5 ओपन-सोर्स सुरक्षा इवेंट मैनेजमेंट सिस्टम

एक अच्छा आईटी सुरक्षा गार्ड कैसे एक नियमित से अलग है? नहीं, इस तथ्य से नहीं कि किसी भी समय वह उन संदेशों की संख्या को याद रखेगा जो इगोर ने कल मारिया के सहयोगी को भेजे थे। एक अच्छा सुरक्षा गार्ड अग्रिम उल्लंघन के संभावित उल्लंघन की पहचान करने और उन्हें वास्तविक समय में पकड़ने की कोशिश करता है, जिससे हर संभव प्रयास किया जाता है ताकि घटना की निरंतरता न हो। सुरक्षा घटना प्रबंधन प्रणाली (सुरक्षा जानकारी और घटना प्रबंधन से सिएम), जल्दी से रिकॉर्डिंग और किसी भी प्रयास के उल्लंघन को रोकने के कार्य को सरल करता है।

परंपरागत रूप से, सिएम सिस्टम सूचना सुरक्षा प्रबंधन प्रणाली और एक सुरक्षा घटना प्रबंधन प्रणाली को जोड़ती है। सिस्टम की एक महत्वपूर्ण विशेषता वास्तविक समय में सुरक्षा घटनाओं का विश्लेषण है, जो उन्हें मौजूदा क्षति का जवाब देने की अनुमति देता है।

सिएम प्रणाली के मुख्य कार्य:

• डेटा संग्रह और सामान्यीकरण
• डेटा सहसंबंध
• अधिसूचना
• विज़ुअलाइज़ेशन पैनल
• डेटा भंडारण का संगठन
• डेटा खोज और विश्लेषण
• रिपोर्टिंग

सिएम सिस्टम के लिए उच्च मांग के कारण

हाल ही में, सूचना प्रणाली पर हमलों की जटिलता और समन्वय बहुत बढ़ गया है। इसी समय, उपयोग किए जाने वाले सूचना सुरक्षा उपकरणों का परिसर अधिक जटिल होता जा रहा है - नेटवर्क और मेजबान घुसपैठ का पता लगाने वाले सिस्टम, डीएलपी सिस्टम, एंटी-वायरस सिस्टम और फायरवॉल, भेद्यता स्कैनर, और बहुत कुछ। प्रत्येक सुरक्षा का मतलब विभिन्न विवरणों के साथ घटनाओं की एक धारा उत्पन्न करता है और अक्सर एक हमले को विभिन्न प्रणालियों से घटनाओं को ओवरलैप करके देखा जा सकता है।

सभी प्रकार के कमर्शियल सीमेंस सिस्टम के बारे में बहुत कुछ लिखा जा चुका है , लेकिन हम मुफ़्त, पूर्ण-मुक्त ओपन-सोर्स सेग्मेंट सिस्टम का संक्षिप्त अवलोकन प्रदान करते हैं, जिसमें उपयोगकर्ताओं की संख्या या प्राप्त / संग्रहीत डेटा की कृत्रिम सीमा नहीं होती है, और ये आसानी से उपलब्ध और समर्थित भी होते हैं। हमें उम्मीद है कि यह इस तरह की प्रणालियों की क्षमता का आकलन करने में मदद करेगा और यह तय करेगा कि कंपनी की व्यावसायिक प्रक्रियाओं में ऐसे समाधानों को एकीकृत किया जाए या नहीं।

एलियनवॉल्ट ओएसएसआईएम

एलियन वॉल्ट ओएसएसआईएम, एलियन वॉल्ट यूएसएम का एक ओपन-सोर्स संस्करण है, जो कि अग्रणी वाणिज्यिक सीमेंस सिस्टम में से एक है। OSSIM एक ओपन सोर्स प्रोजेक्ट्स से बना एक फ्रेमवर्क है, जिसमें Snort घुसपैठ घुसपैठ नेटवर्क सिस्टम, Nagios नेटवर्क और नोड मॉनिटरिंग सिस्टम, OSSEC होस्ट घुसपैठ डिटेक्शन सिस्टम और OpenVAS भेद्यता स्कैनर शामिल हैं।

मॉनिटरिंग उपकरणों के लिए, एलियन वॉल्ट एजेंट का उपयोग किया जाता है, जो होस्ट से लॉग इन करता है जो कि GELF प्लेटफ़ॉर्म पर होता है या प्लग-इन द्वारा थर्ड-पार्टी सेवाओं जैसे कि क्लाउडफ्लेयर रिवर्स प्रॉक्सी सर्विस या ओके मल्टी-फैक्टर ऑथेंटिकेशन सिस्टम के साथ एकीकरण के लिए उपयोग किया जा सकता है।

