ओपन-सोर्स सुरक्षा उपकरण
सुरीकाटा: JSON-बाय-डिफॉल्ट के साथ मल्टीथ्रेडेड नेटवर्क इंजन
सुरीकाटा ओआईएसएफ-समर्थित नेटवर्क आईडीएस/आईपीएस है जिसे शुरू से ही मल्टीथ्रेडेड बनाया गया है, जिसमें प्रोटोकॉल पार्सिंग (एचटीटीपी, डीएनएस, टीएलएस मेटाडेटा) और ईवीई जेएसओएन आउटपुट आधुनिक एसओसी पाइपलाइन के लिए डिज़ाइन किया गया है। यह अधिकांश स्नॉर्ट नियमों को पढ़ता है, जो पारिस्थितिकी तंत्र को साझा रखता है, और यह नेटवर्क सेंसर के रूप में इलास्टिक-क्लास एनालिटिक्स के साथ स्वाभाविक रूप से जुड़ जाता है।
मुख्य बिंदु
- आर्किटेक्चर द्वारा मल्टीथ्रेडिंग: पैकेट कैप्चर (लिनक्स पर AF_PACKET, हाई-थ्रूपुट के लिए AF_XDP) कोर में एक वर्कर पाइपलाइन को फीड करता है, इसलिए इंजन पहली पीढ़ी के आईडीएस की सिंगल-क्यू बाधा के बिना आधुनिक हार्डवेयर पर स्केल करता है; साइज़िंग सीपीयू प्लस रैम/पैकेट है, न कि केवल बैंडविड्थ।
- EVE JSON डेटा-मॉडल अंतर है: प्रत्येक अलर्ट, प्रवाह और प्रोटोकॉल मेटाडेटा रिकॉर्ड संरचित JSON (http.uri, tls.sni, dns.name जैसे फ़ील्ड) के रूप में भेजा जाता है, जो कस्टम पार्सिंग के बिना सीधे Elastic/OpenSearch पाइपलाइनों में उतरता है; इस एक डिज़ाइन विकल्प के कारण ही सुरीकाटा अधिकांश एसओसी स्टैक वोट जीतता है।
- प्रोटोकॉल जागरूकता हस्ताक्षर से परे जाती है: इंजन टीएलएस हैंडशेक मेटाडेटा (जेए3-क्लास हैश, एसएनआई, सर्टिफिकेट फ़ील्ड), HTTP हेड्स, डीएनएस क्वेरीज़ और एसएमबी/फ़ाइल ट्रेस लॉग करता है, इसलिए सेंसर नेटवर्क मेटाडेटा संग्रह के रूप में दोगुना हो जाता है; कई टीमें अलर्ट से पहले भी इसके लिए मुख्य रूप से सुरीकाटा चलाती हैं।
- नियम संगतता मन की परिचालन शांति है: स्नॉर्ट-प्रारूप नियम अधिकतर ओवरलैप के साथ लोड होते हैं (ईटी नियम सेट दोनों के लिए प्रकाशित होते हैं), इसलिए थ्रेट इंटेल सब्सक्रिप्शन मामूली वाक्यविन्यास परिवर्धन के साथ स्नॉर्ट पृष्ठभूमि स्थानांतरण से इंजन और कौशल में फैलता है (सुरिकाटा ऐप-लेयर-इवेंट जैसे अपने स्वयं के कीवर्ड जोड़ता है)।
- आईपीएस मोड वास्तविक है: ड्रॉप नियमों के साथ NFQUEUE या AF_PACKET के माध्यम से इनलाइन, लेकिन आसन के लिए HA-मित्रों और सावधान नीति की आवश्यकता होती है; अधिकांश संपत्तियां सूरीकाटा को पहचान के रूप में निष्क्रिय रखती हैं और रोकथाम के लिए फ़ायरवॉल नियमों का उपयोग करती हैं, केवल इनलाइन में अपग्रेड करती हैं जहां परिसंपत्ति विफल-बंद जोखिम को उचित ठहराती है।
- यह हमारे सुरक्षा-उपकरण संग्रह में कहां बैठता है: स्नॉर्ट के साथ-साथ यह हस्ताक्षर आईडीएस के लिए आधुनिक डिफ़ॉल्ट है; समृद्ध मेटाडेटा आउटपुट इसे ज़ीक-क्लास एनएसएम के बगल में पहले एसओसी स्टैक के सेंसर घटक के रूप में योग्य बनाता है, जिसमें ट्रिवी/ओपनवास भेद्यता को कवर करता है और वाज़ुह एंडपॉइंट एकत्रीकरण को कवर करता है।
क्षेत्रीय टिप्पणी
सुरीकाटा परिनियोजन जिसने एक ग्राहक को जीत लिया, वह अलर्ट नहीं था, यह मेटाडेटा था: ईवीई जेएसओएन उनके इलास्टिक स्टैक में उतरा, और उनकी पहली शिकार क्वेरी ने मिनटों में टीएलएस नवीनीकरण विंडो में एक रहस्यमय आउटेज को सुलझा लिया। सेंसर घटनाओं के बीच अपना रैक स्थान अर्जित करता है।
अक्सर पूछे जाने वाले प्रश्न
मुझे कौन से नियम स्रोत लोड करने चाहिए?
