Turvasibul: Täielik juhend selle turvadistro kohta, mis täiendab teisi penetratsioonitestimise tüüpi distributsioone.

Security Onionist on saanud üks neist platvormidest, millega peaks tuttav olema igaüks, kes SOC-i loob või haldab. See on tasuta, avatud lähtekoodiga ning koondab ühte kohta võrgu jälgimise, ohtude otsimise ja logide haldamise ning pakub lisaks Blue Teami tööle kiirendavaid tootmises tõestatud tööriistu.

Enne alustamist on oluline seada realistlikud ootused: see ei ole imerohi ega nupp, mis „parandab kõik“ . Selle jõud seisneb selles, kuidas see integreerib mitu komponenti ja seda kasutava meeskonna otsustusvõimes. See nõuab selle kasutamise õppimist, igale keskkonnale kohandamist ja selle võimaluste maksimeerimist; kui me seda teeme, pakub platvorm tohutut väärtust.

Mis on Security Onion ja mida see lahendab?

Security Onion on Linuxi distributsioon, mis on spetsialiseerunud ohtude tuvastamisele ja reageerimisele, integreerides IDS/IPS-i, liikluse analüüsi, sündmuste halduse ja palju muud, sarnaselt teiste turbedistributsioonidega . See on loodud ohtude otsimiseks, ettevõtte turvalisuse jälgimiseks ja logide haldamiseks , pakkudes kohandatud liideseid teadete, armatuurlaudade, jahipidamise, PCAP-i, tuvastuste ja juhtumite haldamise jaoks. See sisaldab ka tööriistu nagu osquery, CyberChef, Elasticsearch, Logstash, Kibana, Suricata ja Zeek.

Projekti taga on Security Onion Solutions, LLC. Nad loovad ja haldavad platvormi ning rahastavad selle arendamist kommertstoodete ja -teenustega ; kui ettevõte tellib nende tugi- või pro-väljaandeid, aitab see kaasa projekti jätkuvale arengule kooskõlas pidevalt muutuva ohumaastikuga.

Security Onioni esiletõstetud komponendid ja tööriistad

Üks selle suurimaid tugevusi on sisseehitatud mootorite ja korrelatsiooniks valmis utiliitide valik. Komplekt ühendab endas pakettide püüdmise, reeglipõhise IDS-i ja süvaliikluse analüüsi koos HIDS-i ja võimsa otsingu-/visualiseerimispaketiga.

Liikluse jäädvustamine netsniff-ng abil

Madalamal tasemel töötavate komponentide hulgas on netsniff-ng. See komponent jäädvustab liiklust ja haldab tõhusalt PCAP-salvestusruumi , eemaldades vajadusel vanad andmed, et vältida ketta küllastumist. See jäädvustamine on oluline andmete väljaviimise, andmepüügikampaaniate või sissetungide tõendite ülevaatamiseks, mis nõuavad paketi uuesti läbivaatamist, et mõista, mis, kuidas ja millal.

Reeglitel põhinev IDS/IPS: Suricata ja Snort

Security Onion integreerib kaks kogenud signatuuripõhist tuvastustööriista, mis mõlemad on Linuxi parimate IDS-ide nimekirjades : Suricata ja Snort. Need tööriistad töötavad reeglite abil, mis käivitavad teadaolevate mustrite põhjal hoiatusi . Need tuginevad oma reeglibaasides talletatud "sõrmejälgedele" ja on esimene kaitseliin pahavara perekondade, teadaolevate C2-ohtude, ärakasutamise ja varem kirjeldatud käitumisviiside tuvastamiseks.

Võrguanalüüs Zeekiga

Lisaks eelnevale kasutab Zeek (endine Bro) teistsugust lähenemisviisi. See teostab passiivset kontrolli ja genereerib ühenduste detailseid logisid (muuhulgas ühendused, DNS, http, ssl/tls). Lisaks IP-dele, portidele ja protokollidele pakub see rikkalikke atribuute, nagu DNS-päringud, TLS-andmed ja 7. kihi teave mitme protokolli kohta: muuhulgas HTTP, FTP, IRC, SMTP, SSH, SSL ja Syslog.

