Εργαλεία ασφαλείας ανοιχτού κώδικα
Wazuh: Το SIEM ανοιχτού κώδικα που χρησιμοποιούν πραγματικές ομάδες
Το Wazuh είναι η πλατφόρμα SIEM/XDR ανοιχτού κώδικα που βασίζεται σε μια σειρά από το OSSEC: πράκτορες σε τελικά σημεία που συλλέγουν αρχεία καταγραφής και μετρήσεις, ένας διαχειριστής που εφαρμόζει κανόνες και ένας πίνακας εργαλείων ευρετηρίου (βασισμένο σε OpenSearch) που τη μετατρέπει σε λειτουργική κονσόλα SOC. Αποστέλλει μονάδες συμμόρφωσης για PCI/GDPR/HIPAA και ενσωματώνεται με τη σύγχρονη στοίβα ανίχνευσης και είναι μία από τις λίγες επιλογές ανοιχτού κώδικα SIEM που ολοκληρώνουν στην πραγματικότητα οι μικρές ομάδες.
Βασικά σημεία
- Η αρχιτεκτονική είναι agent-manager-indexer-dashboard: οι πράκτορες πολλαπλών πλατφορμών (Windows, Linux, macOS) συλλέγουν αρχεία καταγραφής, εκτελούν ελέγχους ακεραιότητας (FIM) και εκτελούν σαρώσεις βασικής γραμμής ασφαλείας. ο διαχειριστής συσχετίζεται και το ευρετήριο/πίνακας εργαλείων που βασίζεται στην OpenSearch παρέχει αναζήτηση και γραφικά. η εγκατάσταση all-in-one κάνει τις πρώτες αναπτύξεις ευκολότερες.
- Η μηχανή κανόνων είναι επεκτάσιμη: αποκωδικοποιητής + κανόνας XML πέρα από χιλιάδες ενσωματωμένα (SSH fuzz, κατάχρηση sudo, μοτίβα κελύφους ιστού), προσαρμοσμένοι κανόνες για τα δικά σας αρχεία καταγραφής εφαρμογών και έλεγχοι αληθοφάνειας (προσαρμοσμένοι κανόνες που αναφέρονται σε πεδία συμβάντων που σας ενδιαφέρουν, ελέγξτε κάθε προσαρμοσμένο κανόνα στη δοκιμή πριν από την παραγωγή).
- Οι ενότητες συμμόρφωσης είναι ο λόγος που χαμογελούν οι ελεγκτές: το ενσωματωμένο SCA (Αξιολόγηση Διαμόρφωσης Ασφαλείας) σαρώνει σημεία αναφοράς CIS σε πράκτορες απευθείας (δεσμούς με το άρθρο μας για τον έλεγχο ασφάλειας linux), ανίχνευση ευπάθειας που συσχετίζει τα δεδομένα CVE με εγκατεστημένο λογισμικό και εκ των υστέρων μετατροπή PCI/GDPR/GDPR σε άλλες πινακίδες διαμόρφωσης.
- Η ενεργή απόκριση είναι το προαιρετικό αιχμηρό πλεονέκτημα: Το Wazuh μπορεί να ενεργοποιήσει δεσμευμένες αποκρίσεις (μπλοκάρισμα μιας IP, απομόνωση ενός πράκτορα, σκοτώνοντας μια διαδικασία) σε μια ειδοποίηση και ενώ ο ισχυρός, απρόσεκτος αυτοματισμός δημιουργεί τις δικές του διακοπές λειτουργίας, έτσι τα περισσότερα κτήματα διατηρούν την ενεργή απόκριση περιορισμένη σε ενέργειες περιορισμένου εύρους, ελεγμένες ενέργειες σε παράθυρα υψηλής εμπιστοσύνης.
