CrowdSec: avoimen lähdekoodin yhteinen kyberturvallisuusprojekti Linuxille

JoukkoSek se on uusi turvallisuusprojekti suunniteltu suojaamaan palvelimia, palveluja, kontteja tai virtuaalikoneita paljastetaan Internetissä palvelinpuolen edustajan kanssa. Inspiroi Fail2Ban ja se on tarkoitettu yhteistyönä ja nykyaikaistettuna versiona tunkeutumisen ehkäisyn kehyksestä.

Tavallaan hän on Fail2Banin jälkeläinen, joka syntyi kuusitoista vuotta sitten. Kuitenkin, tarjoaa nykyaikaisemman yhteistyöhön perustuvan lähestymistavan ja omat tekniset perustansa vastaamaan nykyaikaisiin olosuhteisiin.

crowdsec, kirjoitettu Golang, se on turvallisuus automaatio moottori, joka perustuu sekä IP-osoitteiden käyttäytymiseen että maineeseen.

Ohjelmisto tunnistaa käyttäytymisen paikallisesti, hallitsee uhkia ja tekee myös maailmanlaajuista yhteistyötä verkoston kanssa jakamalla havaittuja IP-osoitteita.

Tämän avulla kaikki voivat estää ne ennaltaehkäisevästi. Tavoitteena on rakentaa valtava IP-maine-tietokanta ja varmistaa, että rikastajat osallistuvat siihen vapaasti.

Kuinka CrowdSec toimii?

Crowdsec on modulaarinen ja liitettävissä oleva kehys, joka sisältää laajan valikoiman tunnettuja suosittuja skenaarioita, käyttäjät voivat valita, mistä skenaarioista he haluavat suojautua, sekä lisätä helposti uusia mukautettuja ympäristöönsä paremmin.

Tavoitteena on toteuttaa ohjelmisto mahdollisimman monissa ympäristöissä.  Sen nopea toteutus, yhteensopivuus konttien kanssa, helppokäyttöisyys pilviympäristöissä sekä kyky toimia UNIX-, macOS- tai Windows-ekosysteemeissä: kaiken tämän ansiosta voimme kohdistaa koko markkinan.

Käyttäytymisanalyysimoottori

Se on ensimmäinen suojakerros. Käytä YAML: n määrittelemää skenaariota korreloimaan tapahtumia He menevät vuotavaan säiliöön ja piirtävät signaalin, jos säiliö ylittää. Voit sitten soveltaa valitsemaasi vastausta palauttajaan.

Maine moottori

Maine moottori on hyvin yksinkertainen periaate, mutta vaikea määrittää. Pohjimmiltaan kukin CrowdSec-asennus voi hyötyä IP-mustasta listasta järjestänyt, levittänyt keskusliittymä. Jos käytät LAMPia, et tarvitse IP-osoitteita, jotka hyökkäävät esimerkiksi muihin teknisiin pinoihin, kuten Windows.

Tähän tietokantaan syötetään kaikki CrowdSec-esiintymät, joiden signaalit suodatetaan ja prosessoidaan keskitetysti API: lla. Hakkerien väärät positiiviset tulokset ja varkausyritykset ovat todellinen ongelma, joten tarve käsitellä CrowdSec-palveluista syntyviä signaaleja.

Mielestämme meillä on melko vankka resepti tämän tekemiseen, jota kutsumme konsensukseksi. Tähän liittyy erilaisia ​​tekniikoita, kuten muiden luotettujen jäsenten signaalien tarkistaminen, oma vieheverkkomme (hunajaruukut), Kanariansaarten luettelot (valkoinen IP-osoitteiden luettelo) jne.

Tavoitteenamme on jakaa vain 100% luotettavia luetteloita. Myös sen tunnistaminen, kuka on vaarallinen ja milloin, riippuu suuresti tietystä tilanteesta ja ajanjaksosta. Esimerkiksi eilen puhtaaksi pidetty IP-osoite voi vaarantua tänään ja järjestelmänvalvojat voivat puhdistaa sen seuraavana päivänä. SSH: n etsimä IP-osoite ei ole vaarallinen TSE: lle jne.

näyttö

Ohjelmisto sisältää kevyen, paikallisen Metabase-pohjaisen näyttöjärjestelmän. Myös CrowdSec on varustettu Prometheuksella, tarjota hälytys- ja havaittavuusominaisuuksia.

Mainekoneella on tällä hetkellä yli 103.000 XNUMX "yksimielistä" IP-osoitetta (jotka ovat läpäisseet myrkytys- ja vääriä positiivisia testejä).

Tähän mennessä yhteisön jäsenet tulevat yli viidestäkymmenestä maasta kuudelle mantereelle.

Vaikka ohjelmisto näyttää tällä hetkellä kiinteältä Fail2Banilta, Tavoitteena on hyödyntää väkijoukon voima luoda erittäin tarkka IP-maine -tietokanta. Kun CrowdSec palauttaa tietyn IP-osoitteen, käynnistetty skenaario ja aikaleima lähetetään sovellusliittymällemme tarkistettavaksi ja integroitavaksi huonoja IP-osoitteita koskevaan maailmanlaajuiseen konsensukseen.

CrowdSec on ilmainen ja avoin lähdekoodi (MIT-lisenssillä), ja lähdekoodi on saatavilla GitHubissa. Se on tällä hetkellä saatavana Linuxille, ja etenemissuunnitelmassa on portit macOSiin ja Windowsiin

lähde: https://doc.crowdsec.net/