Praktiline näide selle paindlikkusest: abiallikaid, näiteks ettevõtte teavet sisaldavaid CSV-faile, saab importida ja ristviidata allalaadimissündmuste, sisselogimiste või muude tegevustega. Neid korrelatsioone saab seejärel kasutada viirusetõrje, pahavaratõrje või SIEM-süsteemi toiteks, et korraldada paindlikum reageerimine.

HIDS lõpp-punktides Wazuh'ga

Nähtavust parandab veelgi hostipõhine IDS. Wazuh jälgib iga lõpp-punkti Windowsi, Linuxi ja macOS-i agentide abil , analüüsides süsteemilogisid, kontrollides failide terviklikkust, jälgides poliitikaid ja tuvastades juurkomplekte. Reaalajas hoiatuste ja reageerimismeetmetega lisab see teie turvastrateegiale ennetava kihi. See on otsingu ja visualiseerimise jaoks täielikult integreeritud Elastic Stackiga.

Otsinguvirna ja analüüsi tööriistad

Security Onion pakub Elasticsearchi ja Kibanat päringute ja juhtpaneelide jaoks koos analüütikute igapäevatööks mõeldud utiliitidega. Sguil toimib sillana IDS-i/IPS-i ja pakettide püüdmise vahel , kiirendades triaaži ja koostööd uurimistes. Lisaks on kaasatud Squert, CapMe ja muud patenteeritud juhtpaneelid jahipidamiseks, PCAP-iks ja juhtumikorralduseks.

Muud sisseehitatud utiliidid

Kiireks analüüsiks ja dekodeerimiseks sisaldab platvorm CyberChefi. See on Šveitsi armee nuga artefaktide teisendamiseks ja uurimiseks SOC-keskkonnast lahkumata. Koos osqueryga võimaldab see teil hulgi päringuid teha kogu lõpp-punktide kogumi olekute ja atribuutide kohta.

Meerkat/Snort vs. Zeek: täiendavad lähenemisviisid

Oluline on eristada platvormi kahte kõige levinumat tuvastusmudelit. Suricata ja Snort käivitavad reeglipõhiseid hoiatusi ning saavad passiivselt kontrollida või blokeerida (sõltuvalt juurutusest), samas kui Zeek seab prioriteediks rikkaliku telemeetria genereerimise rünnakunarratiivide rekonstrueerimiseks. See kombinatsioon aitab nii teadaolevaid ohte tuvastada kui ka tundmatuid uurida.

Nähtavus ja analüüs Security Onionis: Sguil, Squert, Kibana ja CapMe

Hea SOC ei käivita ainult teateid; see vajab konteksti, koostööd ja töövoogu. Sguili liides tsentraliseerib sündmused ja võimaldab teil pöörduda PCAP-i poole, et näha täpselt, mis kaablil juhtus. Squert pakub agiilseid vaateid, Kibana pakub kohandatud otsinguid ja juhtpaneele ning CapMe teeb antud juhtumi jaoks asjakohaste pakettide eraldamise lihtsaks.

Need integreeritud vaated vähendavad meeskondade vahelist hõõrdumist: analüütikud saavad iga intsidendi kiiresti ülesandeid määrata, eskaleerida ja dokumenteerida, vältides tüüpilist lahknevust tuvastamiste, otsingute ja võrgukohtuekspertiisi vahel.

Security Onioniga alustamine: allalaadimine, dokumentatsioon ja virtualiseerimine

Tavaliselt alustatakse ametlikust repositooriumist. ISO-faili saab alla laadida GitHubist ja enne kõike muud vaadata dokumentatsiooni , mis sisaldab väga põhjalikku jaotist „Alustamine” koos mitme juurutamisviisiga.