- Πραγματικότητα κλιμάκωσης: οι πράκτορες αριθμούνται σε χιλιάδες σε έναν διαχειριστή, τα μεγαλύτερα κτήματα διαχωρίζονται ή χρησιμοποιούν λειτουργία συμπλέγματος και ο δείκτης (OpenSearch) είναι ο συνηθισμένος πόρος. Το μέγεθος της CPU/RAM και η διαχείριση του κύκλου ζωής του ευρετηρίου (παράθυρα διατήρησης) ανήκουν στη σχεδίαση, καθώς έξι μήνες καταγραφής τελικών σημείων είναι μια ιστορία αποθήκευσης και όχι μια μεταγενέστερη σκέψη.
- Όπου βρίσκεται σε σχέση με τα άλλα εργαλεία ασφαλείας μας: Η Suricata καλύπτει το καλώδιο δικτύου, το Wazuh καλύπτει τα τελικά σημεία και την αναφορά συμμόρφωσης, η Falco προσθέτει ανίχνευση χρόνου εκτέλεσης κοντέινερ (το άρθρο μας) και σάρωση ευπάθειας χειρισμού Trivy/OpenVAS. Το Wazuh είναι το στρώμα ομπρέλας που συνιστάται πιο συχνά πρώτα για μια μικρή ομάδα που δημιουργεί ένα SOC με προϋπολογισμό.
Σημείωση από το πεδίο
Ένα βήμα Wazuh μόνο για σκηνοθεσία που έγινε παραγωγή: το tripwire FIM έπιασε ένα webshell που έπεσε σε έναν ξεχασμένο ιστότοπο WordPress 40 λεπτά μετά τον συμβιβασμό αντί για ποτέ. Ο πελάτης ενέκρινε την πλήρη διάθεση του στόλου εκείνη την εβδομάδα. Το εργαλείο ανίχνευσης πουλά τον εαυτό του την πρώτη φορά που πιάνει κάτι αληθινό.
Συχνές ερωτήσεις
Wazuh ή εμπορικό SIEM;
Για ομάδες μικρού έως μεσαίου μεγέθους, η καμπύλη κόστους και η κάλυψη χαρακτηριστικών του Wazuh (FIM, SCA, εντοπισμός vuln, πίνακες εργαλείων) συχνά φέρουν τον φόρτο εργασίας SOC. εμπορικές πλατφόρμες αγοράς κλίμακας και σχέση υποστήριξης όπου η ρυθμιστική στάση χρειάζεται την ευθύνη του προμηθευτή.
Μπορεί να απορροφήσει αρχεία καταγραφής χωρίς εγκατάσταση πρακτόρων;
Ναι: το syslog, η προώθηση συμβάντων των Windows και οι πηγές καταγραφής API τροφοδοτούν επίσης τον διαχειριστή. Οι πράκτορες σάς δίνουν πλουσιότερους τοπικούς ελέγχους (FIM, απόθεμα, SCA), επομένως χρησιμοποιήστε πηγές χωρίς πράκτορες όπου οι πράκτορες δεν μπορούν να αποστείλουν.
Τι είναι το FIM και γιατί έχει σημασία;
Παρακολούθηση ακεραιότητας αρχείων: Το Wazuh αθροίζει κρίσιμες διαδρομές (δυαδικά, ρυθμίσεις παραμέτρων) και ειδοποιεί για αλλαγές. για ένα κτήμα φιλοξενίας αυτό είναι το tripwire που εντοπίζει πτώσεις webshell και μη εξουσιοδοτημένες τροποποιήσεις ρυθμίσεων που χάνουν οι σαρωτές.
Πώς διατηρούμε λογικό τον όγκο συναγερμού;
Συντονίστε κανόνες όπως κάθε IDS: έλεγχος κανόνα προς κανόνα των θορυβωδών κανόνων, βαθμολόγηση σοβαρότητας ανά περιβάλλον, όρια ειδοποίησης για περιστατικό και τριμηνιαία απόσυρση κανόνων. ένα μη συντονισμένο SIEM εκπαιδεύει τους αναλυτές να το αγνοούν, κάτι που είναι χειρότερο από κανένα SIEM.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Η πρότασή μας είναι απλή: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Αναλάβτε την υπηρεσία μας Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux και έχει αξιολογηθεί σωστά, εφαρμοστεί καθαρά και παρακολουθείται όλο το 24ωρο.