أدوات الأمان مفتوحة المصدر
Suricata: محرك الشبكة متعدد الخيوط مع JSON-by-Default
Suricata هو شبكة IDS/IPS مدعومة من OISF تم إنشاؤها متعددة الخيوط منذ البداية، مع تحليل البروتوكول (بيانات تعريف HTTP، DNS، TLS) ومخرجات EVE JSON المصممة لخط أنابيب SOC الحديث. يقرأ معظم قواعد Snort، التي تحافظ على مشاركة النظام البيئي، ويقترن بشكل طبيعي مع تحليلات الطبقة المرنة كجهاز استشعار للشبكة.
النقاط الرئيسية
- تعدد مؤشرات الترابط حسب البنية: التقاط الحزم (AF_PACKET على Linux، AF_XDP للإنتاجية العالية) يغذي خط أنابيب عامل عبر النوى، وبالتالي يتوسع المحرك على الأجهزة الحديثة دون عنق الزجاجة في قائمة الانتظار الفردية للجيل الأول من IDS؛ الحجم هو وحدات المعالجة المركزية بالإضافة إلى ذاكرة الوصول العشوائي/الحزم، وليس عرض النطاق الترددي فقط.
- EVE JSON هو الاختلاف في نموذج البيانات: يتم شحن كل سجل بيانات وصفية للتنبيه والتدفق والبروتوكول على هيئة JSON منظم (حقول مثل http.uri وtls.sni وdns.name)، والتي تصل مباشرة إلى خطوط أنابيب Elastic/OpenSearch دون تحليل مخصص؛ خيار التصميم هذا هو السبب وراء فوز Suricata بمعظم أصوات مجموعة SOC.
- يتجاوز الوعي بالبروتوكول التوقيعات: يسجل المحرك البيانات التعريفية لمصافحة TLS (تجزئات فئة JA3، SNI، حقول الشهادة)، ورؤوس HTTP، واستعلامات DNS، وتتبعات SMB/الملفات، بحيث يتضاعف المستشعر كمجموعة بيانات تعريف للشبكة؛ تقوم العديد من الفرق بتشغيل Suricata في المقام الأول لهذا الغرض حتى قبل التنبيهات.
- يعد توافق القواعد بمثابة راحة البال التشغيلية: يتم تحميل قواعد تنسيق Snort مع تداخل في الغالب (تُنشر مجموعات قواعد ET لكليهما)، لذا تمتد اشتراكات معلومات التهديد عبر المحركات والمهارات من نقل خلفية Snort مع إضافات تركيبية متواضعة (تضيف Suricata كلماتها الرئيسية الخاصة مثل أحداث طبقة التطبيق).
- وضع IPS حقيقي: مضمّن عبر NFQUEUE أو AF_PACKET مع قواعد الإفلات، لكن الوضع يحتاج إلى أصدقاء HA وسياسة دقيقة؛ تحتفظ معظم العقارات بـ Suricata سلبيًا ككشف واستخدام قواعد جدار الحماية للوقاية، والترقية إلى المضمنة فقط عندما يبرر الأصل مخاطر الإغلاق الفاشل.
- مكان وجوده في مجموعة أدوات الأمان لدينا: إلى جانب Snort، فهو الإعداد الافتراضي الحديث لمعرفات التوقيع (IDS)؛ يؤهلها إخراج البيانات الوصفية الأكثر ثراءً لتكون مكون المستشعر في حزمة SOC الأولى بجوار NSM من فئة Zeek، مع تغطية Trivy/openvas للثغرة الأمنية وتغطية Wazuh لتجميع نقاط النهاية.
ملاحظة ميدانية
لم يكن نشر Suricata الذي حاز على إعجاب العميل هو التنبيهات، بل كان البيانات الوصفية: وصل EVE JSON إلى مكدس Elastic الخاص بهم، وقام استعلام البحث الأول الخاص بهم بتسوية انقطاع غامض مع نافذة تجديد TLS في دقائق. يكسب المستشعر مساحة الرف الخاصة به بين الحوادث.
أسئلة شائعة
ما هي مصادر القواعد التي يجب أن أقوم بتحميلها؟
ET مفتوح لقاعدة واسعة مجانية مع تحديثات يومية، ET Pro حيث تكون اتفاقيات مستوى الخدمة للحماية والتغطية في نفس اليوم مهمة، بالإضافة إلى موجزات Intel المنسقة؛ المزيد من القواعد لا تساعد إلا إذا واكب الضبط السرعة، وإلا ستنمو الإيجابيات الكاذبة.
كيف يتم تحديد الحجم؟
عرض النطاق الترددي هو الإدخال الساذج؛ يستخدم الحجم الواقعي الحزم المتوسطة والذروية في الثانية، وعدد القواعد والعمق، ونواة وحدة المعالجة المركزية لمشاركة مؤشرات الترابط المتعددة؛ تحتاج شبكة 10G إلى أجهزة سلعية مزودة بضبط مجموعة قواعد AF_PACKET/AF_XDP وET، وليس ميزانية ضخمة.
أين يهبط مخرج EVE بشكل طبيعي؟
مرن، أو OpenSearch، أو أي مسار سجل عبر كاتبي سجل فئة Filebeat/Vector؛ تم تصميم الحقول للتصفية المباشرة، حيث يتفوق نموذج بيانات Suricata على تنسيقات التنبيه البسيطة.
هل Suricata جيد لشبكة المكاتب الصغيرة؟
نعم عند الحد الأدنى أيضًا: جهاز واحد/مرآة واحدة في عقار صغير عبارة عن أجهزة سلعية مع قواعد المجتمع، ولكن هناك وقت مخصص للضبط وسير عمل صغير لعرض التنبيهات؛ أداة التنبيه التي لا يقرأها أحد توفر راحة زائفة.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
بصراحة، معظم الفرق تصل إلينا بعد أن تجرّب بنفسها أولًا: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. توجد خدمة اختبارات الاختراق و أمن خوادم لينكس لدينا حتى لا تضطر إلى تعلّم أدوات الأمان مفتوحة المصدر بالطريقة الصعبة؛ نتولى الإعداد والمراقبة ومفاجآت الثالثة فجرًا.