เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Wazuh: SIEM โอเพ่นซอร์สที่ทีมจริงดำเนินการ
Wazuh เป็นแพลตฟอร์มโอเพ่นซอร์ส SIEM/XDR ที่สร้างขึ้นบนสายเลือด OSSEC: ตัวแทนปลายทางที่รวบรวมบันทึกและตัวชี้วัด ผู้จัดการที่ใช้กฎ และผู้จัดทำดัชนีพร้อมแดชบอร์ด (แบบ OpenSearch) ที่เปลี่ยนให้เป็นคอนโซล SOC ที่ใช้งานได้ โดยจัดส่งโมดูลการปฏิบัติตามข้อกำหนดสำหรับ PCI/GDPR/HIPAA และผสานรวมกับสแต็กการตรวจจับสมัยใหม่ และเป็นหนึ่งในตัวเลือก SIEM แบบโอเพ่นซอร์สไม่กี่ตัวเลือกที่ทีมขนาดเล็กใช้งานจริงเสร็จสิ้นแล้ว
ประเด็นสำคัญ
- สถาปัตยกรรมคือตัวแทน-ผู้จัดการ-ดัชนี-แดชบอร์ด: เอเจนต์ข้ามแพลตฟอร์ม (Windows, Linux, macOS) รวบรวมบันทึก เรียกใช้การตรวจสอบความสมบูรณ์ (FIM) และดำเนินการสแกนพื้นฐานความปลอดภัย ผู้จัดการมีความสัมพันธ์กัน และผู้จัดทำดัชนี/แดชบอร์ดที่ใช้ OpenSearch ให้การค้นหาและภาพ การติดตั้งแบบออลอินวันทำให้การปรับใช้ครั้งแรกทำได้สะดวก
- กลไกกฎสามารถขยายได้: ตัวถอดรหัส + กฎ XML มากกว่าบิวท์อินนับพัน (SSH fuzz, sudoการละเมิด, รูปแบบเว็บเชลล์), กฎที่กำหนดเองสำหรับบันทึกแอปของคุณเอง และการตรวจสอบความน่าเชื่อถือ (กฎแบบกำหนดเองที่อ้างอิงถึงฟิลด์เหตุการณ์ที่คุณสนใจ ตรวจสอบกฎแบบกำหนดเองทุกกฎในการทดสอบก่อนการทดสอบ)
- โมดูลการปฏิบัติตามกฎระเบียบเป็นเหตุผลที่ผู้ตรวจสอบยิ้ม: SCA ในตัว (การประเมินการกำหนดค่าความปลอดภัย) สแกนการวัดประสิทธิภาพ CIS บนตัวแทนโดยตรง (เชื่อมโยงกับบทความการตรวจสอบความปลอดภัยของ Linux ของเรา) การตรวจจับช่องโหว่ที่สัมพันธ์กับข้อมูล CVE กับซอฟต์แวร์ที่ติดตั้ง และแดชบอร์ด PCI/GDPR/HIPAA/ISO ที่พร้อมใช้งานทันทีที่เปลี่ยนการรวบรวมหลักฐานจากโครงการไปสู่การกำหนดค่า
- การตอบสนองแบบแอคทีฟเป็นทางเลือกที่คมชัด: Wazuh สามารถทริกเกอร์การตอบสนองแบบสคริปต์ (บล็อก IP, แยกตัวแทน, ฆ่ากระบวนการ) ในการแจ้งเตือน และในขณะที่ระบบอัตโนมัติที่ทรงพลังและไม่ระมัดระวังจะสร้างการหยุดทำงานของตัวเอง ดังนั้น การตอบสนองแบบแอ็คทีฟส่วนใหญ่จะจำกัดอยู่เพียงการดำเนินการที่มีขอบเขตแคบและได้รับการตรวจสอบแล้วบนหน้าต่างที่มีความมั่นใจสูง
- ความเป็นจริงในการปรับขนาด: เจ้าหน้าที่มีจำนวนเป็นพันในผู้จัดการหนึ่งคน ส่วนแบ่งทรัพย์สินที่ใหญ่กว่าหรือใช้โหมดคลัสเตอร์ และผู้จัดทำดัชนี (OpenSearch) ก็เป็นผู้ดูแลทรัพยากรตามปกติ การกำหนดขนาด CPU/RAM และการจัดการวงจรชีวิตของดัชนี (หน้าต่างการเก็บข้อมูล) อยู่ในการออกแบบ เนื่องจากบันทึกจุดสิ้นสุดหกเดือนเป็นเพียงเรื่องราวของพื้นที่จัดเก็บข้อมูล ไม่ใช่สิ่งที่ต้องคำนึงถึงภายหลัง
