ओपन-सोर्स सुरक्षा उपकरण
वज़ुह: ओपन-सोर्स सिएम जो वास्तविक टीमें चलाती हैं
वज़ुह ओएसएसईसी वंश पर निर्मित ओपन-सोर्स एसआईईएम/एक्सडीआर प्लेटफॉर्म है: लॉग और मेट्रिक्स एकत्र करने वाले एंडपॉइंट पर एजेंट, नियमों को लागू करने वाला एक प्रबंधक, और एक इंडेक्सर प्लस डैशबोर्ड (ओपनसर्च-आधारित) जो इसे एक कार्यशील एसओसी कंसोल में बदल देता है। यह पीसीआई/जीडीपीआर/एचआईपीएए के लिए अनुपालन मॉड्यूल भेजता है और आधुनिक डिटेक्शन स्टैक के साथ एकीकृत होता है, और यह कुछ ओपन-सोर्स एसआईईएम विकल्पों में से एक है जो छोटी टीमें वास्तव में तैनात करती हैं।
मुख्य बिंदु
- आर्किटेक्चर एजेंट-मैनेजर-इंडेक्सर-डैशबोर्ड है: क्रॉस-प्लेटफ़ॉर्म एजेंट (विंडोज़, लिनक्स, मैकओएस) लॉग एकत्र करते हैं, अखंडता जांच (एफआईएम) चलाते हैं, और सुरक्षा बेसलाइन स्कैन निष्पादित करते हैं; प्रबंधक सहसंबंधित होता है, और ओपनसर्च-आधारित इंडेक्सर/डैशबोर्ड खोज और दृश्य देता है; ऑल-इन-वन इंस्टालेशन पहली तैनाती को सुव्यवस्थित बनाता है।
- नियम इंजन विस्तार योग्य है: हजारों बिल्ट-इन (एसएसएच फ़ज़, सुडो दुरुपयोग, वेब शैल पैटर्न) से परे डिकोडर + नियम एक्सएमएल, आपके स्वयं के ऐप लॉग के लिए कस्टम नियम, और संभाव्यता जांच (कस्टम नियम उन ईवेंट फ़ील्ड को संदर्भित करते हैं जिनकी आप परवाह करते हैं; उत्पाद से पहले परीक्षण में प्रत्येक कस्टम नियम का ऑडिट करें)।
- अनुपालन मॉड्यूल ऑडिटरों के मुस्कुराने का कारण हैं: अंतर्निहित एससीए (सुरक्षा कॉन्फ़िगरेशन मूल्यांकन) सीधे एजेंटों पर सीआईएस बेंचमार्क को स्कैन करता है (हमारे लिनक्स-सुरक्षा-ऑडिटिंग लेख से जुड़ा हुआ है), इंस्टॉल किए गए सॉफ़्टवेयर के खिलाफ सीवीई डेटा को सहसंबंधित करने वाली भेद्यता का पता लगाना, और आउट-ऑफ़-द-बॉक्स पीसीआई/जीडीपीआर/एचआईपीएए/आईएसओ डैशबोर्ड जो साक्ष्य-एकत्रीकरण को प्रोजेक्ट से कॉन्फ़िगरेशन में बदल देते हैं।
- सक्रिय प्रतिक्रिया वैकल्पिक तेज धार है: वज़ुह एक अलर्ट पर स्क्रिप्टेड प्रतिक्रियाओं को ट्रिगर कर सकता है (एक आईपी को ब्लॉक करें, एक एजेंट को अलग करें, एक प्रक्रिया को मारें), और जबकि शक्तिशाली, लापरवाह स्वचालन अपने स्वयं के आउटेज बनाता है, इसलिए अधिकांश एस्टेट सक्रिय प्रतिक्रिया को उच्च-विश्वास वाली विंडो पर संकीर्ण दायरे वाली, समीक्षा की गई कार्रवाइयों तक सीमित रखते हैं।
- स्केलिंग वास्तविकता: एक प्रबंधक पर एजेंटों की संख्या हजारों में होती है, बड़े एस्टेट शार्ड या क्लस्टर मोड का उपयोग करते हैं, और इंडेक्सर (ओपनसर्च) सामान्य संसाधन हॉग है; सीपीयू/रैम साइजिंग और इंडेक्स जीवनचक्र प्रबंधन (रिटेंशन विंडो) डिजाइन में शामिल हैं, क्योंकि छह महीने के एंडपॉइंट लॉग एक स्टोरेज कहानी है, बाद में नहीं।
