Изпечатай

[bdenkov]

За какво може да ми послужи?

Може ли да ми бъде полезна с нещо?

Заслужава ли си да я инсталирам на домашният си кула компютър?
Дистрибуцията е от 2015 год. и още е в разработка.

https://securityonionsolutions.com/software

https://docs.securityonion.net/en/2.3/partitioning.html

Преглед
Security Onion е безплатна и отворена дистрибуция на Linux за лов на заплахи, мониторинг на сигурността на предприятието и управление на регистрационни файлове. Лесният за използване съветник за настройка ви позволява да изградите армия от разпределени сензори за вашето предприятие за минути!
Security Onion включва Elasticsearch, Logstash, Kibana, Suricata, Zeek (известен преди като Bro), Wazuh, Stenographer, TheHive, Cortex, CyberChef, NetworkMiner и много други инструменти за сигурност.
Силно мащабируем
От едно мрежово устройство до мрежа от хиляда възли, Security Onion се мащабира, за да отговаря на вашите специфични нужди.
Отворена общност
Security Onion и инструментите, които интегрираме, са безплатни и отворени, написани от членове на общността за киберсигурност.
Случаи на употреба
NIDS
Събирайте мрежови събития от Zeek, Suricata и други инструменти за пълно покритие на вашата мрежа. Хвърлете широка мрежа, за да хванете лошите хора бързо и лесно.
HIDS
Security Onion поддържа няколко базирани на хост агенти за събиране на събития, включително Wazuh, Beats и osquery. Просто ги насочете към вашата инсталация и тя отива към състезанията.
Статичен анализ (PCAP импортиране)
Използвайте Security Onion за импортиране на PCAP файлове за бърз статичен анализ и казуси. Завъртете бързо виртуална машина и започнете само за няколко минути.
SOC работна станция
Налична е и опция за инсталиране на работна станция за анализаторите на SOC, за да използват локални Linux инструменти за извършване на анализ на мрежови и хост събития. Няма нужда да инсталирате допълнителни инструменти, ние обединяваме всички приложения, които може да са ви необходими.
Включени функции
Естествена опашка за предупреждения
Използване на НОВ интерфейс за предупреждения за преглед и управление на сигнали, генерирани от Securyty Onion.
Лов за злото
Нашият интерфейс Hunt е създаден нарочно, за да ви позволи да разследвате evans бързо и лесно
Пълен PCAC анализ
Издърпайте улавянето на пакети от мрежови събития и ги анализирайте в рамките на SOC на вашия любим външен инструмент

Хардуерни изисквания

Разделът Архитектура трябваше да ви помогне да определите колко машини ще ви трябват за внедряването. Този раздел ще ви помогне да определите от какви хардуерни спецификации ще се нуждае всяка от тези машини.
Архитектура на процесора

Security Onion поддържа само x86-64 архитектура (стандартни Intel или AMD 64-битови процесори).

Внимание

Ние не поддържаме ARM или други процесори, различни от x86-64!
Минимални спецификации

Ако просто искате да импортирате pcap с помощта на so-import-pcap, тогава можете да конфигурирате Security Onion 2 като възел за импортиране със следните минимални спецификации:

        4GB RAM
        2 процесорни ядра
        200GB съхранение

За всички останали конфигурации минималните спецификации за стартиране на Security Onion 2 са:

        12GB RAM
        4 процесорни ядра
        200GB съхранение

Забележка

Тези минимални спецификации са за режим EVAL с минимални работещи услуги. Тези изисквания може да се увеличат драстично, тъй като активирате повече услуги, наблюдавате повече трафик и консумирате повече регистрационни файлове. За повече информация, моля, вижте подробните секции по-долу.

Внимание

Ако използвате дневника на бета инструмента, ще се изисква CPU/vCPU с поддръжка на AVX, като се препоръчва поддръжка на AVX2. Повечето процесори, произведени от 2011 г., ще имат поддръжка на AVX, но не забравяйте да проверите спецификациите на вашия конкретен процесор. Това ще бъде по-важно за виртуализирани среди, където типът vCPU по подразбиране обикновено няма да поддържа нито един набор от инструкции.
Производствени внедрявания

Security Onion 2 е нова платформа с повече функции от предишните версии на Security Onion. Тези допълнителни функции водят до по-високи хардуерни изисквания. За най-добри резултати препоръчваме закупуване на нов хардуер, за да отговори на новите изисквания.

