Security Onion sa stal jednou z tých platforiem, s ktorými by sa mal oboznámiť každý, kto zakladá alebo prevádzkuje SOC. Je bezplatná, s otvoreným zdrojovým kódom a spája monitorovanie siete, lov hrozieb a správu protokolov na jednom mieste spolu s kolekciou overených nástrojov, ktoré urýchľujú prácu modrého tímu.
Predtým, ako sa do toho pustíme, je dôležité stanoviť si realistické očakávania: nie je to zázračné riešenie ani tlačidlo na opravu všetkého . Jeho sila spočíva v tom, ako integruje viacero komponentov a v úsudku tímu, ktorý ho používa. Vyžaduje si to naučiť sa ho používať, prispôsobiť ho každému prostrediu a maximalizovať jeho možnosti; ak sa nám to podarí, platforma prináša obrovskú hodnotu.
Čo je Security Onion a čo rieši?
Security Onion je distribúcia Linuxu špecializujúca sa na detekciu a reakciu na hrozby, ktorá integruje IDS/IPS, analýzu prevádzky, správu udalostí a ďalšie, podobne ako iné bezpečnostné distribúcie . Je určená na vyhľadávanie hrozieb, monitorovanie podnikovej bezpečnosti a správu protokolov s vlastnými rozhraniami pre upozornenia, dashboardy, vyhľadávanie, PCAP, detekcie a správu prípadov. Zahŕňa aj nástroje ako osquery, CyberChef, Elasticsearch, Logstash, Kibana, Suricata a Zeek.
Za projektom stojí spoločnosť Security Onion Solutions, LLC. Vytvárajú a udržiavajú platformu a financujú jej vývoj prostredníctvom komerčných produktov a služieb . Keď si spoločnosť predplatí ich podporné alebo profesionálne edície, prispieva k neustálemu vývoju projektu v súlade s neustále sa meniacou situáciou v oblasti hrozieb.
Odporúčané komponenty a nástroje Security Onion
Jednou z jeho najväčších silných stránok je výber vstavaných nástrojov a nástrojov pripravených na koreláciu. Sada kombinuje zachytávanie paketov, IDS založené na pravidlách a hĺbkovú analýzu prevádzky spolu s HIDS a robustným vyhľadávacím/vizualizačným zásobníkom.
Zachytávanie prevádzky pomocou netsniff-ng
Medzi komponenty, ktoré pracujú na nízkej úrovni, patrí netsniff-ng. Tento komponent zachytáva prevádzku a efektívne spravuje úložisko PCAP , pričom v prípade potreby odstraňuje staré údaje, aby sa predišlo preťaženiu disku. Toto zachytávanie je nevyhnutné na kontrolu dôkazov o úniku údajov, phishingových kampaniach alebo prienikoch, ktoré si vyžadujú opätovnú kontrolu balíka, aby sa pochopilo čo, ako a kedy.
IDS/IPS založené na pravidlách: Suricata a Snort
Security Onion integruje dva veteránske nástroje na detekciu založenú na podpisoch, ktoré sa oba nachádzajú na zoznamoch najlepších systémov detekcie škodlivého softvéru pre Linux : Suricata a Snort. Tieto nástroje fungujú na základe pravidiel, ktoré spúšťajú upozornenia na základe známych vzorov . Spoliehajú sa na „odtlačky prstov“ uložené v ich databázach pravidiel a sú prvou líniou obrany pri detekcii skupín škodlivého softvéru, známych hrozieb C2, exploitov a predtým opísaného správania.
Analýza siete pomocou Zeeku
Okrem vyššie uvedeného, Zeek (predtým Bro) používa iný prístup. Vykonáva pasívnu kontrolu a generuje podrobné protokoly pripojení (okrem iného conn, dns, http, ssl/tls). Okrem IP adries, portov a protokolov poskytuje bohaté atribúty, ako sú dotazy DNS, podrobnosti TLS a informácie vrstvy 7 pre viacero protokolov: okrem iného HTTP, FTP, IRC, SMTP, SSH, SSL a Syslog.
