最新消息:XAMPP默认安装之后是很不安全的,我们只需要点击左方菜单的 "安全"选项,按照向导操作即可完成安全设置。

Day 27需要網路安全監控?來一顆安全洋蔥Security Onion

XAMPP下载 admin 1232浏览 0评论

在Day 19 指揮挺!組合!打造資安艦隊 (2) 這篇文章中,我提到網路監控也是資訊安全重要的一環,藉由監控流量和分析封包,透過SIEM的整合,達到偵測、調查、防範等目的;同時我也提到,部分資訊可能有所重覆,例如Network Intrusion Detection System (NIDS) 也同樣檢視網路封包,所以和NetFlow等 Flow Data或路由器Syslog 有些重覆。熟知實際環境中各項設備能力,藉由SIEM安全資訊事件管理系統整合,同時考驗著資安人員的專業,所以投資商務授權的SIEM,讓有經驗的工程師幫你整合設備、調整各種日誌資訊,不失為一個好辦法。對於決心自己投入時間鑽研,卻受限於經費預算,缺乏工具可用的資安人員,想當《百戰天龍》的馬蓋先,有沒有一把資安瑞士刀Swiss Army Knife呢?

一套網路安全監控 Network Security Monitoring方案,大致上包括封包解析、IDS、分析工具三個核心套件,從封包獲取資訊、判別是否惡意、進行分析。這樣三合一的開源方案,叫做Security Onion (我都暱稱為安全洋蔥)。Security Onion是一套特別的Linux發行版,在開源和資安社群享有盛名,可惜我直到去年(2017)才聽到,能達到網路監控、入侵偵測和日誌管理三個目的,包括許多套件:

1.封包截取 Packet Capture

Security Onion 使用netsniff-ng,截取網路封包成為PCAP檔案,可以直接看PCAP檔案獲得資訊,或者藉由其他工具來分析。

  1. 入侵偵測IDS

Security Onion 包括幾種入侵偵測工具,有主機入侵偵測系統Host-based Intrusion Detection System (HIDS)和網路入侵偵測系統Network Intrusion Detection System (NIDS),關於什麼是HIDS和NIDS,邦友Fu-sheng於本次鐵人賽已有介紹,可參閱文末連結。Security Onion 包括的HIDS是有名的開源主機入侵偵測系統 OSSEC,可支援Linux、Windows和Mac系統,若熟悉Systemintel的工具sysmon和autorun,想在Windows系統上更進一步監測,Security Onion也支援sysmon和aurorun的整合。

NIDS方面,Security Onion有Snort 和Suricata供我們選擇,邦友Joejo在上次鐵人賽已有關於Snort的介紹,可參閱文末連結。Snort和Suricata可以和資料庫的規則Rule 和特徵Singature比對,偵測異常行為,除了Snort和Suricata,還有同樣大名鼎鼎的BroIDS,有著非常豐富的特徵資料庫供我們判斷攻擊來源,同時Security Onion 整合**REN-ISAC Collective Intelligence Framework (CIF)**資安威脅情資,讓這個來自社群的資安威脅情資送到Bro協助分析,將已知的惡意IP、網域、 URL和偵測到的網路流量交叉比對,提高偵測準確率。

3.分析工具Analysis tools

Sguil提供管理各種警示和事件的資料平台,甚至直接進行DNS lookup查詢;還有Squert從Sguil叫出資料提供網頁介面,讓我們檢視來自HIDS和NIDS警示、日誌等資訊;Enterprise Log Search and Archive (ELSA) 提供多樣功能,基本上就是類似SIEM的日誌管理套件。其他還有CapMe、Xplico等等工具。

沒了。對,關於分析工具的介紹只到這裡,因為很快就不重要了。

去年的SecTor2017大會上,主講者Michael Otto丟下一顆震撼彈:2017年10月31日,ELK 已經整合至Security Onion。

沒錯!Day 21我介紹的加拿大馬鹿ELK,已經整合至Security Onion。那天聽到的時候我差點站起來!現在下載的ISO檔已經有包含ELK/Elastic Stack,安裝時可以選擇原有的ELSA或是Elastic,雖然它現在還強調是實驗階段,但是只要安裝好Security Onion,你就可以享有一套完整包含HIDS/NIDS的網路安全監控方案,外加功能強大的SIEM,而且完全免費,正如主講者Michael Otto所說:“All of this is available to you, for nothing, zero cost, but the time”。還等什麼呢?捲起袖子,來玩安全洋蔥Security Onion吧!

转载请注明:XAMPP中文组官网 » Day 27需要網路安全監控?來一顆安全洋蔥Security Onion

您必须 登录 才能发表评论!