Wazuh - бесплатная платформа с открытым исходным кодом, используемая для предотвращения, обнаружения и реагирования на угрозы. Он способен защищать рабочие нагрузки в локальных, виртуализированных, контейнерных и облачных средах.

Решение Wazuh состоит из агента безопасности конечных точек, развернутого в контролируемых системах, и сервера управления, который собирает и анализирует данные, собранные агентами. Кроме того, Wazuh полностью интегрирован с Elastic Stack, предоставляя поисковую систему и инструмент визуализации данных, который позволяет пользователям перемещаться по предупреждениям безопасности.

Обнаружение вторжений
Агенты Wazuh сканируют контролируемые системы в поисках вредоносного ПО, руткитов и подозрительных аномалий. Они могут обнаруживать скрытые файлы, замаскированные процессы или незарегистрированные сетевые прослушиватели, а также несоответствия в ответах на системные вызовы.

Анализ данных журналов
Агенты Wazuh читают журналы операционной системы и приложений и безопасно пересылают их центральному менеджеру для анализа и хранения на основе правил.

Мониторинг целостности файлов
Wazuh контролирует файловую систему, определяя изменения в содержимом, разрешениях, владельцах и атрибутах файлов, за которыми необходимо следить.

Обнаружение уязвимостей
Агенты Wazuh собирают данные инвентаризации программного обеспечения и отправляют эту информацию на сервер, где она сопоставляется с постоянно обновляемыми базами данных CVE (общие уязвимости и воздействия) для выявления хорошо известных уязвимостей программного обеспечения.

Оценка конфигурации
Wazuh отслеживает параметры конфигурации системы и приложений, чтобы убедиться, что они соответствуют вашим политикам безопасности, стандартам и/или руководствам по усилению защиты.

Реагирование на инцидент
Wazuh предоставляет готовые активные ответы для выполнения различных контрмер для устранения активных угроз, таких как блокировка доступа к системе из источника угрозы при соблюдении определенных критериев.

Соответствие нормативным требованиям
Wazuh предоставляет некоторые необходимые элементы управления безопасностью для обеспечения соответствия отраслевым стандартам и правилам.

Безопасность контейнеров
Wazuh обеспечивает прозрачность безопасности ваших хостов и контейнеров Docker, отслеживая их поведение и обнаруживая угрозы, уязвимости и аномалии. Агент Wazuh имеет встроенную интеграцию с движком Docker, что позволяет пользователям отслеживать образы, тома, настройки сети и запущенные контейнеры.

https://github.com/wazuh/wazuh

поделился: Max Zotov - @Sf1nk5

опубликовано в @gitgate

#moni #log #security #audit #elastic #webui #docker #ids

Wazuh - бесплатная платформа с открытым исходным кодом, используемая для предотвращения, обнаружения и реагирования на угрозы. Она способна защищать рабочие нагрузки в локальных, виртуализированных, контейнеризированных и облачных средах.

Решение Wazuh состоит из агента безопасности, развернутого в контролируемых системах, и сервера управления, который собирает и анализирует данные, собранные агентами. Кроме того, Wazuh полностью интегрирован с Elastic Stack, предоставляя поисковую систему и инструмент визуализации данных, которые позволяют пользователям перемещаться по своим оповещениям безопасности.

Возможности:

- обнаружение вторжений IDS
- анализ данных журнала
- мониторинг целостности файлов
- обнаружение уязвимостей CVE
- мониторинг и оценка конфигураций
- реагирование на инциденты
- соблюдение нормативных требований
- безопасность облака
- безопасность контейнеров
- мощный пользовательский интерфейс для визуализации и анализа данных

Поддерживает множество вариантов оркестрации для разворачивания: docker, ansible, puppet, k8s, bоsh, salt и другие...

https://github.com/wazuh/wazuh

Веб: https://wazuh.com/

опубликовано в @gitgate

#security #ids #siem #cve #webui

psad - обнаружение вторжений и анализ журналов с помощью iptables

Детектор атак сканирования портов psad - это легковесный системный демон, написанный на языке программирования PERL, предназначенный для работы с кодом межсетевого экрана Linux iptables/ip6tables/firewalld для обнаружения подозрительного трафика, такого как сканирование и проверка портов, бэкдоры, обмен данными между командами и центрами управления ботнетов и многое другое. Он имеет набор настраиваемых пороговых значений опасности (с разумными значениями по умолчанию), подробные сообщения об ошибках, включающие источник, получателя, диапазон сканируемых портов, время начала и окончания, флаги TCP и соответствующие параметры nmap, информацию об обратном DNS, оповещения по электронной почте и syslog, автоматическую блокировку IP-адресов злоумышленников посредством динамической настройки правил iptables, пассивную идентификацию операционной системы и отчеты DShield. Кроме того, psad включает в себя многие сигнатуры TCP, UDP и ICMP, входящие в систему обнаружения вторжений Snort. psad способен обнаруживать подозрительные сканирования различных программ-бэкдоров (например, EvilFTP, GirlFriend, SubSeven), инструментов DDoS (Mstream, Shaft) и сложных сканирований портов (SYN, FIN, XMAS), которые легко использовать против машины с помощью nmap. psad также может оповещать о сигнатурах Snort Начиная с версии 2.4.4, psad также может обнаруживать фазу сканирования учетных данных IoT по умолчанию в ботнете Mirai.

Возможности:
- обнаружение TCP-сообщений типов SYN, FIN, NULL и XMAS, а также UDP-сообщений.
- поддерживается ведение журналов как для IPv4, так и для IPv6
- обнаружение множества правил сигнатуры из системы обнаружения вторжений Snort.
- анализ лог-файлов iptables/ip6tables в режиме криминалистического анализа
- пассивное определение операционной системы по отпечатку с помощью TCP-SYN-пакетов.
- уведомления по электронной почте, содержащие характеристики сканирования TCP/UDP/ICMP, информацию об обратном DNS и Whois, совпадения правил Snort, информацию о предполагаемой операционной системе удаленного устройства и многое другое.
- проверка полей заголовка типа и кода ICMP.
- настраиваемые пороговые значения сканирования и присвоение уровней опасности.
- анализ набора правил Iptables для проверки позиции политики "отключения по умолчанию".
- автоматическое назначение уровня опасности для IP-адреса/сети
- Оповещения DShield.
- Автоматическая блокировка сканируемых IP-адресов с помощью iptables/ip6tables и/или tcpwrappers в зависимости от уровня опасности сканирования.
- Анализ сообщений логов iptables/ip6tables и генерация CSV-файлов, которые можно использовать в качестве входных данных для AfterGlow. Также поддерживается Gnuplot.
- Режим состояния, отображающий сводку текущей информации о сканировании с указанием количества пакетов, цепочек iptables/ip6tables и уровней опасности.

является если не заменой, то дополнением к fail2ban и snort. Есть в репах почти всех дистрибутивов.. Очень нетребователен к ресурсам.

https://github.com/mrash/psad

Опубликовано в @gitgate

#net #security #firewall #iptables #ids