Praktický príklad jeho flexibility: pomocné zdroje, ako napríklad súbory CSV obsahujúce firemné informácie, je možné importovať a porovnávať s udalosťami sťahovania, prihláseniami alebo inými aktivitami. Tieto korelácie je potom možné použiť na zabezpečenie údajov pre antivírusový systém, antimalvérový systém alebo systém SIEM na zabezpečenie agilnejšej reakcie.
HIDS na koncových bodoch s Wazuh
Viditeľnosť je ďalej vylepšená systémom IDS na úrovni hostiteľa. Wazuh monitoruje každý koncový bod pomocou agentov pre Windows, Linux a macOS , analyzuje systémové protokoly, overuje integritu súborov, monitoruje politiky a detekuje rootkity. Vďaka upozorneniam a reakciám v reálnom čase pridáva proaktívnu vrstvu do vašej bezpečnostnej stratégie. Je plne integrovaný s Elastic Stack pre vyhľadávanie a vizualizáciu.
Nástroje pre vyhľadávanie a analytikov
Security Onion prináša Elasticsearch a Kibana pre vyhľadávanie a dashboardy spolu s nástrojmi navrhnutými pre každodennú prácu analytikov. Sguil slúži ako most medzi IDS/IPS a zachytávaním paketov , čím urýchľuje triedenie a spoločné vyšetrovanie. Súčasťou sú aj Squert, CapMe a ďalšie proprietárne dashboardy pre lov, PCAP a správu prípadov.
Ďalšie vstavané nástroje
Pre úlohy rýchlej analýzy a dekódovania platforma obsahuje CyberChef. Je to švajčiarsky nôž na transformáciu a skúmanie artefaktov bez opustenia prostredia SOC. Spolu s osquery vám umožňuje hromadne dotazovať celý pool koncových bodov na stavy a atribúty.
Meerkat/Snort vs. Zeek: Doplnkové prístupy
Je dôležité rozlišovať medzi dvoma najbežnejšími detekčnými modelmi na platforme. Suricata a Snort spúšťajú upozornenia založené na pravidlách a môžu pasívne kontrolovať alebo blokovať (v závislosti od nasadenia), zatiaľ čo Zeek uprednostňuje generovanie bohatej telemetrie na rekonštrukciu naratívov útokov. Táto kombinácia pomáha odhaľovať známe hrozby aj vyšetrovať neznáme.
Viditeľnosť a analýza v Security Onion: Sguil, Squert, Kibana a CapMe
Dobrý SOC nielenže spúšťa upozornenia; potrebuje kontext, spoluprácu a pracovný postup. Rozhranie Sguil centralizuje udalosti a umožňuje vám prejsť na PCAP, aby ste presne videli, čo sa na kábli stalo. Squert poskytuje agilné zobrazenia, Kibana ponúka vlastné vyhľadávania a dashboardy a CapMe uľahčuje extrakciu relevantných paketov pre daný prípad.
Tieto integrované pohľady znižujú trenie medzi tímami: analytici môžu rýchlo priradiť, eskalovať a zdokumentovať každý incident, čím sa vyhnú typickému odpojeniu medzi detekciami, vyhľadávaniami a sieťovou forenznou analýzou.
Začíname s Security Onion: Stiahnutie, dokumentácia a virtualizácia
Zvyčajným východiskovým bodom je oficiálny repozitár. ISO súbor si môžete stiahnuť z GitHubu a pred čímkoľvek iným si prečítať dokumentáciu , ktorá obsahuje veľmi komplexnú časť „Začíname“ s niekoľkými spôsobmi nasadenia.
Ak nemáte k dispozícii hostiteľa so systémom Linux, nebojte sa: sprievodca pokrýva scenáre virtualizácie s VirtualBoxom a VMware vrátane vytvorenia špecifických virtuálnych počítačov na nastavenie balíka a spustenie sieťových auditov.
