Security Onion

Кратко описание

Security Onion е SIEM (Security Information and Event Management) система с отворен код и представлява Linux дистрибуция за откриване на прониквания, наблюдение на сигурността на организацията и управление на логове. Основни функции:

• Събиране на информация от мрежата в реално време (full realtime packet capture)
• Мрежови и хост-базирани системи за откриване на проникване (NIDS и HIDS)
• Мощни инструменти за анализ

Включва:

• ELK Stack – Elasticsearch, Logstash, Kibana – събиране, съхранение, обработка и визуализация на информация
• Snort – използва се като система за откриване на проникване базирана на правила (Rule driven IDS  – Intrusion Detection System)
• Suricata – използва се като система за откриване на проникване базирана на правила (Rule driven IDS  – Intrusion Detection System)
• Bro – използва се като система за откриване на проникване базирана на анализ (Analysis driven IDS  – Intrusion Detection System)
• OSSEC – хост базиранa системи за откриване на проникване (HIDS)
• Wazuh – използва се като система за откриване на проникване в сървъри (Host based IDS  – Intrusion Detection System)
• Sguil – Система за анализ
• Squert – Уеб интерфейс към Squil
• И много други инструменти за сигурност

Security Onion представлява колекция от инструменти, предназначени да подпомогнат процеса на поддръжка на информационната сигурност – откриването, управление на последици и предотвратяване на прониквания. Представлява security appliance – специализирана Линукс дистрибуция, работеща върху отделен физически или виртуализиран сървър. Поддържа агенти, които могат отдалечено да събират и изпращат информация към разпределената система за обработка и визуализация. SO предоставя на системни и мрежови администратори, DevSecOps и аналитици в областта необходимите средства за събиране, обработване, анализ, представяне и визуализация на информация. 

Подходящ за:

• Поставяне основи на SOC (Security Operations Center) на организацията
• Управление информационната сигурност на голяма организация – SO позволява изграждането на разпределена система от колектори, процесори на информация и сторидж системи

Неподходящ за:

• Решаване на проблемите с информационната сигурност в организации, които нямат съответните човешки ресурси

За повече информация:

• Security Onion

Защо Security Onion:

• Зрял проект с дългогодишно развитие и широка база от разработчици на много от неговите компоненти
• Предлага съществена функционалност в безплатна версия
• За разлика от конкурентни продукти (например AlenVault OSSIM) има вграден и много добър механизъм за събиране, обработка и визуализация на логове (ELK stack)
• Има комерсиална поддръжка
• Безплатната версия има относително добра документация, както и някаква поддръжка от общността на потребителите

Недостатъци:

• Макар положените усилия за сглобяване и интегриране на различните средства, дистрибуцията е доста насипна и еклектична комбинация от отделни продукти, които в повечето случаи се конфигурират и управляват през множество разположени във файловата система конфигурационни файлове без единен интерфейс
• Макар да решава много задачи,  SO не позволява изграждането на тотално, цялостно и автоматизирано решение за информационна сигурност
• Липсват възможности за организиране на йейрархии и управление на действия при секюрити събития
• Липсва единен механизъм за изпращане на алерти
• Редки ъпдейти

Оценка на необходимите ресурси при внедряване:

• Тъй като SO представлява appliance – инсталацията и базовата конфигурация на сървър и агенти е лесна и бърза
• Началната конфигурация – стартиране на базов мониторинг на сигурността, отнема 2-4 часа
• Разширените конфигурации са в зависимост от мащаба на организацията и може да са необходими много дни за постигане на удовлетворяващи резултати
• Дори за средна по мащаб на използваните информационни технологии организация, е необходимо да се осигури хардуер, способен да осигури необходимата производителност
• Добре се виртуализира и може да спестите използването на физически сървър. Все пак – отделете необходимия ресурс. 

Степен на завършеност на решението:

• Насипно решение.
• Някои компоненти работят добре и веднага, други изизкват много време за конфигурация. 

Съвети към IT мениджъра:

• Security Onion е добра начална стъпка за осигуряване на информационна сигурност в голяма организация и може да се използва за обучение на персонал и развитие на вътрешна за организацията експертиза
• Доколкото информационната сигурност е процес – развитието на SO в рамките на организацията е също непрекъсната и регулярна задача и следва да се подплати с необходимите хора, технически средства, време и обучение
• Необходима е специализирана в областа на информационната сигурност експертиза
• Ако нямате добри системни и мрежови администратори, R&D персонал и достатъчно време да поддържате насипно решение от различни компоненти с отворен код – по-скоро рано, отколкото късно – ще се наложи да търсите и мигрирате към комерсиално решение ИЛИ да аутсорснете информационната си сигурност към външна организация
• Никога не считайте, че използването на SIEM система и каквато и да е технология за защита е достатъчна за сигурността на организацията. Сигурността е процес, а не само технология.  

Операни предлага инсталация, интеграция със съществуващи компоненти, експлоатация и поддръжка на комплексни SIEM решения в инфраструктура на клиента, публични и частни облаци или върху специализиран Operani Operations Cloud