Kui sul pole Linuxi hosti saadaval, siis ära muretse: juhend hõlmab virtualiseerimisstsenaariume VirtualBoxi ja VMware'iga , sealhulgas konkreetsete virtuaalsete masinate loomist komplekti seadistamiseks ja võrguauditite alustamiseks.

Soovituslikud miinimumnõuded

Alustamiseks soovitab dokumentatsioon ise tagasihoidlikku baasi: 64-bitine protsessor kahe või enama südamikuga, 8 GB muutmälu, 80 GB kettaruumi ja võrgukaart valikulises režiimis . Suurema liiklusega keskkondades on mõistlik suurendada muutmälu 16 GB-ni või rohkem ja lisada mitu sada GB salvestusruumi (või veel parem, kiiret salvestusruumi) PCAP-i ja logide seeriate haldamiseks.

Kasulikud otseteed: spikker

Teine mugav ressurss on ametlik logilehe mall. See spikker koondab hoolduskäsklused ja võtmefailide teed , mis sobib ideaalselt hoolduslogide leidmiseks, kui aega napib.

Uudised ja pidev areng

Projekt edeneb kiiresti, sest konkurents on samuti kiire. Üks olulisemaid hiljutisi uuendusi on versioon 2.4.120 (veebruar 2025) , mis oli täis täiustusi.

• Uus hoiatusliides tehisintellektil põhinevate kokkuvõtetega sündmustest lühidalt aru saada ja reageerimist kiirendada.
• Zeek 7 integreeritud, laiendatud toega sellistele protokollidele nagu QUIC, HTTP/2, OpenVPN või IPsec, parandades tuvastamist ja analüüsi.
• ATT&CK Navigator sisseehitatud sündmuste kaardistamiseks MITRE ATT&CK raamistikuga ja ohtude arukaks prioriseerimiseks.
• Väline API Security Onion Pro-s, kasulik kohandatud integratsioonide või kohandatud liideste jaoks.
• Kohaliku IP-aadressi otsing SOC-is nähtavate kohandatud kirjeldustega, mis on väga praktiline, kui PTR-id puuduvad või on vaja märkida kriitilisi IP-aadresse.

Lisaks versioonile 2.4.120 on 2025. aastal jätkunud versioonide 2.4.130, 2.4.140, 2.4.141, 2.4.150, 2.4.160 ja 2.4.170 väljaandmise rütm , mis kinnitab pidevat täiustusprotsessi ja pidevat kursis olemist.

Levinud kasutusjuhtumid

Security Onion sobib mitmeks stsenaariumiks. Alates andmepüügikatsete tuvastamisest kuni C2-ohtude otsimiseni, väljatõrjumiste uurimiseni või logide tsentraliseerimiseni ühtse nähtavuse tagamiseks. Selle avatud ja modulaarne olemus aitab seda kohandada nii väikestele kui ka keskmise suurusega ettevõtetele ja suurtele andmekeskustele.

Millal teha võrguauditeid Security Onioniga?

Regulaarsed auditid on iga turvaprogrammi oluline osa. Te ei pea oma võrgu ülevaatamiseks ootama rikkumist , kuid on olukordi, kus nende tähtsuse järjekorda seadmine on hädavajalik.

• Muudatused infrastruktuurisuued süsteemid, rakendused või IT-lahendused; veenduge, et kõik toimib hästi koos ja ilma uute lünkadeta.
• TurvaintsidendidPärast edukat rünnakut on auditeerimine ülioluline, et mõista vektorit ja vajadusel tugevdada.
• Tulemuslikkuse probleemidAeglus või ühenduse katkestused võivad varjata auditi käigus ilmnevaid ebaõnnestumisi või kuritarvitusi.
• Äri laiendaminerohkem asukohti, osakondi või töötajaid muudavad mustreid; vajalik on ümberkalibreerimine.
• Planeeritud hindamised: : ilma nähtava põhjuseta regulaarsed tervisekontrollid aitavad hirmudest ennetada.

Igal juhul, kui teil kogemused puuduvad, on tark loota spetsialiseerunud ettevõtetele , kes kohandavad testid keskkonnaga ja väldivad halvast teostusest tulenevaid varjatud kulusid.