Odporúčané minimálne požiadavky
Pre správny začiatok samotná dokumentácia navrhuje skromný základ: 64-bitový procesor s dvoma alebo viacerými jadrami, 8 GB RAM, 80 GB miesta na disku a sieťovú kartu v promiskuitnom režime . V prostrediach s vyššou prevádzkou je rozumné zvýšiť RAM na 16 GB alebo viac a pridať niekoľko stoviek GB úložiska (alebo ešte lepšie, rýchle úložisko) na spracovanie PCAP a sérií protokolov.
Užitočné skratky: ťahák
Ďalším užitočným zdrojom je oficiálna šablóna záznamového hárku. Tento ťahák zhŕňa príkazy údržby a cesty ku kľúčovým súborom , čo je ideálne na vyhľadávanie servisných záznamov, keď je málo času.
Novinky a neustály vývoj
Projekt sa rýchlo rozvíja, pretože konkurencia tiež. Jednou z hlavných nedávnych aktualizácií je verzia 2.4.120 (február 2025) , ktorá priniesla množstvo vylepšení.
- Nové rozhranie upozornení so súhrnmi s využitím umelej inteligencie pochopiť udalosti na prvý pohľad a urýchliť reakciu.
- Integrovaný Zeek 7, s rozšírenou podporou protokolov ako QUIC, HTTP/2, OpenVPN alebo IPsec, čím sa zlepšuje detekcia a analýza.
- Navigátor ATT&CK vstavaný na mapovanie udalostí do rámca MITRE ATT&CK a uvážlivé stanovenie priorít hrozieb.
- Externé API v Security Onion Pro, užitočné pre vlastné integrácie alebo vlastné rozhrania.
- Vyhľadávanie lokálnej IP adresy s vlastnými popismi viditeľnými v SOC, veľmi praktické, ak chýbajú PTR alebo je potrebné zaznamenať kritické IP adresy.
Okrem verzie 2.4.120 pokračovala kadencia vydávania aj s verziami 2.4.130, 2.4.140, 2.4.141, 2.4.150, 2.4.160 a 2.4.170 počas celého roka 2025, čo zdôrazňuje, že cyklus vylepšovania je nepretržitý a že sa oplatí držať krok s aktuálnymi informáciami.
Bežné prípady použitia
Security Onion sa hodí do viacerých scenárov. Od detekcie phishingových pokusov až po lov hrozieb C2, vyšetrovanie únikov alebo centralizáciu protokolov pre jednotný prehľad. Jeho otvorená a modulárna povaha pomáha prispôsobiť ho malým a stredným podnikom aj veľkým dátovým centrám.
Kedy vykonávať sieťové audity pomocou Security Onion?
Pravidelné audity sú základnou súčasťou každého bezpečnostného programu. Na kontrolu siete nemusíte čakať na narušenie bezpečnosti , ale existujú situácie, kedy je ich prioritizácia nevyhnutná.
- Zmeny v infraštruktúrenové systémy, aplikácie alebo IT riešenia; overte, či všetko funguje dobre a bez nových medzier.
- Bezpečnostné incidentyPo úspešnom útoku je audit nevyhnutný na pochopenie vektora a v prípade potreby na posilnenie.
- Problémy s výkonomPomalé alebo prerušené spojenie môže skrývať zlyhania alebo zneužitia, ktoré odhalí audit.
- Obchodné rozšírenie: viac lokalít, oddelení alebo zamestnancov mení vzorce; je potrebná rekalibrácia.
- Plánované hodnoteniaPravidelné prehliadky vám bez zjavného dôvodu pomôžu predísť nepríjemným situáciám.
V každom prípade, ak vám chýbajú skúsenosti, je rozumné spoľahnúť sa na špecializované spoločnosti , ktoré prispôsobia testy prostrediu a vyhnú sa skrytým nákladom vyplývajúcim z nesprávneho prevedenia.