यूएसएम संस्करण वर्धित लॉग प्रबंधन, क्लाउड इंफ्रास्ट्रक्चर मॉनिटरिंग, ऑटोमेशन और अद्यतन खतरे और विज़ुअलाइज़ेशन जानकारी के मामले में ओएसएसआईएम से भिन्न है।

लाभ

• सिद्ध ओपन-सोर्स प्रोजेक्ट्स पर निर्मित;
• उपयोगकर्ताओं और डेवलपर्स का एक बड़ा समुदाय।

कमियों

• क्लाउड प्लेटफार्मों की निगरानी का समर्थन नहीं करता है (उदाहरण के लिए, AWS या Azure);
• तीसरे पक्ष की सेवाओं के साथ कोई लॉग प्रबंधन, दृश्य, स्वचालन और एकीकरण नहीं है।

स्रोत

MozDef (मोज़िला रक्षा मंच)

मोज़िला के मोजडीफ़ एमईएमडी प्रणाली का उपयोग सुरक्षा घटना से निपटने के लिए किया जाता है। सिस्टम को अधिकतम प्रदर्शन, मापनीयता और दोष सहिष्णुता के लिए जमीन से डिज़ाइन किया गया है, एक माइक्रोसेर आर्किटेक्चर के साथ - प्रत्येक सेवा डॉकटर कंटेनर में चलती है।

OSSIM की तरह, MozDef को समय-परीक्षणित ओपन सोर्स प्रोजेक्ट्स पर बनाया गया है, जिसमें इलास्टिसोग्राफ लॉगिंग और सर्च इंडेक्सिंग मॉड्यूल, एक लचीला वेब इंटरफ़ेस बनाने के लिए उल्का प्लेटफॉर्म और विज़ुअलाइज़ेशन और ग्राफ़िंग के लिए किबाना प्लगइन शामिल हैं।

इवेंट सहसंबंध और अधिसूचना Elasticsearch अनुरोध का उपयोग करके की जाती है, जो आपको पायथन का उपयोग करके इवेंट प्रोसेसिंग और अलर्ट के लिए अपने नियम लिखने की अनुमति देता है। मोज़िला के अनुसार, MozDef प्रति दिन 300 मिलियन से अधिक घटनाओं को संभाल सकता है। MozDef केवल JSON प्रारूप में ईवेंट स्वीकार करता है, लेकिन तृतीय-पक्ष सेवाओं के साथ एकीकरण है।

लाभ

• यह एजेंटों का उपयोग नहीं करता है - यह मानक JSON लॉग के साथ काम करता है;
• सूक्ष्मदर्शी वास्तुकला के लिए धन्यवाद पैमाने पर आसान;
• AWS CloudTrail और GuardDuty सहित क्लाउड सेवा डेटा स्रोतों का समर्थन करता है।

कमियों

• नई और कम स्थापित प्रणाली।

स्रोत

Wazuh

Wazuh OSSEC के कांटे के रूप में विकसित होना शुरू हुआ, जो सबसे लोकप्रिय ओपन सोर्स सर्जेस में से एक है। और अब यह नई कार्यक्षमता, बग फिक्स और अनुकूलित वास्तुकला के साथ अपना अनूठा समाधान है।

सिस्टम ElasticStack स्टैक (Elasticsearch, Logstash, Kibana) पर बनाया गया है और यह एजेंट-आधारित डेटा संग्रह और सिस्टम लॉग के रिसेप्शन दोनों का समर्थन करता है। यह उन उपकरणों की निगरानी के लिए प्रभावी बनाता है जो लॉग उत्पन्न करते हैं लेकिन एजेंट इंस्टॉलेशन - नेटवर्क डिवाइस, प्रिंटर और बाह्य उपकरणों का समर्थन नहीं करते हैं।

Wazuh मौजूदा OSSEC एजेंटों का समर्थन करता है और यहां तक ​​कि OSSEC से Wazuh की ओर पलायन करने के लिए मार्गदर्शन प्रदान करता है। हालाँकि OSSEC अभी भी सक्रिय रूप से समर्थित है, Wazuh को OSSEC की निरंतरता के रूप में देखा जाता है, एक नए वेब इंटरफ़ेस, REST API, नियमों का अधिक पूर्ण सेट और कई अन्य सुधारों के कारण।

लाभ

• लोकप्रिय CRM OSSEC के साथ स्थापित और संगत;
• विभिन्न स्थापना विकल्पों का समर्थन करता है: डॉकर, कठपुतली, बावर्ची, अंसबल;
• AWS और Azure सहित क्लाउड सेवाओं की निगरानी का समर्थन करता है;
• इसमें कई प्रकार के हमलों का पता लगाने के लिए नियमों का एक व्यापक सेट शामिल है और आपको PCI DSS v3.1 और CIS के अनुसार उनका मिलान करने की अनुमति देता है।
• घटना दृश्य और एपीआई समर्थन के लिए स्प्लंक लॉग स्टोरेज और विश्लेषण प्रणाली के साथ एकीकृत करता है।