Бакшиш

Ако планирате да закупите нов хардуер, моля, помислете за официални уреди Security Onion от Security Onion Solutions (https://securityonionsolutions.com). Нашите персонализирани уреди вече са проектирани за определени роли и нива на трафик и имат предварително инсталиран Security Onion. Закупуването от Security Onion Solutions ще ви спести време и усилия и ще ви помогне да подкрепите развитието на Security Onion като безплатна и отворена платформа!
Съхранение

Поддържаме само локално съхранение. Отдалеченото съхранение като SAN/iSCSI/FibreChannel/NFS увеличава сложността и точките на отказ и има сериозни последици за производителността. Може да успеете да накарате дистанционното съхранение да работи, но ние не предоставяме никаква поддръжка за него. Използвайки локално хранилище, вие поддържате всичко самостоятелно и не е нужно да се притеснявате да се конкурирате за ресурси. Локалното съхранение обикновено е и най-рентабилното решение.
NIC

Ще ви е необходим поне един кабелен мрежов интерфейс, предназначен за управление (за предпочитане свързан към специална мрежа за управление). Препоръчваме да използвате статични IP адреси, където е възможно.

Ако планирате да подушвате мрежов трафик от порт за кран или span, тогава ще ви трябва един или повече интерфейси, предназначени за подслушване (без IP адрес). Инсталаторът автоматично ще деактивира функциите за разтоварване на NIC като tso, gso и gro на интерфейсите за подслушване, за да гарантира, че Suricata и Zeek получават точна представа за трафика.

Уверете се, че получавате мрежови карти с добро качество, особено за подслушване. Повечето потребители съобщават за добри изживявания с картите на Intel.

Security Onion е проектиран да използва кабелни интерфейси. Може да успеете да накарате безжичните интерфейси да работят, но ние не го препоръчваме или поддържаме.
UPS

Подобно на повечето ИТ системи, Security Onion има бази данни и тези бази данни не харесват прекъсвания на захранването или други неблагоприятни изключения. За да избегнете прекъсвания на захранването и да се налага ръчно да поправяте бази данни, помислете за UPS.
Еластичен стек

Моля, вижте раздела Архитектура за подробни сценарии на внедряване.

Препоръчваме да поставите цялото Elastic съхранение (/nsm/elasticsearch) на SSD или бързо въртящ се диск в конфигурация RAID 10.
Самостоятелни внедрявания

При самостоятелно внедряване всички компоненти на мениджъра и сензорните компоненти работят в една кутия, следователно вашите хардуерни изисквания ще отразяват това. Ще ви трябват минимум 16 GB RAM, 4 ядра на процесора и 200 GB място за съхранение. При минимума от 16 GB RAM най-вероятно ще ви е необходимо място за смяна, за да избегнете проблеми.

Този тип внедряване се препоръчва за целите на оценката, POC (доказателство на концепцията) и внедряването на единичен сензор с малък до среден размер. Въпреки че можете да внедрите Security Onion по този начин, препоръчително е да разделите бекенд компонентите и сензорните компоненти.

    CPU: Използва се за анализиране на входящи събития, индексиране на входящи събития, търсене на метаданни, улавяне на PCAP, анализиране на пакети и стартиране на компонентите на интерфейса. Тъй като потреблението на данни и събития се увеличава, ще е необходимо по-голямо количество CPU.
    RAM: Използва се за Logstash, Elasticsearch, дисков кеш за Lucene, Suricata, Zeek и др. Количеството налична RAM ще повлияе пряко на скоростта и надеждността на търсене, както и на способността за обработка и улавяне на трафик.
    Диск: Използва се за съхранение на индексирани метаданни. По-голямото количество за съхранение позволява по-дълъг период на съхранение. Обикновено се препоръчва да се запази не повече от зададеното

[bdenkov]

 

  Използвайте водещия безплатен и отворен инструмент за лов на заплахи във вашата класна стая
Използване на лек за сигурност в класната стая

Присъединете се към редиците на университетите и институциите за висше образование по целия свят, които използват Security Onion, за да образоват следващото поколение професионалисти по киберсигурност!

