Atvirojo kodo saugos įrankiai
Wazuh: atvirojo kodo SIEM, kurią veikia tikrosios komandos
„Wazuh“ yra atvirojo kodo SIEM/XDR platforma, sukurta remiantis OSSEC linija: galinių taškų agentai, renkantys žurnalus ir metrikas, taisykles taikantis valdytojas ir rodyklė bei prietaisų skydelis (pagrįsta „OpenSearch“), paverčianti ją veikiančia SOC konsole. Jis pristato PCI/GDPR/HIPAA atitikties modulius ir integruojasi su šiuolaikine aptikimo stekeliu, be to, tai yra viena iš nedaugelio atvirojo kodo SIEM parinkčių, kurias iš tikrųjų baigia diegti mažos komandos.
Pagrindiniai punktai
- Architektūra yra agentas-manager-indexer-dashboard: kelių platformų agentai („Windows“, „Linux“, „MacOS“) renka žurnalus, atlieka vientisumo patikras (FIM) ir vykdo pradinės saugos nuskaitymus; tvarkyklė koreliuoja, o „OpenSearch“ pagrindu veikianti rodyklė / prietaisų skydelis pateikia paiešką ir vaizdus; „viskas viename“ diegimas leidžia valdyti pirmąjį diegimą.
- Taisyklių variklis yra išplečiamas: dekoderis + taisyklė XML be tūkstančių integruotų (SSH fuzz, sudo piktnaudžiavimas, žiniatinklio apvalkalo modeliai), tinkintos jūsų programų žurnalų taisyklės ir patikimumo patikros (tinkintos taisyklės, nurodančios jums svarbius įvykių laukus; patikrinkite kiekvieną tinkintą taisyklę atliekant bandymą prieš gaminant).
- Atitikties moduliai yra priežastis, dėl kurios auditoriai šypsosi: įtaisytasis SCA (saugumo konfigūracijos įvertinimas) nuskaito agentų CIS etalonus tiesiogiai (susieja su mūsų linux saugos audito straipsniu), pažeidžiamumo aptikimas, susiejantis CVE duomenis su įdiegta programine įranga, ir jau paruošta PCI/GDPR/HIPAA konfigūracija/ISO projektuoja įrodymus.
- Aktyvus atsakas yra neprivalomas aštrus kraštas: „Wazuh“ gali suaktyvinti scenarijus (blokuoti IP, izoliuoti agentą, užmušti procesą) gavusi įspėjimą, o galinga, neatsargiai automatizuojant sukuriamas savo gedimų, todėl dauguma valdų aktyvų atsaką apriboja siauros apimties, peržiūrėtais veiksmais didelio pasitikėjimo languose.
- Realybės mastelio keitimas: agentų skaičius vienam valdytojui siekia tūkstančius, didesnės valdos išardomos arba naudojamos klasterio režimu, o indeksuotojas (OpenSearch) yra įprastas išteklių šernas; CPU / RAM dydžio nustatymas ir indekso gyvavimo ciklo valdymas (saugojimo langai) priklauso dizainui, nes šešių mėnesių galinių taškų žurnalai yra saugojimo istorija, o ne pasekmes.
- Kur ji veikia, palyginti su kitais saugos įrankiais: „Suricata“ apima tinklo laidą, „Wazuh“ apima galinius taškus ir atitikties ataskaitas, „Falco“ prideda konteinerio vykdymo laiko aptikimą (mūsų straipsnis), o „Trivy“ / „OpenVAS“ tvarko pažeidžiamumo nuskaitymą; „Wazuh“ yra skėtinis sluoksnis, kuris dažniausiai rekomenduojamas nedidelei komandai, kuriant SOC pagal biudžetą.
Pastaba iš praktikos
Tik pastatymui skirta „Wazuh“ aikštelė, kuri tapo gamybine: FIM „tripwire“ užfiksavo žiniatinklio apvalkalą, numestą pamirštoje „WordPress“ svetainėje praėjus 40 minučių po kompromiso, o ne niekada. Tą savaitę klientas patvirtino viso parko diegimą. Aptikimo įrankiai parduoda patys, kai pirmą kartą pagauna ką nors tikro.
Dažniausiai užduodami klausimai
Wazuh ar komercinis SIEM?
Mažoms ir vidutinėms komandoms „Wazuh“ sąnaudų kreivė ir funkcijų aprėptis (FIM, SCA, vuln aptikimas, prietaisų skydeliai) dažnai tenka SOC darbo krūviui; komercinės platformos perka mastą ir palaiko santykius, kai reguliavimo pozicijos reikalauja pardavėjo atskaitomybės.
Ar jis gali įsisavinti žurnalus neįdiegęs agentų?
Taip: sistemos žurnalas, „Windows“ įvykių persiuntimas ir API žurnalo šaltiniai taip pat maitina valdytoją; agentai suteikia jums turtingesnius vietinius čekius (FIM, inventorius, SCA), todėl naudokite šaltinius be agentų ten, kur agentai negali išsiųsti.
Kas yra FIM ir kodėl tai svarbu?
Failų vientisumo stebėjimas: Wazuh patikrina svarbius kelius (dvejetainius, konfigūracijos) ir įspėjimus apie pakeitimus; prieglobos turtui tai yra „Tripwire“, kuris užfiksuoja „Webshell“ kritimus ir neteisėtus konfigūracijos pakeitimus, kurių skaitytuvai praleidžia.
Kaip išlaikyti perspėjimo garsumą protingą?
Sureguliuokite taisykles kaip bet kurią IDS: triukšmingų aktyviklių peržiūra taisyklėmis, sunkumo įvertinimas pagal aplinką, įspėjimo apie incidentus slenksčiai ir ketvirtinis taisyklės panaikinimas; nesuderintas SIEM apmoko analitikus į tai nekreipti dėmesio, o tai yra blogiau nei be SIEM.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Pasiūlymas paprastas: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Patikėkite tai mūsų paslaugai Pratimų testai ir Linux serverių sauga ir turėsite visišką aprėptį: rimtą vertinimą, švarų įgyvendinimą, nepertraukiamą stebėjimą.