Введение в Вазу

Все мы знаем, что сегодня организации имеют различные конечные точки (машины), на которых работает несколько служб для успешного выполнения бизнес-операций. Сегодня даже небольшая организация имеет в своей инфраструктуре не менее 10–20 систем. Эти машины постоянно собирают данные и генерируют журналы. Проблема не в больших данных! Реальная проблема, с которой сталкиваются организации, заключается в анализе и использовании этих больших данных. Эти конечные точки генерируют различные события (записи), имеющие решающее значение для анализа и создания предупреждений о критических нарушениях безопасности/атаках. Организации используют решения SIEM (управление информационными событиями безопасности) для решения этой проблемы.

Чтобы понять фактическое значение SIEM, необходимо знать два ключевых термина:

• SEM — управление событиями безопасности: занимается сбором журналов с конечных точек.
• SIM — управление информацией о безопасности: занимается анализом собранных журналов.

Таким образом, формула суммирует что-то вроде:

SEM + SIM  = SIEM (Security Information Event Management)

Понимая приведенную выше формулу, мы можем сделать вывод, что SIEM — это решение, которое помогает компаниям собирать журналы и помогает преобразовывать записи в полезную информацию, которую впоследствии можно анализировать (по мере хранения журналов). В то же время он также обеспечивает возможности мониторинга и анализа в режиме реального времени и создает предупреждения при любом нарушении правил или атаке на систему безопасности.

Основным аспектом является агрегация данных. На этом этапе регистрируемые данные собираются с различных конечных точек, таких как брандмауэры, рабочие столы, и сохраняются в централизованной базе данных. Эти журналы должным образом обобщаются для лучшей видимости подозрительных событий из огромного количества записей.

Ниже перечислены некоторые основные функции, которые существуют/должны существовать в SIEM:

• Сбор журналов
• Мониторинг активности пользователей
• Корреляция событий в реальном времени
• Хранение журнала
• ИТ-отчеты
• Мониторинг журнала
• Правила и их сопоставление
• Интеграция CTI (Cyber Threat Intelligence)
• Панели визуализации

Now, as we have understood the basic meaning of the SIEM solution, let us move on to the actual topic of interest. 

Есть много признанных в отрасли поставщиков, которые предоставляют компаниям первоклассные решения SIEM. IBM QRadar, Splunk Security, LogRythm и т. д. — вот некоторые из примеров. Эти решения находятся в премиум-диапазоне, это означает, что для принятия этих решений необходимо инвестировать разумную сумму. Да, компании инвестируют, поскольку киберзащита является приоритетом. Тем не менее, небольшие организации или учреждения, такие как школы или колледжи, не могут платить огромную цену только за решения для обеспечения безопасности.

Благодаря этому этим институтам/компаниям легко полагаться на решения SIEM с открытым исходным кодом. Даже крупные организации используют эти решения с открытым исходным кодом для лучшей настройки и масштабируемости. Однако единственное предостережение заключается в том, что для внедрения этих SIEM с открытым исходным кодом необходим технический эксперт. Да, есть полная, хорошо написанная документация и руководства от поставщика, но, как правило, люди, не являющиеся техническими специалистами, упускают из виду эту документацию. Во-вторых, можно напрямую обратиться к поставщику за помощью в развертывании, но это может быть связано с затратами.

Одним из известных и популярных SIEM является WAZUH.

Wazuh — это бесплатная платформа с открытым исходным кодом для предотвращения, обнаружения и реагирования на угрозы. Он защищает рабочие нагрузки локально, в виртуализированных, контейнерных и облачных средах. Wazuh используется сотнями компаний по всему миру, от крошечных фирм до крупных корпораций. Wazuh — это инструмент для сбора, агрегирования, индексирования и анализа данных о безопасности, который помогает предприятиям обнаруживать вторжения, угрозы и подозрительное поведение.

Теперь давайте разберемся с основным рабочим процессом и рабочим процессом компонентов Wazuh.

Платформа Wazuh включает в себя функции безопасности для облачных, контейнерных и серверных приложений. Анализ данных журналов, обнаружение вторжений и вредоносных программ, мониторинг целостности файлов, оценка конфигурации, обнаружение уязвимостей и помощь в соблюдении нормативных требований являются примерами этих услуг. Три компонента, из которых состоит решение Wazuh, следующие:

• Агент Wazuh: предоставляет возможности предотвращения, обнаружения и реагирования при установке на конечных точках, таких как ноутбуки, настольные компьютеры, серверы, облачные экземпляры или виртуальные машины. Он совместим с Windows, Linux, macOS, HP-UX, Solaris и AIX.
• Сервер Wazuh: исследует данные, полученные от агентов, обрабатывает их с помощью декодеров и правил и использует аналитику угроз для поиска известных индикаторов компрометации (IOC). При настройке в виде кластера один сервер может оценивать данные от сотен или тысяч агентов и масштабироваться по горизонтали.
• Elastic Stack : индексирует и сохраняет оповещения сервера Wazuh. Кроме того, интеграция Wazuh и Kibana обеспечивает богатый пользовательский интерфейс для визуализации и анализа данных. Настройки и статус Wazuh также управляются и контролируются через этот интерфейс.

Платформа Wazuh может отслеживать устройства без агентов, такие как брандмауэры, коммутаторы, маршрутизаторы и сетевые IDS, среди прочего, в дополнение к устройствам на основе агентов. Например, системы могут использовать Syslog для сбора данных системного журнала, а его настройки можно отслеживать, регулярно проверяя его данные. Компоненты Wazuh и поток данных показаны на диаграмме ниже. Он представляет собой агента Wazuh, сервер Wazuh и Elastic Stack, которые являются тремя критическими компонентами решения.

Агенты Wazuh проверяют наличие вредоносных программ, руткитов и подозрительных аномалий в контролируемых системах. Скрытые файлы, скрытые процессы, незарегистрированные сетевые прослушиватели, а также расхождения в ответах на системные вызовы — все это можно обнаружить. В дополнение к возможностям агента серверный компонент использует сигнатурный подход к обнаружению вторжений, анализу полученных данных журнала и поиску признаков компрометации с помощью механизма регулярных выражений.

Ниже перечислены некоторые основные функции Wazuh:

• Обнаружения вторжений
• Анализ данных журнала
• Мониторинг целостности файлов
• Обнаружение уязвимостей
• Реагирование на инцидент
• Соответствие нормативным требованиям
• Мониторинг безопасности облака и контейнера

Итак, в заключение, Wazuh — отличный выбор для SIEM с открытым исходным кодом, который надежен, прост и может обеспечить операционный рабочий процесс безопасности для укрепления состояния безопасности.