισθητήρας δικτύου.
Βασικά σημεία
- Multithreading βάσει αρχιτεκτονικής: η σύλληψη πακέτων (AF_PACKET σε Linux, AF_XDP για υψηλή απόδοση) τροφοδοτεί έναν αγωγό εργαζομένων κατά μήκος των πυρήνων, έτσι ώστε ο κινητήρας να κλιμακώνεται σε σύγχρονο υλικό χωρίς τη συμφόρηση μιας ουράς των IDS πρώτης γενιάς. Το μέγεθος είναι οι CPU συν RAM/πακέτα, όχι μόνο το εύρος ζώνης.
- Το EVE JSON είναι η διαφορά του μοντέλου δεδομένων: κάθε ειδοποίηση, ροή και μεταδεδομένα πρωτοκόλλου καταγράφονται ως δομημένο JSON (πεδία όπως http.uri, tls.sni, dns.name), το οποίο προσγειώνεται απευθείας σε αγωγούς Elastic/OpenSearch χωρίς προσαρμοσμένη ανάλυση. Αυτή η μοναδική σχεδιαστική επιλογή είναι ο λόγος που η Suricata κερδίζει τις περισσότερες ψήφους στοίβας SOC.
- Η επίγνωση του πρωτοκόλλου υπερβαίνει τις υπογραφές: ο κινητήρας καταγράφει τα μεταδεδομένα χειραψίας TLS (κατακερματισμοί κατηγορίας JA3, SNI, πεδία πιστοποιητικών), κεφαλές HTTP, ερωτήματα DNS και ίχνη αρχείου SMB/αρχείου, οπότε ο αισθητήρας διπλασιάζεται ως συλλογή μεταδεδομένων δικτύου. πολλές ομάδες τρέχουν το Suricata κυρίως για αυτό ακόμη και πριν από ειδοποιήσεις.
- Η συμβατότητα των κανόνων είναι λειτουργική ηρεμία: Οι κανόνες μορφής Snort φορτώνονται κυρίως με αλληλεπικάλυψη (τα σύνολα κανόνων ET δημοσιεύονται και για τα δύο), επομένως οι συνδρομές απειλών intel εκτείνονται σε κινητήρες και δεξιότητες από τη μεταφορά στο παρασκήνιο του Snort με μέτριες προσθήκες σύνταξης (το Suricata προσθέτει τις δικές του λέξεις-κλειδιά όπως εκδηλώσεις επιπέδου εφαρμογής).
- Η λειτουργία IPS είναι πραγματική: ενσωματωμένη μέσω NFQUEUE ή AF_PACKET με κανόνες πτώσης, αλλά η στάση του σώματος χρειάζεται φίλους HA και προσεκτική πολιτική. Τα περισσότερα κτήματα διατηρούν το Suricata παθητικό ως ανίχνευση και χρησιμοποιούν κανόνες τείχους προστασίας για την πρόληψη, αναβαθμίζοντας σε ενσωματωμένο μόνο όταν το περιουσιακό στοιχείο δικαιολογεί τον κίνδυνο αποτυχίας.
- Όπου βρίσκεται στη συλλογή εργαλείων ασφαλείας μας: μαζί με το Snort είναι η σύγχρονη προεπιλογή για IDS υπογραφής. Η έξοδος πιο πλούσιας μεταδεδομένων το χαρακτηρίζει ως το στοιχείο αισθητήρα μιας πρώτης στοίβας SOC δίπλα στο NSM κατηγορίας Zeek, με το Trivy/openvas να καλύπτει την ευπάθεια και το Wazuh να καλύπτει τη συγκέντρωση τελικού σημείου.
Σημείωση από το πεδίο
Η ανάπτυξη Suricata που κέρδισε έναν πελάτη δεν ήταν οι ειδοποιήσεις, ήταν τα μεταδεδομένα: το EVE JSON προσγειώθηκε στη στοίβα Elastic και το πρώτο τους ερώτημα κυνήγι συμφιλίωσε μια μυστηριώδη διακοπή με ένα παράθυρο ανανέωσης TLS μέσα σε λίγα λεπτά. Ο αισθητήρας κερδίζει χώρο στο ράφι μεταξύ των περιστατικών.
Συχνές ερωτήσεις
Ποιες πηγές κανόνων πρέπει να φορτώσω;
ET Open για μια ευρεία δωρεάν βάση με καθημερινές ενημερώσεις, ET Pro όπου έχουν σημασία τα SLA προστασίας και η κάλυψη αυθημερόν, καθώς και επιμελημένες ροές Intel. Περισσότεροι κανόνες βοηθούν μόνο εάν ο συντονισμός συμβαδίζει, διαφορετικά αυξάνονται τα ψευδώς θετικά.
Πώς γίνεται το μέγεθος;
Το εύρος ζώνης είναι η αφελής είσοδος. Το ρεαλιστικό μέγεθος χρησιμοποιεί πακέτα μέσης και κορυφής/δευτερόλεπτο, πλήθος κανόνων και βάθος και πυρήνες CPU για κοινή χρήση πολλαπλών νημάτων. Το 10G χρειάζεται υλικό εμπορευμάτων με ρύθμιση συνόλου κανόνων AF_PACKET/AF_XDP και ET, όχι τεράστιο προϋπολογισμό.
Πού προσγειώνεται κανονικά η έξοδος EVE;
Elastic, OpenSearch ή οποιοσδήποτε αγωγός καταγραφής μέσω προγραμμάτων εγγραφής αρχείων καταγραφής κλάσης Filebeat/Vector. Τα πεδία είναι δομημένα για άμεσο φιλτράρισμα, όπου το μοντέλο δεδομένων της Suricata ξεπερνά τις απλές μορφές ειδοποίησης.
Είναι το Suricata καλό για ένα μικρό δίκτυο γραφείων;
Ναι και στο χαμηλό επίπεδο: μία συσκευή/καθρέφτης σε ένα μικρό κτήμα είναι υλικό βασικών προϊόντων με τους κοινοτικούς κανόνες, αλλά προϋπολογισμός χρόνου για συντονισμό και μια μικρή ροή εργασιών προβολής ειδοποιήσεων. ένα εργαλείο ειδοποίησης που κανείς δεν διαβάζει παρέχει ψευδή άνεση.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Η πρότασή μας είναι απλή: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Αναλάβτε την υπηρεσία μας Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux και έχει αξιολογηθεί σωστά, εφαρμοστεί καθαρά και παρακολουθείται όλο το 24ωρο.