ईटी दैनिक अपडेट के साथ व्यापक मुक्त आधार के लिए खुला है, ईटी प्रो जहां सुरक्षा एसएलए और उसी दिन कवरेज मायने रखती है, साथ ही क्यूरेटेड इंटेल फ़ीड; अधिक नियम केवल तभी मदद करते हैं जब ट्यूनिंग गति बनाए रखती है, अन्यथा झूठी सकारात्मकता बढ़ती है।
साइजिंग कैसे की जाती है?
बैंडविड्थ अनुभवहीन इनपुट है; यथार्थवादी आकार मल्टीथ्रेड शेयरिंग के लिए औसत और पीक पैकेट/सेकंड, नियम गणना और गहराई और सीपीयू कोर का उपयोग करता है; 10G को AF_PACKET/AF_XDP और ET नियम-सेट ट्यूनिंग के साथ कमोडिटी हार्डवेयर की आवश्यकता है, न कि बहुत बड़े बजट की।
ईवीई आउटपुट सामान्यतः कहाँ पहुँचता है?
इलास्टिक, ओपनसर्च, या फाइलबीट/वेक्टर क्लास लॉग राइटर्स के माध्यम से कोई लॉग पाइपलाइन; फ़ील्ड्स को प्रत्यक्ष फ़िल्टरिंग के लिए संरचित किया गया है, जहां सुरीकाटा का डेटा मॉडल सादे अलर्ट प्रारूपों से बेहतर प्रदर्शन करता है।
क्या सुरीकाटा छोटे कार्यालय नेटवर्क के लिए अच्छा है?
हां निचले स्तर पर भी: एक छोटी संपत्ति में एक उपकरण/दर्पण सामुदायिक नियमों के साथ कमोडिटी हार्डवेयर है, लेकिन ट्यूनिंग और एक छोटे अलर्ट-व्यूइंग वर्कफ़्लो के लिए बजट समय; एक चेतावनी उपकरण जिसे कोई नहीं पढ़ता वह झूठा आराम प्रदान करता है।
ओपन-सोर्स सुरक्षा उपकरण में Kinetikatech कैसे सहायता करता है
सच कहें तो अधिकांश टीमें स्वयं प्रयास के बाद हमारे पास आती हैं: परीक्षण टूलबॉक्स पेशेवर वास्तव में लोड रहते हैं: स्कैनर, स्निफ़र, क्रैकर, और वेब प्रॉक्सी ने समझाया कि उनका उपयोग वास्तविक संलग्नक - कमांड, झंडे, आउटपुट, और जहां प्रत्येक एक पद्धति में बैठता है, पर किया जाता है। हमारी पैठ परीक्षण और Linux सर्वर सुरक्षा सेवा इसलिए है ताकि आपको ओपन-सोर्स सुरक्षा उपकरण कठिन तरीके से न सीखना पड़े — सेटअप, निगरानी और रात 3 बजे के आश्चर्यों का भार हम उठाते हैं।