कमियों

• जटिल वास्तुकला - Wazuh सर्वर घटकों के अलावा लोचदार ढेर की पूर्ण तैनाती की आवश्यकता है।

स्रोत

OSS को छोड़ दें

प्रिल्यूड ओएसएस फ्रांसीसी कंपनी सीएस द्वारा विकसित वाणिज्यिक प्रिल्यूड सेग्मेंट का एक ओपन-सोर्स संस्करण है। समाधान एक लचीली मॉड्यूलर सेवा प्रणाली है जो कई लॉग प्रारूपों का समर्थन करती है, तीसरे पक्ष के उपकरण जैसे ओएसएसईसी, स्नॉर्ट और सुरिकाटा नेटवर्क डिटेक्शन सिस्टम के साथ एकीकरण।

प्रत्येक घटना को IDMEF प्रारूप में एक संदेश के लिए सामान्यीकृत किया जाता है, जो अन्य प्रणालियों के साथ डेटा के आदान-प्रदान को सरल करता है। लेकिन मरहम में एक मक्खी है - Prelude OSS, Prelude Siem के वाणिज्यिक संस्करण की तुलना में प्रदर्शन और कार्यक्षमता में बहुत सीमित है, और यह छोटी परियोजनाओं के लिए या CRM समाधानों का अध्ययन करने और Prelude Siem के मूल्यांकन के लिए अधिक है।

लाभ

• 1998 से विकसित एक समय-परीक्षण प्रणाली;
• कई अलग लॉग स्वरूपों का समर्थन करता है;
• IMDEF प्रारूप में डेटा को सामान्य करता है, जिससे डेटा को अन्य सुरक्षा प्रणालियों में स्थानांतरित करना आसान हो जाता है।

कमियों

• कार्यक्षमता और कार्यक्षमता में अन्य ओपन-सोर्स CRM सिस्टम की तुलना में महत्वपूर्ण रूप से सीमित है।

स्रोत

सगन

सागान एक उच्च-प्रदर्शन वाले डब्लूएमआर है जो स्नर्ट संगतता पर जोर देता है। स्नॉर्ट के लिए लिखे गए नियमों का समर्थन करने के अलावा, सागन स्नॉर्ट डेटाबेस को लिख सकता है और यहां तक ​​कि शील इंटरफेस के साथ भी इसका इस्तेमाल किया जा सकता है। अनिवार्य रूप से, यह एक हल्का बहु-थ्रेडेड समाधान है जो स्नॉर्ट के लिए उपयोगकर्ता के अनुकूल रहते हुए नई सुविधाएँ प्रदान करता है।

लाभ

• स्नॉर्ट डेटाबेस, नियमों और उपयोगकर्ता इंटरफ़ेस के साथ पूरी तरह से संगत;
• बहु-थ्रेडेड आर्किटेक्चर उच्च प्रदर्शन प्रदान करता है।

कमियों

• एक छोटे समुदाय के साथ एक अपेक्षाकृत युवा परियोजना;
• एक जटिल इंस्टॉलेशन प्रक्रिया, स्रोत से पूरे सिएम की विधानसभा सहित।

स्रोत

निष्कर्ष

वर्णित सीएमआर सिस्टम में से प्रत्येक की अपनी विशिष्टताएं और सीमाएं हैं, इसलिए उन्हें किसी भी संगठन के लिए एक सार्वभौमिक समाधान नहीं कहा जा सकता है। हालांकि, इन समाधानों में खुला स्रोत कोड है, जो आपको अनुचित लागत के बिना उन्हें तैनात, परीक्षण और मूल्यांकन करने की अनुमति देता है।

Cloud4Y ब्लॉग पर और क्या पढ़ना दिलचस्प है

→ पूरे ग्रह का VNIITE: USSR में वे "स्मार्ट होम" प्रणाली के साथ कैसे आए
→ कैसे तंत्रिका इंटरफेस मानवता की मदद करते हैं
→ रूसी बाजार में साइबर बीमा
→ लाइट, कैमरा ... क्लाउड: कैसे बादल फिल्म उद्योग को बदलते हैं
→ बादलों में फुटबॉल - फैशन या एक आवश्यकता?

हमारे टेलीग्राम चैनल को सब्सक्राइब करें ताकि कोई और आर्टिकल याद न हो! हम सप्ताह में दो बार से अधिक और केवल व्यापार पर नहीं लिखते हैं।