Juurutamine ja konfigureerimine

Juurutamine hõlmab enamat kui lihtsalt süsteemi installimist ja kasutamist. See nõuab võrguliideste, andurite, häirete haldamise ja reeglite määratlemist, et kohandada seda organisatsiooni konkreetsetele vajadustele. Kogukonna ja ametlik dokumentatsioon pakuvad malle ja arhitektuurilisi soovitusi, mis aitavad teil õigel jalal alustada.

Praktiline demonstratsioon: väljafiltratsiooni uurimine

Tööprotsessi mõistmiseks pakume välja praktilise harjutuse: analüüsige andmete väljavoolu juhtumit Security Onioni tööriistade abil.

PCAP-i importimine ja keskkonna ettevalmistamine

Enne PCAP-i laadimist on hea mõte Elasticsearchis märguanded ja visualiseeringud paari hoolduskäsuga puhastada . Pärast seda importige .pcap-fail sobiva utiliidi abil.

Kui miski esimesel katsel ei käivitu, proovige arvuti taaskäivitada. Security Onion korraldab oma teenuseid Dockeri konteinerites ja pärast käivitamist võib kõige tööle saamine veidi aega võtta. Konteinerite reaalajas olekut saate vaadata käsu `list` abil.

Ärge muretsege, kui viimased kolm konteinerit kuvatakse kui DISABLED : see näitab lihtsalt, et reaalajas jäädvustamist ei toimu; PCAP-i analüüsitakse ikkagi Suricata ja Zeekiga.

Pahatahtlik liiklus: voogude uurimine Security Onioniga

Esimene TCP voog

1. Sorteeri teateid kronoloogiliselt sellest ajalõimest alates, kõige hiljutisemast kuni kõige hiljutisemani, et näha kogu järjestust.
2. Tuvastage Lähte-IP, siht-IP ja pordid osales selles esimeses interneti teel toimuvas vahetuses.
3. Pange tähele uudishimulikku hoiatust: PDF-faili taotletakse otse IP-aadressilt domeeni asemel; milline signatuur selle põhjustab?
4. Enne seda taotlust ilmub kasutajaagent, mis identifitseerib end kui curl; pöörake tähelepanu hilisematele korrelatsioonidele.
5. Viimane vooluhoiatus, mida see näitab, et see on juhtunud? Kirjeldab sündmuse käivitavat tingimust.
6. Avage ükskõik milline neist teadetest ja laadige kogu voog et kõiki sõnumeid üksikasjalikult üle vaadata.
7. Selle rekonstrueerimise käigus, mis user-agent täpselt näed?
8. Kas sa tuvastad midagi kahtlast HTTP-vastuse sisus?
9. Saada see liiklus sihtkohta köögikeskkond nagu CyberChef temaga mängima.
10. Seal, mine kihtide ja teisenduste eemaldamine kuni huvitava sisu ilmumiseni.
11. Kas nad ilmuvad tuumani jõudes anomaalsed viited või indikaatorid ROK-i vääriline?

Teine TCP voog

1. koos pordid ja IP-paarid Juhendina tehke kindlaks, millised hoiatused kuuluvad sellesse teise voogu.
2. Korda liikluse rekonstrueerimine nagu ennegi, et näha konteksti ja kasulikku koormust.
3. Kas sa leiad Midagi erakordset tehingutes?

Kolmas TCP voog

1. Leidke kaks voogu määratlevat märguannet ja märgib põhiparameetreid (IP-d, pordid, protokoll).
2. uuesti avada pakettide niit detailseks ülevaatuseks.
3. Mida user-agent kasutatakse ja millist toimingut päring püüab teha?
4. Pärast seda vahetust ilmub teine HTTPS-liikluse hoiatus; millele see vastaks vastavalt sellele, mida me oleme näinud?