- เทียบกับเครื่องมือรักษาความปลอดภัยอื่นๆ ของเรา: Suricata ครอบคลุมสายเครือข่าย Wazuh ครอบคลุมอุปกรณ์ปลายทางและการรายงานการปฏิบัติตามข้อกำหนด Falco เพิ่มการตรวจจับรันไทม์ของคอนเทนเนอร์ (บทความของเรา) และ Trivy/OpenVAS จัดการการสแกนช่องโหว่ Wazuh เป็นเลเยอร์ร่มที่มักแนะนำเป็นอันดับแรกสำหรับทีมขนาดเล็กที่สร้าง SOC ด้วยงบประมาณ
บันทึกจากหน้างาน
การเสนอขาย Wazuh แบบแสดงละครเท่านั้นที่กลายเป็นการใช้งานจริง: FIM tripwire จับได้ว่า webshell หลุดบนเว็บไซต์ WordPress ที่ถูกลืม 40 นาทีหลังจากการประนีประนอมแทนที่จะไม่เคยทำเลย ลูกค้าอนุมัติการเปิดตัวกลุ่มยานพาหนะเต็มรูปแบบในสัปดาห์นั้น เครื่องมือตรวจจับจะขายตัวมันเองเมื่อจับของจริงได้ในครั้งแรก
คำถามที่พบบ่อย
Wazuh หรือ SIEM เชิงพาณิชย์?
สำหรับทีมขนาดเล็กถึงกลาง เส้นต้นทุนและความครอบคลุมของฟีเจอร์ของ Wazuh (FIM, SCA, การตรวจจับช่องโหว่, แดชบอร์ด) มักจะรองรับเวิร์กโหลด SOC แพลตฟอร์มเชิงพาณิชย์ซื้อขนาดและสนับสนุนความสัมพันธ์ที่มาตรการกำกับดูแลต้องการความรับผิดชอบของผู้ขาย
มันสามารถนำเข้าบันทึกโดยไม่ต้องติดตั้งตัวแทนได้หรือไม่?
ใช่: syslog, การส่งต่อเหตุการณ์ของ Windows และแหล่งที่มาของบันทึก API จะฟีดผู้จัดการด้วยเช่นกัน ตัวแทนให้เช็คในท้องถิ่นที่สมบูรณ์ยิ่งขึ้นแก่คุณ (FIM, สินค้าคงคลัง, SCA) ดังนั้นให้ใช้แหล่งที่มาแบบไม่มีตัวแทนซึ่งตัวแทนไม่สามารถจัดส่งได้
FIM คืออะไร และเหตุใดจึงมีความสำคัญ
การตรวจสอบความสมบูรณ์ของไฟล์: Wazuh ตรวจสอบเส้นทางที่สำคัญ (ไบนารี การกำหนดค่า) และการแจ้งเตือนเกี่ยวกับการเปลี่ยนแปลง สำหรับพื้นที่โฮสติ้ง นี่คือ tripwire ที่ตรวจจับการตกของ webshell และการแก้ไขการกำหนดค่าโดยไม่ได้รับอนุญาตซึ่งเครื่องสแกนพลาดไป
เราจะรักษาระดับการแจ้งเตือนให้เหมาะสมได้อย่างไร
ปรับแต่งกฎเช่นเดียวกับ IDS ใดๆ: การตรวจสอบทริกเกอร์ที่มีเสียงดังแบบกฎต่อกฎ การให้คะแนนความรุนแรงต่อสภาพแวดล้อม เกณฑ์การแจ้งเตือนต่อเหตุการณ์ และการเลิกใช้กฎรายไตรมาส SIEM ที่ไม่ได้รับการปรับแต่งจะฝึกนักวิเคราะห์ให้เพิกเฉย ซึ่งแย่กว่าไม่มี SIEM
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
พูดตรง ๆ ว่าทีมส่วนใหญ่มาหาเราหลังลองทำเองมาแล้ว: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี บริการ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux ของเรามีอยู่เพื่อไม่ให้คุณต้องเรียนรู้ เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส แบบเจ็บปวด เราดูแลทั้งการตั้งค่า การเฝ้าดู และเรื่องกะทันหันตอนตีสาม