เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Suricata: โปรแกรมเครือข่ายแบบมัลติเธรดที่มี JSON เป็นค่าเริ่มต้น
Suricata คือ IDS/IPS เครือข่ายที่ได้รับการสนับสนุน OISF ที่สร้างขึ้นแบบมัลติเธรดตั้งแต่เริ่มต้น พร้อมการแยกวิเคราะห์โปรโตคอล (HTTP, DNS, ข้อมูลเมตา TLS) และเอาต์พุต EVE JSON ที่ออกแบบมาสำหรับไปป์ไลน์ SOC สมัยใหม่ มันอ่านกฎ Snort ส่วนใหญ่ ซึ่งทำให้ระบบนิเวศที่ใช้ร่วมกัน และจับคู่อย่างเป็นธรรมชาติกับการวิเคราะห์ระดับ Elastic ในฐานะเซ็นเซอร์เครือข่าย
ประเด็นสำคัญ
- มัลติเธรดตามสถาปัตยกรรม: การจับแพ็กเก็ต (AF_PACKET บน Linux, AF_XDP สำหรับปริมาณงานสูง) ป้อนไปป์ไลน์ของผู้ปฏิบัติงานข้ามคอร์ ดังนั้นกลไกจะปรับขนาดบนฮาร์ดแวร์สมัยใหม่โดยไม่มีปัญหาคอขวดในคิวเดียวของ IDS รุ่นแรก การปรับขนาดคือ CPU รวมถึง RAM/แพ็กเก็ต ไม่ใช่แค่แบนด์วิธ
- EVE JSON คือความแตกต่างของโมเดลข้อมูล: ทุกการแจ้งเตือน โฟลว์ และบันทึกเมตาดาต้าของโปรโตคอลจะจัดส่งเป็น JSON ที่มีโครงสร้าง (ฟิลด์ เช่น http.uri, tls.sni, dns.name) ซึ่งลงสู่โดยตรงในไปป์ไลน์ Elastic/OpenSearch โดยไม่ต้องแยกวิเคราะห์แบบกำหนดเอง ตัวเลือกการออกแบบเดียวนี้คือสาเหตุที่ Suricata ได้รับคะแนนโหวต SOC stack มากที่สุด
- การรับรู้โปรโตคอลเป็นมากกว่าลายเซ็น: กลไกจะบันทึกข้อมูลเมตาการจับมือ TLS (แฮชคลาส JA3, SNI, ช่องใบรับรอง), ส่วนหัว HTTP, การสืบค้น DNS และการติดตาม SMB/ไฟล์ ดังนั้นเซ็นเซอร์จึงเพิ่มเป็นสองเท่าในการรวบรวมข้อมูลเมตาของเครือข่าย หลายทีมใช้ Suricata เพื่อจุดประสงค์นี้เป็นหลักก่อนที่จะมีการแจ้งเตือนด้วยซ้ำ
- ความเข้ากันได้ของกฎคือความอุ่นใจในการปฏิบัติงาน: กฎรูปแบบ Snort โหลดโดยส่วนใหญ่ทับซ้อนกัน (ชุดกฎ ET เผยแพร่สำหรับทั้งคู่) ดังนั้นการสมัครสมาชิก Intel ที่เป็นภัยคุกคามจึงขยายข้ามกลไกและทักษะจากการถ่ายโอนพื้นหลัง Snort ด้วยการเพิ่มไวยากรณ์เล็กน้อย (Suricata เพิ่มคำสำคัญของตัวเอง เช่น เหตุการณ์เลเยอร์แอป)
- โหมด IPS เป็นโหมดจริง: แบบอินไลน์ผ่าน NFQUEUE หรือ AF_PACKET พร้อมกฎการดรอป แต่ท่าทางต้องการเพื่อน HA และนโยบายที่ระมัดระวัง อสังหาริมทรัพย์ส่วนใหญ่เก็บ Suricata ไว้เฉยๆ ในการตรวจจับ และใช้กฎไฟร์วอลล์ในการป้องกัน โดยอัปเกรดเป็นแบบอินไลน์เฉพาะในกรณีที่สินทรัพย์รองรับความเสี่ยงที่ปิดไม่สำเร็จ