Nasadenie a konfigurácia
Nasadenie ide nad rámec jednoduchej inštalácie a používania systému. Vyžaduje si definovanie sieťových rozhraní, senzorov, správy upozornení a pravidiel, aby sa systém prispôsobil špecifickým potrebám organizácie. Dokumentácia komunity a oficiálna dokumentácia poskytujú šablóny a architektonické odporúčania, ktoré vám pomôžu začať správne.
Praktická ukážka: vyšetrovanie exfiltrácie
Pre pochopenie pracovného postupu navrhujeme praktické cvičenie: analyzujte prípad úniku dát pomocou nástrojov Security Onion.
Import PCAP a príprava prostredia
Pred načítaním súboru PCAP je vhodné vyčistiť upozornenia a vizualizácie v Elasticsearch pomocou niekoľkých príkazov údržby. Potom importujte súbor .pcap pomocou príslušného nástroja.
Ak sa niečo nespustí na prvý pokus, skúste reštartovať počítač. Security Onion organizuje svoje služby v kontajneroch Docker a po spustení môže chvíľu trvať, kým sa všetko spustí. Stav kontajnerov v reálnom čase si môžete pozrieť pomocou príkazu `list`.
Nebojte sa, ak sa posledné tri kontajnery zobrazia ako VYPNUTÉ : to len znamená, že nedochádza k žiadnemu zachytávaniu v reálnom čase; PCAP bude stále analyzovaný pomocou Suricata a Zeek.
Škodlivá prevádzka: Prieskum tokov pomocou Security Onion
Prvý tok TCP
- Chronologicky zoradiť upozornenia od daného časového vlákna, od najnovšieho po najnovšie, aby ste videli celú postupnosť.
- identifikuje Zdrojová IP adresa, cieľová IP adresa a porty zapojených do tejto prvej výmeny smerom k internetu.
- Všimnite si zaujímavé upozornenie: PDF súbor sa vyžaduje priamo od IP adresy namiesto domény; aký podpis to spôsobuje?
- Pred touto požiadavkou sa zobrazí používateľský agent, ktorý sa identifikuje ako curl; všimnite si neskoršie korelácie.
- Najnovšie upozornenie na prietok, čo naznačuje, že sa stalo? Opisuje podmienku, ktorá spúšťa udalosť.
- Otvorte ktorékoľvek z týchto upozornení a načítať celý stream podrobne skontrolovať všetky správy.
- Čo v rámci tejto rekonštrukcie užívateľskú agent presne to vidíš?
- Zisťujete? niečo podozrivé v tele HTTP odpovede?
- Odoslať túto návštevnosť na kuchynské prostredie ako CyberChef, aby si s ním hral.
- Tam, choď odstránenie vrstiev a transformácií až kým neodhalí zaujímavý obsah.
- Keď dosiahnu jadro, objavia sa anomálne referencie alebo indikátory hodný MOV?
Druhý tok TCP
- S porty a páry IP adries Ako pomôcku identifikujte, ktoré upozornenia patria do tohto druhého toku.
- opakovať rekonštrukcia dopravy rovnako ako predtým, aby ste videli kontext a užitočné zaťaženie.
- Nájdete Niečo neobvyklé v transakciách?
Tretí tok TCP
- Nájdite dve upozornenia, ktoré definujú tok a poznámky kľúčové parametre (IP adresy, porty, protokol).
- znovu otvoriť vlákno paketu na podrobnú kontrolu.
- Čo užívateľskú agent sa používa a akú akciu sa požiadavka snaží vykonať?
- Po tejto výmene sa objaví ďalšia Upozornenie na HTTPS prenos údajovČomu by to zodpovedalo podľa toho, čo sme videli?
Štvrtý TCP stream
- Zrazu vystrelia veľa rôznych upozorneníPodľa tvojho vzoru, čo sa zrejme stalo?
