オープンソースのセキュリティ ツール
Wazuh: 実際のチームが実行するオープンソース SIEM
Wazuh は、OSSEC 系譜に基づいて構築されたオープンソース SIEM/XDR プラットフォームです。ログとメトリクスを収集するエンドポイント上のエージェント、ルールを適用するマネージャー、およびそれを実用的な SOC コンソールに変えるインデクサーとダッシュボード (OpenSearch ベース) です。 PCI/GDPR/HIPAA のコンプライアンス モジュールが同梱され、最新の検出スタックと統合されており、小規模チームが実際に展開を完了する数少ないオープンソース SIEM オプションの 1 つです。
要点
- アーキテクチャはエージェント、マネージャー、インデクサー、ダッシュボードです。クロスプラットフォーム エージェント (Windows、Linux、macOS) はログを収集し、整合性チェック (FIM) を実行し、セキュリティ ベースライン スキャンを実行します。マネージャーが関連付けを行い、OpenSearch ベースのインデクサー/ダッシュボードが検索とビジュアルを提供します。オールインワン インストールにより、最初の導入が容易になります。
- ルール エンジンは拡張可能です。デコーダと数千の組み込みを超えるルール XML (SSH ファズ、sudo の不正使用、Web シェル パターン)、独自のアプリ ログのカスタム ルール、妥当性チェック (重要なイベント フィールドを参照するカスタム ルール、本番前のテストですべてのカスタム ルールを監査)。
- 監査人が笑顔になる理由はコンプライアンス モジュールです。組み込みの SCA (セキュリティ構成評価) はエージェントの CIS ベンチマークを直接スキャンし (linux-security-auditing の記事に関連しています)、CVE データとインストールされているソフトウェアを相関付ける脆弱性検出、および証拠収集をプロジェクトから構成に変えるすぐに使える PCI/GDPR/HIPAA/ISO ダッシュボードです。
- アクティブ レスポンスは、オプションのシャープ エッジです。Wazuh は、アラートに応じてスクリプト化されたレスポンス (IP のブロック、エージェントの隔離、プロセスの強制終了) をトリガーできますが、強力で不注意な自動化は独自の機能停止を引き起こすため、ほとんどの不動産では、アクティブ レスポンスは、信頼性の高いウィンドウでの、範囲が狭くレビューされたアクションに限定されています。
- 現実のスケーリング: 1 つのマネージャー上に数千のエージェントが存在し、より大きなエステート シャードまたはクラスター モードを使用し、インデクサー (OpenSearch) が通常のリソースを大量に消費します。 6 か月のエンドポイント ログはストレージの話であり、後付けではないため、CPU/RAM のサイジングとインデックスのライフサイクル管理 (保持期間) は設計に含まれています。
- 他のセキュリティ ツールとの比較: Suricata はネットワーク ワイヤーをカバーし、Wazuh はエンドポイントとコンプライアンス レポートをカバーし、Falco はコンテナー ランタイム検出を追加し (記事)、Trivy/OpenVAS は脆弱性スキャンを処理します。 Wazuh は、予算内で SOC を構築する小規模チームに最初に推奨されることが最も多い傘レイヤーです。
現場ノート
ステージング専用の Wazuh ピッチが本番環境になりました。FIM トリップワイヤーは、侵害から 40 分後に、忘れられた WordPress サイトに投下された Web シェルを捕捉しました。クライアントはその週にフリート全体の展開を承認しました。検出ツールは、初めて本物を検出したときに自動的に売れます。
よくある質問
Wazuh それとも商用 SIEM ですか?
中小規模のチームの場合、Wazuh のコスト曲線と機能範囲 (FIM、SCA、脆弱性検出、ダッシュボード) が SOC ワークロードを担うことがよくあります。商用プラットフォームは、規制体制がベンダーの説明責任を必要とする規模とサポート関係を購入します。
エージェントをインストールせずにログを取り込むことはできますか?
はい: syslog、Windows イベント転送、および API ログ ソースもマネージャーにフィードします。エージェントはより豊富なローカルチェック (FIM、在庫、SCA) を提供するため、エージェントが出荷できない場所ではエージェントレスのソースを使用します。
FIM とは何ですか?なぜ重要ですか?
ファイル整合性の監視: Wazuh はクリティカル パス (バイナリ、構成) をチェックサムし、変更を警告します。ホスティング施設にとって、これはスキャナーが見逃した Web シェルのドロップや不正な設定編集をキャッチするトリップワイヤーです。
アラートの量を適切に保つにはどうすればよいでしょうか?
他の IDS と同様にルールを調整します。ノイズの多いトリガーのルールごとのレビュー、環境ごとの重大度スコアリング、インシデントに対するアラートのしきい値、および四半期ごとのルールの廃止。調整されていない SIEM は、アナリストにそれを無視するよう訓練します。これは、SIEM を使用しないよりも悪いです。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
これは何百回と対応してきたケースです：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 ペネトレーションテストとLinuxサーバーセキュリティで、評価、実装、24時間体制の監視、そして重要な時に30分以内の対応という、完全なサイクルを提供します。