Безплатният и отворен лиценз Security Onion е идеално подходящ за използване в класната стая. Няма нужда да купувате или да кандидатствате за специални образователни лицензи за преподаватели или студенти. Версията на Security Onion, използвана в класната стая, е същата, използвана за защита на корпоративни мрежи по целия свят!
ЧЗВ
Въпрос:
Какви ресурси са налични, за да ми помогнат да науча за Security Onion?
A:
YouTube: securityonion.net/youtube
Официално обучение: securityonionsolutions.com/training
Въпрос:
Предлагате ли академични отстъпки за обучение?
A:
Нашият курс Essentials е БЕЗПЛАТЕН! За тези, които искат да разширят разбирането си за платформата Security Onion, ние предлагаме академични отстъпки* за нашето обучение при поискване. Свържете се с нас за повече информация.
Въпрос:
Имам проблем със Security Onion. Как да получа помощ?
A:
Имаме отлична документация, налична тук, със собствени често задавани въпроси тук. За повече информация относно опциите за поддръжка, щракнете тук.
Въпрос:
Мога ли да използвам документацията на Security Onion като част от курса си?
A:
Свободни сте да правите справка с нашата документация, докато преподавате курса си, но моля, проверете лиценза на документацията за повече подробности.
Въпрос:
Мога ли да използвам платен материал от курса на Security Onion Solutions като част от курса си?
A:
Платените учебни материали на Security Onion Solutions са защитени с авторски права и не трябва да се използват повторно по никакъв начин без изричното писмено разрешение.
Въпрос:
Как да накарам някой да говори с моя клас за Security Onion?
A:
Свържете се с нас за повече подробности.
*
Предлагат се отстъпки за студенти и преподаватели от акредитирани институции, при ограничения.
Имате още въпроси относно преподаването с помощта на Security Onion?

[go_fire]

Ами де да знам, какви са ти нуждите?! В тоя форум от доста години размишляваме и градим теории, какво точно желаеш да правиш с компютъра си.

Тази дистрибуция, така като гледам, ще ти е много полезна, ако желаеш да си дилър на наркотици в Интернет (по-скоро в Darknet). Или пък, де да знам? Да правиш заговор за сваляне на китайското правителство воглаве със Си Дзин Пин. Такива работи. Това е дистрибуция за хора занимаващи се с опасни неща, които лесно могат да им доведат летален изход или доживотен затвор.

За обикновени хора apt-get install tor е що годе достатъчен. Ама да знаеш, че така пак не можеш да се скриеш от BigTech. Казва ти го човек, който в момента пише от Ungoogled Chromium прекаран през socks proxy на tor. По резултатите, които получавам от непрестанно сменяни инсталации на SearX и Invidio.us, виждам, как Гългъл много добре знае кой съм и пак намира начин да ми дава „персонализирано“ търсене. В редките случай, когато не успява, получавам адекватни резултати.

[4096bits]

Tor не може да те спаси от намиране, ако някой иска да те намери. Има си индиректни начини за това и организации с достатъчно ресурси могат да го направят.

[spec1a]

   Освен всичко друго,факт е,че ТОР е разработка на ... Пентагона.
Ако тези фуражки не са си оставили "задни вратички",кои други ?

[jet]

Той целия интернет е от Пентагона (ДАРПА), ти за един протокол си се притеснил.
Силиконовата долина е направена и тя от военните, преди поръчките за чипове и транзистори там е бил кър/земеделски район.
Комунетата са си мислели, че като разорат целината (Брежнев) и там ще стане силициева долина (още опитват).

"За какво може да ми послужи?
Може ли да ми бъде полезна с нещо?"
Не, думитете сигурност и стара ОС не могат в едно изречение.