- อยู่ในคอลเลกชันเครื่องมือรักษาความปลอดภัยของเรา: ควบคู่ไปกับ Snort มันเป็นค่าเริ่มต้นที่ทันสมัยสำหรับ IDS ลายเซ็น; เอาต์พุตเมทาดาทาที่สมบูรณ์ยิ่งขึ้นทำให้มีคุณสมบัติเป็นส่วนประกอบเซ็นเซอร์ของ SOC สแต็กแรกถัดจาก Zeek-class NSM โดยมี Trivy/openvas ครอบคลุมช่องโหว่และ Wazuh ครอบคลุมการรวมจุดสิ้นสุด
บันทึกจากหน้างาน
การใช้งาน Suricata ที่ชนะใจลูกค้าไม่ใช่การแจ้งเตือน แต่เป็นข้อมูลเมตา: EVE JSON เข้าสู่สแต็ก Elastic และการค้นหาครั้งแรกได้ปรับแก้การหยุดทำงานอย่างลึกลับในหน้าต่างการต่ออายุ TLS ภายในไม่กี่นาที เซ็นเซอร์ได้รับพื้นที่ว่างระหว่างเหตุการณ์ต่างๆ
คำถามที่พบบ่อย
ฉันควรโหลดแหล่งที่มาของกฎใดบ้าง
ET เปิดสำหรับฐานฟรีในวงกว้างพร้อมการอัปเดตรายวัน ET Pro ที่การป้องกัน SLA และความคุ้มครองในวันเดียวกัน รวมถึงฟีด Intel ที่คัดสรรแล้ว กฎเพิ่มเติมจะช่วยได้ก็ต่อเมื่อการปรับจูนดำเนินไป ไม่เช่นนั้นผลบวกลวงจะเพิ่มมากขึ้น
การปรับขนาดทำอย่างไร?
แบนด์วิดท์เป็นอินพุตที่ไร้เดียงสา การกำหนดขนาดที่สมจริงใช้แพ็กเก็ตเฉลี่ยและสูงสุด/วินาที จำนวนกฎและความลึก และคอร์ CPU สำหรับการแชร์แบบมัลติเธรด 10G ต้องการฮาร์ดแวร์สินค้าโภคภัณฑ์ที่มีการปรับแต่งชุดกฎ AF_PACKET/AF_XDP และ ET ไม่ใช่งบประมาณจำนวนมาก
ปกติเอาต์พุต EVE ลงจอดที่ไหน?
Elastic, OpenSearch หรือไปป์ไลน์บันทึกใดๆ ผ่านทางตัวเขียนบันทึกคลาส Filebeat/Vector ช่องต่างๆ มีโครงสร้างสำหรับการกรองโดยตรง ซึ่งเป็นจุดที่โมเดลข้อมูลของ Suricata มีประสิทธิภาพเหนือกว่ารูปแบบการแจ้งเตือนธรรมดา
Suricata ดีสำหรับเครือข่ายสำนักงานขนาดเล็กหรือไม่?
ใช่ที่ระดับล่างเช่นกัน: อุปกรณ์/กระจกชิ้นหนึ่งในพื้นที่ขนาดเล็กคือฮาร์ดแวร์สินค้าโภคภัณฑ์ตามกฎของชุมชน แต่จัดสรรเวลาสำหรับการปรับแต่งและเวิร์กโฟลว์การดูการแจ้งเตือนเล็กน้อย เครื่องมือแจ้งเตือนที่ไม่มีใครอ่านให้ความสะดวกสบายที่ผิดพลาด
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
นี่คือสิ่งที่เราทำทุกวัน: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี บริการ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux ของเราดูแลครบวงจร ตั้งแต่ประเมิน ลงมือทำ ติดตาม 24 ชั่วโมง ไปจนถึงรับเรื่องฉุกเฉินภายใน 30 นาที