Neljas TCP voog

1. Äkki nad tulistavad üles palju erinevaid märguandeid; mis sinu mustri järgi näib juhtunud olevat?
2. Kuidas sa lähed teadetest sügavamale et näha, mis täpselt juhtus?
3. Vooluvaates, mis peamised vihjed kas neid hinnatakse?

1. avage vahekaart Jaht.
2. Viska a eelmääratud päring mis sorteerib event.module ja event.dataset järgi.
3. Kontrolli grupi mõõdikute alt, mida Zeeki kogutud logide tüübid.
4. Valige päringute rippmenüüst „näita” kõik ühendused lähte-IP, sihtkoha-IP, võrguprotokolli ja sihtpordi järgi.
5. Nüüd grupeeri HTTP-ühendused ja sihtport.
6. Kas mõni ilmub ebatavaline port HTTP jaoks?
7. Kui jah, siis märkige see kui Sisaldama temale keskenduma.
8. Kas sa näed sündmuste all midagi, mida tasub analüüsidaAvage see üksikasjalikult, nagu te juba teate.
9. Mida leidmine tekib seal?

Muud tuvastusviisid

1. Grupeeri HTTP-ühendused, meetod ja kasutajaagent.
2. Milline huvitav muster võimaldaks tuvastada pahatahtlikku liiklust kasutajaagendi poolt?
3. Grupeeri HTTP virtuaalne host.
4. Suvaline virtuaalne host ebatavaline või kahtlane mis viitab pahatahtlikule tegevusele?
5. Grupeeri andmestiku teatis (Zeek).
6. Mida kahtlane signaal paistab silma?
7. Sündmustes rühmitage väljade kaupa teade.alamsõnum.
8. Millisest üksusest enamik neist pärit on? TLS-sertifikaadidMida sa järeldad?

Turvalisus Sibula tugi, kogukond ja litsents

Security Onioni kogukond on väga aktiivne: foorumid, grupid ja ajakohane dokumentatsioon aitavad vastata küsimustele ja jagada parimaid tavasid. Organisatsioonidele, kes vajavad enamat, on olemas kommertstugi ja Pro-väljaanne täiendavate integratsioonifunktsioonidega.

Litsentsimise osas on projekt tasuta ja avatud lähtekoodiga tarkvara . Litsentsi üksikasjad ja nüansid leiate ametlikult veebisaidilt ja repositooriumidest.

Privaatsus ja välised ressursid

Uurides on tavaline tutvuda kolmandate osapoolte platvormidel olevate teemadega. Näiteks Reddit ja tema partnerid kasutavad küpsiseid ja sarnaseid tehnoloogiaid saidi haldamiseks, teenuste täiustamiseks, sisu/reklaamide isikupärastamiseks ja toimivuse mõõtmiseks. Saate kõik küpsised vastu võtta või mittevajalikud küpsised tagasi lükata, säilitades samal ajal põhifunktsioonid; vaadake nende ressursside sirvimisel üle nende küpsiste ja privaatsuse teated.

Kui soovite rohkem teada saada või uurida ärivõimalusi, külastage meie ametlikku veebisaiti: securityonionsolutions.com . Küsimuste või ettepanekute korral võtke meiega julgelt ühendust ja me aitame teil juurutamisprotsessi teie konkreetses kontekstis läbi viia.

Security Onion koondab võrgu jäädvustamise, hosti tuvastamise ja analüütika – mis on tänapäevase SOC-i jaoks hädavajalikud – ühte paketti. Suricata, Snorti, Zeeki, Wazuhi, Elasticu, Sguili, Squerti, CapMe ja CyberChefi abil laieneb nähtavus nii laiuselt kui ka sügavuti. Lisage sellele põhjalik dokumentatsioon, virtualiseerimisvõimalused, kasulik spikker ja tugev väljalaskegraafik, mis sisaldab täiustusi nagu uus teadete liides, Zeek 7 ja ATT&CK Navigator, ning teil on igas suuruses ettevõtete jaoks kindel alus ohtude otsimiseks ja intsidentidele reageerimiseks.