[remotexx]

Аха значи търсели  силикон па намерили силиций.. а той силикона после дошъл  на собствен ход ...тъй да захлеби. То въобще където има военни се навъртат и бая силиконки па после се оправдаяат че познавали къде се крият военните по разните му онлайн аппове за барове, спорт и т.п. а къде забравиха най-важния или поне най-стария обслужващ контингент.. е поне са най-старата професия ама никой не ще да разпространява информация къде се навъртат най-много 

Че и офлайн пак със спорта се оправдават - на тия поне не крият какъв точно вид спорт

Наемники, "спортсменки" и друзья Путина.
 Секреты клиники "Согаз"

А еще в клинике делали анализы на ВИЧ, гепатит и сифилис загадочным "спортсменкам", которые, как предполагает работавший в клинике источник Радио Свобода, являются элитными эскортницами.

[spec1a]

Той целия интернет е от Пентагона (ДАРПА), ти за един протокол си се притеснил.
Силиконовата долина е направена и тя от военните, преди поръчките за чипове и транзистори там е бил кър/земеделски район.
Комунетата са си мислели, че като разорат целината (Брежнев) и там ще стане силициева долина (още опитват).

"За какво може да ми послужи?
Може ли да ми бъде полезна с нещо?"
Не, думитете сигурност и стара ОС не могат в едно изречение.

   Заеби ДАРПА.
   Я обясни защо повечето хора имат доверие на криптиращия алгоритъм
AES при положение,че е разработка на ... NSA (най-демоничната
САЩистанска 3-буквена агенция) ?
   Логично е да са си оставили "задни вратички",нали така ?

[go_fire]

   Заеби ДАРПА.
Я обясни как повечето хора имат доверие на криптиращия алгоритъм
AES при положение,че е разработка на ... NSA (най-демоничната
САЩистанска 3-буквена агенция) ?

Защото все още (без евентуално израелците) никой не е открил дупката му. Ако я има. Имаме надежди, че АНС не винаги са били това чудовище днес. Все пак SE е пак тяхно дело. Просто няма по-съвършен механизъм.

[spec1a]

   Заеби ДАРПА.
Я обясни как повечето хора имат доверие на криптиращия алгоритъм
AES при положение,че е разработка на ... NSA (най-демоничната
САЩистанска 3-буквена агенция) ?

Защото все още (без евентуално израелците) никой не е открил дупката му. Ако я има. Имаме надежди, че АНС не винаги са били това чудовище днес. Все пак SE е пак тяхно дело. Просто няма по-съвършен механизъм.

   Абсолютно,на 100% има "дупки".
Ако програмистите не бяха оставили,щяха директно да бъдат уволнени,
а и нещо по-лошо щеше да им се случи...

[spec1a]

Имаме надежди, че АНС не винаги са били това чудовище днес.

   Ъ   !?!?!

Откога си станал толкова наивен,направо като шамандура !

Я се стегни бе !

[4096bits]

Ако има дупка и не са я открили още, тя ще е в генератона на случайни числа. Няма да са толкова случайни. Но да речем, че ако си натоварят машините, за ден ще счупят всичко, което е криптирано с това.
Впрочем, тези гадове се опитват да подкупят всеки, който хванат, че разработва някакъв криптиращ алгоритъм и да го накарат да остави пробойни, ако не вратички. А компютърната мощ расте.

[go_fire]

Имаме надежди, че АНС не винаги са били това чудовище днес.

   Ъ   !?!?!

Откога си станал толкова наивен,направо като шамандура !

Я се стегни бе !

Ами работата е там, че края на предния и началото на този век, АНС поне видимо спазваше благоприличие. Даже те собственоръчно запълваха дупки. Затова споменах SE, като пример, какво могат, когато са сериозни. И понеже AES е от същото време, има вероятност и да не е разпробит по подразбиране. Но това е нещо, което ще знаем със сигурност в бъдещето. Засега изглежа сигурен, но това нищо не значи.

[jet]

Руснаците като измислят нещо читаво ще ползваме и него, ама още чакаме.
Те хората и на Майкрософт разчитат - като няма друго.
Криптиращи алгоритми бол - ползвай каквото ти харесва.

[spec1a]

   Между другото,все още няма читави алгоритми,които
"да носят на бой" от квантовите компютри.

   Бързодействието на квантовите компютри e чудовищно (без преувеличение).
Стига,разбира се,да няма декохерентност ...