Безбедносни алати отвореног кода
Сурицата: Вишенитни мрежни механизам са ЈСОН-ом по подразумеваној вредности
Сурицата је мрежа ИДС/ИПС подржана од ОИСФ-а изграђена са више нити од самог почетка, са рашчлањивањем протокола (ХТТП, ДНС, ТЛС метаподаци) и ЕВЕ ЈСОН излазом дизајнираним за савремени СОЦ цевовод. Чита већину правила Снорт-а, што одржава екосистем заједничким, и природно се упарује са аналитиком Еластиц класе као мрежним сензором.
Кључне точке
- Вишенитност према архитектури: хватање пакета (АФ_ПАЦКЕТ на Линук-у, АФ_КСДП за високу пропусност) напаја радни цевовод преко језгара, тако да се машина прилагођава модерном хардверу без уског грла са једним редом прве генерације ИДС-а; величина је ЦПУ плус РАМ/пакети, а не само пропусни опсег.
- ЕВЕ ЈСОН је разлика у моделу података: свако упозорење, ток и метаподаци протокола се испоручују као структурирани ЈСОН (поља као што су хттп.ури, тлс.сни, днс.наме), који слете директно у цевоводе Еластиц/ОпенСеарцх без прилагођеног рашчлањивања; овај један избор дизајна је разлог зашто Сурицата осваја већину гласова СОЦ стека.
- Свест о протоколу превазилази потписе: механизам бележи метаподатке ТЛС руковања (хешови ЈА3 класе, СНИ, поља сертификата), ХТТП главе, ДНС упите и трагове СМБ/датотека, тако да сензор служи као прикупљање мрежних метаподатака; многи тимови покрећу Сурицату првенствено за ово чак и пре упозорења.
- Компатибилност правила је оперативна безбрижност: правила у Снорт формату се углавном преклапају (ЕТ скупови правила се објављују за оба), тако да се претплате на интел протежу преко механизама и вештина из Снорт позадинског преноса са скромним додацима синтаксе (Сурицата додаје сопствене кључне речи као што су догађаји слоја апликације).
- ИПС режим је стваран: инлине преко НФКУЕУЕ или АФ_ПАЦКЕТ са правилима испуштања, али за држање су потребни ХА-пријатељи и пажљива политика; већина имања држи Сурицата пасивном као детекцију и користи правила заштитног зида за превенцију, надоградњу на инлине само тамо где средство оправдава ризик од затварања.
- Где се налази у нашој колекцији безбедносних алата: поред Снорт-а, то је модерно подразумевано за ИДС са потписом; богатији излаз метаподатака га квалификује као сензорску компоненту првог СОЦ стека поред НСМ-а класе Зеек, са Триви/опенвас-ом који покрива рањивост и Вазух-ом који покрива агрегацију крајњих тачака.
Теренска биљешка
Сурицата имплементација која је освојила клијента нису била упозорења, већ метаподаци: ЕВЕ ЈСОН је слетео у њихов Еластиц стек, а њихов први упит за тражење је помирио мистериозни прекид са ТЛС прозором за обнављање за неколико минута. Сензор зарађује свој рацк простор између инцидената.
Цесто постављања питања
Које изворе правила треба да учитам?
ЕТ Опен за широку бесплатну базу са дневним ажурирањима, ЕТ Про где су заштићени СЛА-и и покривеност истог дана, плус курирани извори информација; више правила помаже само ако подешавање иде у корак, у супротном расту лажни позитивни резултати.
Како се врши димензионисање?
Пропусни опсег је наиван улаз; реално одређивање величине користи просечне и вршне пакете/секунди, број правила и дубину, и језгра процесора за вишенитну дељење; 10Г треба добар хардвер са подешавањем АФ_ПАЦКЕТ/АФ_КСДП и ЕТ скупа правила, а не огроман буџет.
Где ЕВЕ излаз обично слеће?
Еластиц, ОпенСеарцх или било који лог пипелине преко Филебеат/Вецтор класе записивача дневника; поља су структурирана за директно филтрирање, где Сурицатин модел података надмашује обичне формате упозорења.
Да ли је Сурицата добра за мрежу малих канцеларија?
Да и на нижем нивоу: један уређај/огледало на малом имању је робни хардвер са правилима заједнице, али буџетско време за подешавање и мали ток рада за гледање упозорења; алатка за узбуну коју нико не чита пружа лажну удобност.
Како Kinetikatech помаже код безбедносни алати отвореног кода
Јскрено, већина тимова дође до нас након што су прво покушали сами: Професионалци у кутији алата за тестирање су заправо пуни: скенери, њушкари, крекери и веб проксији објаснили су начин на који се користе у стварним ангажманима — команде, заставице, излази и где се сваки налази у методологији. Наша услуга Penetration Testing и Linux Server Security постоји да се не морате упознавати с безбедносни алати отвореног кода на тежи начин; ми се бринемо о пуштању у рад, надзору и изненађењима у три ујутро.