- हमारे अन्य सुरक्षा उपकरणों की तुलना में यह कहां बैठता है: सुरीकाटा नेटवर्क वायर को कवर करता है, वाज़ुह एंडपॉइंट और अनुपालन रिपोर्टिंग को कवर करता है, फाल्को कंटेनर रनटाइम डिटेक्शन (हमारा लेख) जोड़ता है, और ट्रिवी/ओपनवीएएस भेद्यता स्कैनिंग को संभालता है; बजट पर एसओसी बनाने वाली छोटी टीम के लिए सबसे पहले वज़ूह की सिफारिश सबसे पहले की जाती है।
क्षेत्रीय टिप्पणी
एक स्टेजिंग-केवल वज़ुह पिच जो उत्पादन बन गई: एफआईएम ट्रिपवायर ने कभी नहीं के बजाय समझौते के 40 मिनट बाद एक भूली हुई वर्डप्रेस साइट पर गिराए गए वेबशेल को पकड़ लिया। क्लाइंट ने उस सप्ताह पूर्ण बेड़ा रोलआउट को मंजूरी दे दी। डिटेक्शन टूलिंग पहली बार किसी वास्तविक चीज़ को पकड़ने पर स्वयं ही बिक जाती है।
अक्सर पूछे जाने वाले प्रश्न
वज़ुह या एक वाणिज्यिक सिएम?
छोटी से मध्यम टीमों के लिए, वज़ुह की लागत वक्र और फीचर कवरेज (एफआईएम, एससीए, वुलन डिटेक्शन, डैशबोर्ड) अक्सर एसओसी कार्यभार वहन करते हैं; वाणिज्यिक प्लेटफ़ॉर्म बड़े पैमाने पर खरीदारी करते हैं और संबंध का समर्थन करते हैं जहां नियामक रुख के लिए विक्रेता की जवाबदेही की आवश्यकता होती है।
क्या यह एजेंटों को स्थापित किए बिना लॉग को निगल सकता है?
हाँ: syslog, Windows ईवेंट फ़ॉरवर्डिंग, और API लॉग स्रोत प्रबंधक को भी फ़ीड करते हैं; एजेंट आपको समृद्ध स्थानीय चेक (एफआईएम, इन्वेंट्री, एससीए) देते हैं, इसलिए एजेंट रहित स्रोतों का उपयोग करें जहां एजेंट शिप नहीं कर सकते।
FIM क्या है और यह क्यों मायने रखता है?
फ़ाइल अखंडता की निगरानी: वज़ुह महत्वपूर्ण पथों (बाइनरिज़, कॉन्फ़िगरेशन) और परिवर्तनों पर अलर्ट चेकसम करता है; एक होस्टिंग एस्टेट के लिए यह ट्रिपवायर है जो वेबशेल ड्रॉप्स और अनधिकृत कॉन्फ़िगरेशन संपादन को पकड़ता है जो स्कैनर से छूट जाते हैं।
हम अलर्ट वॉल्यूम को कैसे संतुलित रखें?
किसी भी आईडीएस की तरह नियमों को ट्यून करें: शोर ट्रिगर्स की नियम-दर-नियम समीक्षा, प्रति वातावरण गंभीरता स्कोरिंग, अलर्ट-टू-घटना सीमा, और त्रैमासिक नियम सेवानिवृत्ति; एक अव्यवस्थित एसआईईएम विश्लेषकों को इसे नजरअंदाज करने के लिए प्रशिक्षित करता है, जो एसआईईएम न होने से भी बदतर है।
ओपन-सोर्स सुरक्षा उपकरण में Kinetikatech कैसे सहायता करता है
सच कहें तो अधिकांश टीमें स्वयं प्रयास के बाद हमारे पास आती हैं: परीक्षण टूलबॉक्स पेशेवर वास्तव में लोड रहते हैं: स्कैनर, स्निफ़र, क्रैकर, और वेब प्रॉक्सी ने समझाया कि उनका उपयोग वास्तविक संलग्नक - कमांड, झंडे, आउटपुट, और जहां प्रत्येक एक पद्धति में बैठता है, पर किया जाता है। हमारी पैठ परीक्षण और Linux सर्वर सुरक्षा सेवा इसलिए है ताकि आपको ओपन-सोर्स सुरक्षा उपकरण कठिन तरीके से न सीखना पड़े — सेटअप, निगरानी और रात 3 बजे के आश्चर्यों का भार हम उठाते हैं।