- Ako z upozornení sa dostanete hlbšie aby som videl, čo sa presne stalo?
- V zobrazení toku, čo kľúčové stopy sú cenené?
- otvorte kartu Hon.
- Hodiť a preddefinovaný dopyt ktorý triedi podľa event.module a event.dataset.
- V časti Metriky skupiny skontrolujte, čo typy protokolov, ktoré Zeek zhromaždil.
- V rozbaľovacom zozname dopytov vyberte možnosť zobraziť všetky spojenia podľa zdrojovej IP adresy, cieľovej IP adresy, sieťového protokolu a cieľového portu.
- Teraz zoskupiť podľa HTTP pripojenia a cieľový port.
- Objavuje sa nejaký nezvyčajný port pre HTTP?
- Ak áno, označte to ako Obsahovať sústrediť sa na neho.
- V časti Udalosti vidíte niečo, čo stojí za analýzuOtvorte to podrobne, ako už viete.
- Čo nález vzniká tam?
Iné detekčné cesty
- Zoskupiť podľa HTTP pripojenia, metóda a používateľský agent.
- Aký zaujímavý vzor by umožnilo identifikáciu škodlivej prevádzky používateľským agentom?
- Zoskupiť podľa Virtuálny hostiteľ HTTP.
- Ľubovoľný virtuálny hostiteľ nezvyčajné alebo podozrivé čo poukazuje na škodlivú aktivitu?
- Zoskupiť podľa oznámenie o súbore údajov (Zeek).
- Čo podozrivý signál vyniká?
- V časti Udalosti zoskupiť podľa poľa oznámenie.podspráva.
- Z akej entity ich je väčšina? Certifikáty TLSČo z toho usudzuješ?
Podpora, komunita a licencia Security Onion
Komunita Security Onion je veľmi aktívna: fóra, skupiny a aktualizovaná dokumentácia pomáhajú odpovedať na otázky a zdieľať osvedčené postupy. Pre organizácie, ktoré vyžadujú viac, je k dispozícii komerčná podpora a edícia Pro s ďalšími integračnými funkciami.
Pokiaľ ide o licencie, projekt je bezplatný softvér s otvoreným zdrojovým kódom . Podrobnosti a nuansy licencie nájdete na oficiálnej webovej stránke a v repozitároch.
Súkromie a externé zdroje
Pri prieskume je bežné konzultovať vlákna na platformách tretích strán. Napríklad Reddit a jeho partneri používajú súbory cookie a podobné technológie na prevádzku stránky, zlepšovanie služieb, prispôsobenie obsahu/reklamy a meranie výkonnosti. Môžete prijať všetky súbory cookie alebo odmietnuť nepodstatné súbory cookie a zároveň zachovať základnú funkčnosť; pri prehliadaní ich zdrojov si prečítajte ich oznámenia o súboroch cookie a ochrane osobných údajov.
Ak sa chcete dozvedieť viac alebo preskúmať možnosti podnikania, navštívte našu oficiálnu webovú stránku: securityonionsolutions.com . V prípade akýchkoľvek otázok alebo návrhov nás neváhajte kontaktovať a my vám pomôžeme s procesom implementácie vo vašej konkrétnej situácii.
Security Onion zjednocuje sieťové zachytávanie, detekciu hostiteľov a analytiku – nevyhnutné pre moderné SOC – do jedného balíka. Vďaka Suricata, Snort, Zeek, Wazuh, Elastic, Sguil, Squert, CapMe a CyberChef sa prehľad rozširuje do šírky aj hĺbky. Pridajte k tomu komplexnú dokumentáciu, možnosti virtualizácie, užitočný ťahák a robustný harmonogram vydávania s vylepšeniami, ako je nové rozhranie upozornení, Zeek 7 a ATT&CK Navigator, a máte solídny základ pre vyhľadávanie hrozieb a reakciu na incidenty pre firmy všetkých veľkostí.
