Безбедносни алати отвореног кода
Вазух: СИЕМ отвореног кода који покрећу стварни тимови
Вазух је СИЕМ/КСДР платформа отвореног кода изграђена на ОССЕЦ линији: агенти на крајњим тачкама који прикупљају евиденције и метрике, менаџер који примењује правила и индексер плус контролна табла (заснована на ОпенСеарцх-у) која га претвара у радну СОЦ конзолу. Испоручује модуле усклађености за ПЦИ/ГДПР/ХИПАА и интегрише се са модерним стеком за детекцију, и то је једна од ретких СИЕМ опција отвореног кода које мали тимови заправо завршавају са имплементацијом.
Кључне точке
- Архитектура је агент-манагер-индекер-дасхбоард: агенти на више платформи (Виндовс, Линук, мацОС) прикупљају евиденције, покрећу провере интегритета (ФИМ) и извршавају безбедносна основна скенирања; менаџер корелира, а индексер/контролна табла заснована на ОпенСеарцх-у даје претрагу и визуелне приказе; инсталација све-у-једном чини прве имплементације лакшим.
- Механизам правила је проширив: декодер + КСМЛ правила изван хиљада уграђених (ССХ фузз, судо злоупотреба, обрасци веб љуске), прилагођена правила за сопствене евиденције апликација и провере веродостојности (прилагођена правила која упућују на поља догађаја до којих вам је стало; ревизија сваког прилагођеног правила у тесту пре прод).
- Модули усаглашености су разлог зашто се ревизори смеју: уграђени СЦА (Процена конфигурације безбедности) скенира ЦИС бенцхмаркове на агентима директно (везе са нашим чланком о линук-безбедносној ревизији), откривање рањивости у корелацији ЦВЕ података са инсталираним софтвером, и оригиналне ПЦИ/ГДПР/ХИПАА/ИСО конфигурације које претварају конфигурацију пројекта у конфигурацију.
- Активни одговор је опциона оштра ивица: Вазух може да покрене одговоре са скриптом (блокирање ИП-а, изоловање агента, убијање процеса) на упозорење, и док моћна, немарна аутоматизација ствара сопствене прекиде, тако да већина имања држи активни одговор ограниченим на уско обимне, прегледане радње на прозорима са високом поузданошћу.
- Реалност скалирања: број агената је на хиљаде на једном менаџеру, већа имања се користе или користе режим кластера, а индексатор (ОпенСеарцх) је уобичајени извор ресурса; Одређивање величине ЦПУ/РАМ-а и управљање животним циклусом индекса (прозори задржавања) спадају у дизајн, пошто је шест месеци евиденције крајњих тачака прича о складиштењу, а не накнадној мисли.
- Где се налази у односу на наше друге безбедносне алате: Сурицата покрива мрежну жицу, Вазух покрива крајње тачке и извештавање о усклађености, Фалцо додаје детекцију времена извршавања контејнера (наш чланак) и Триви/ОпенВАС скенирање рањивости; Вазух је кровни слој који се најчешће препоручује први за мали тим који гради СОЦ уз буџет.
Теренска биљешка
Вазух презентација само за постављање која је постала продукција: ФИМ трипвире је ухватио веб-љуску испуштену на заборављену ВордПресс локацију 40 минута након компромиса уместо никада. Клијент је те недеље одобрио комплетно увођење флоте. Алат за детекцију се продаје када први пут ухвати нешто стварно.
Цесто постављања питања
Вазух или комерцијални СИЕМ?
За тимове малих до средњих, Вазух-ова крива трошкова и покривеност карактеристика (ФИМ, СЦА, детекција вулн, контролне табле) често носе СОЦ радно оптерећење; комерцијалне платформе купују размере и подржавају однос тамо где је регулаторном држању потребна одговорност добављача.
Може ли да унесе евиденцију без инсталирања агената?
Да: системски дневник, прослеђивање Виндовс догађаја и извори дневника АПИ-ја такође напајају менаџера; агенти вам дају богатије локалне провере (ФИМ, инвентар, СЦА), па користите изворе без агената тамо где агенти не могу да испоруче.
Шта је ФИМ и зашто је то важно?
Праћење интегритета датотека: Вазух контролне суме критичне путање (бинарне датотеке, конфигурације) и упозорења о променама; за хостинг имање ово је трипвире који хвата падове веб шкољке и неовлашћене измене конфигурација које скенери пропуштају.
Како да одржавамо нормалну јачину звука упозорења?
Подесите правила као било који ИДС: преглед од правила до правила о бучним окидачима, бодовање озбиљности по окружењу, прагове упозорења на инциденте и тромесечно повлачење правила; неусклађени СИЕМ обучава аналитичаре да га игноришу, што је горе него да нема СИЕМ-а.
Како Kinetikatech помаже код безбедносни алати отвореног кода
Ово смо рјешавали стотине пута: Професионалци у кутији алата за тестирање су заправо пуни: скенери, њушкари, крекери и веб проксији објаснили су начин на који се користе у стварним ангажманима — команде, заставице, излази и где се сваки налази у методологији. С Penetration Testing и Linux Server Security добивате пуни круг: процјењујемо, имплементирамо, надзиремо без престанка и интервенирамо у 30 минута кад је потребно.