Atvirojo kodo saugos įrankiai
Suricata: kelių gijų tinklo variklis su JSON pagal numatytuosius nustatymus
„Suricata“ yra OISF palaikomas tinklas IDS/IPS, nuo pat pradžių sukurtas kelių gijų, su protokolų analizavimu (HTTP, DNS, TLS metaduomenys) ir EVE JSON išvestimi, skirta šiuolaikiniam SOC konvejeriui. Jis nuskaito daugumą „Snort“ taisyklių, dėl kurių ekosistema yra bendrai naudojama, ir natūraliai susieja su „Elastic“ klasės analize kaip tinklo jutikliu.
Pagrindiniai punktai
- Daugiagija pagal architektūrą: paketų fiksavimas (AF_PACKET Linux sistemoje, AF_XDP didelio našumo atveju) tiekia darbuotojo vamzdyną per branduolius, todėl variklis plečiasi naudojant šiuolaikinę aparatinę įrangą be pirmosios kartos IDS vienos eilės kliūties; Dydis yra CPU ir RAM / paketai, o ne tik pralaidumas.
- EVE JSON yra duomenų modelio skirtumas: kiekvienas įspėjimas, srautas ir protokolo metaduomenys įrašomi kaip struktūrinis JSON (laukai, pvz., http.uri, tls.sni, dns.name), kurie patenka tiesiai į Elastic / OpenSearch konvejerius be pasirinktinio analizavimo; Dėl šio vieno dizaino pasirinkimo „Suricata“ laimi daugiausia SOC rinkinio balsų.
- Protokolų suvokimas neapsiriboja parašais: variklis registruoja TLS rankų paspaudimo metaduomenis (JA3 klasės maišos, SNI, sertifikato laukus), HTTP galvutes, DNS užklausas ir SMB / failų pėdsakus, todėl jutiklis atlieka tinklo metaduomenų rinkimo funkciją; daugelis komandų paleidžia Suricata pirmiausia dėl to net prieš įspėjimus.
- Taisyklės suderinamumas yra veikiantis ramus: „Snort“ formato taisyklės įkeliamos dažniausiai persidengiant (ET taisyklių rinkiniai skelbiami abiem), todėl grėsmės „Intel“ prenumeratos apima variklius ir įgūdžius, susijusius su „Snort“ fono perdavimu su nedideliais sintaksės papildymais („Suricata“ prideda savo raktinius žodžius, pvz., programos sluoksnio įvykius).
- IPS režimas yra tikras: įterptas per NFQUEUE arba AF_PACKET su kritimo taisyklėmis, tačiau laikysenai reikia HA draugų ir kruopščios politikos; daugumoje dvarų Suricata yra pasyvi kaip aptikimas, o užkardos taisyklės naudojamos prevencijai, atnaujinamos į inline tik tada, kai turtas pateisina nesėkmingo uždarymo riziką.
- Kur ji yra mūsų saugos įrankių kolekcijoje: kartu su „Snort“ ji yra šiuolaikinė numatytoji parašo IDS; turtingesnė metaduomenų išvestis leidžia ją laikyti pirmojo SOC dėklo jutiklio komponentu šalia Zeek klasės NSM, o „Trivy/openvas“ apima pažeidžiamumą, o „Wazuh“ – galinių taškų agregavimą.
Pastaba iš praktikos
„Suricata“ diegimas, kuris laimėjo klientą, buvo ne įspėjimai, o metaduomenys: EVE JSON atsidūrė jų elastiniame krūvoje, o pirmoji jų paieškos užklausa per kelias minutes suderino paslaptingą gedimą su TLS atnaujinimo langu. Jutiklis uždirba tarpą tarp incidentų.
Dažniausiai užduodami klausimai
Kokius taisyklių šaltinius turėčiau įkelti?
ET Open – plati nemokama bazė su kasdieniais atnaujinimais, ET Pro, kur svarbūs apsaugos SLA ir tos pačios dienos aprėptis, taip pat kuruojamų „Intel“ informacijos santraukų; daugiau taisyklių padeda tik tuo atveju, jei derinimas neatsilieka, kitaip išauga klaidingi teigiami rezultatai.
Kaip atliekamas dydžio nustatymas?
Pralaidumas yra naivus įvestis; Realus dydis naudoja vidutinius ir didžiausius paketus per sekundę, taisyklių skaičių ir gylį bei procesoriaus branduolius kelių gijų bendrinimui; 10G reikalinga aparatinė įranga su AF_PACKET/AF_XDP ir ET taisyklių derinimu, o ne didžiulis biudžetas.
Kur paprastai nusileidžia EVE išvestis?
Elastic, OpenSearch arba bet koks žurnalų vamzdynas per Filebeat/Vector klasės žurnalų rašytuvus; laukai yra sukurti tiesioginiam filtravimui, todėl Suricata duomenų modelis pranoksta paprastus įspėjimų formatus.
Ar Suricata tinka mažo biuro tinklui?
Taip, taip pat ir žemiausiose klasėse: vienas prietaisas/veidrodis mažoje sodyboje yra prekinė techninė įranga pagal bendruomenės taisykles, tačiau biudžeto laikas derinimui ir nedidelė įspėjimo peržiūros darbo eiga; įspėjimo įrankis, kurio niekas neskaito, suteikia netikrą komfortą.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Atvirai — dauguma komandų kreipiasi į mus pirmiau pabandžiusios pačios: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Mūsų paslauga Pratimų testai ir Linux serverių sauga skirta tam, kad jums nereikėtų atvirojo kodo saugos įrankiai pažinti sunkiausiu keliu; mes pasirūpiname paleidimu, priežiūra ir netikėtumais trečią valandą nakties.