CrowdSec: un proiect open source de securitate cibernetică colaborativă pentru Linux

CrowdSec Este un nou proiect de securitate concepute pentru a proteja serverele, serviciile, containerele sau mașinile virtuale expus pe Internet cu un agent de pe partea serverului. A fost inspirat de Fail2Ban și se dorește a fi o versiune colaborativă și modernizată a acelui cadru de prevenire a intruziunilor.

În anumite privințe, este un descendent al lui Fail2Ban, un proiect care s-a născut în urmă cu șaisprezece ani. In orice caz, oferă o abordare colaborativă mai modernă și propriile baze tehnice pentru a răspunde contextelor moderne.

CrowdSec, scris în Golang, este un motor de automatizare a securității, care se bazează atât pe comportamentul, cât și pe reputația adreselor IP.

Software-ul detectează comportamentele la nivel local, gestionează amenințările și, de asemenea, colaborează la nivel global cu rețeaua sa de utilizatori prin partajarea adreselor IP detectate.

Acest lucru permite tuturor să le blocheze preventiv. Obiectivul este de a construi o imensă bază de date de reputație IP și de a garanta utilizarea gratuită a acesteia celor care participă la îmbogățirea acesteia.

Cum funcționează CrowdSec?

Crowdsec este un cadru modular și conectabil, include o mare varietate de scenarii populare bine-cunoscute, utilizatorii pot alege de ce scenarii doresc să se protejeze, precum și să adauge cu ușurință altele noi personalizate pentru a se potrivi mai bine cu mediul lor.

Scopul este de a implementa software-ul în cât mai multe medii posibil.  Execuția sa rapidă, compatibilitatea cu containerele, ușurința sa de utilizare în medii cloud precum și capacitatea sa de a rula în ecosisteme UNIX, macOS sau Windows: toate acestea ne permit să ne adresăm întregii piețe.

Motor de analiză a comportamentului

Este primul strat de protecție. Utilizați scenariul definit de YAML pentru a corela evenimente care intră într-un rezervor cu scurgeri și extrag un semnal dacă rezervorul se revarsă. Puteți aplica apoi răspunsul la alegere cu bouncers.

motor de reputație

Motorul reputației este un principiu foarte simplu, dar greu de configurat. Pe scurt, fiecare facilitate CrowdSec poate beneficia de o listă neagră de IP organizat, distribuit de API-ul nostru central. Dacă utilizați LAMP, nu aveți nevoie de adrese IP care atacă alte stive tehnice precum Windows, de exemplu.

Această bază de date este alimentată de toate instanțele CrowdSec, ale căror semnale sunt filtrate și procesate central de către API-ul nostru. Falsele pozitive și tentativele de furt ale hackerilor reprezintă o problemă reală, de unde și necesitatea procesării semnalelor care apar din instalațiile CrowdSec.

Credem că avem o rețetă destul de solidă pentru a face acest lucru, pe care o numim consens. Aceasta implică mai multe tehnici, cum ar fi verificarea semnalelor de la alți membri de încredere, propria noastră rețea honeypot, liste canare (o listă albă de adrese IP) etc.

Scopul nostru este să distribuim doar liste de încredere 100%. În plus, identificarea cine este periculos și când este foarte dependentă de un anumit context și perioadă de timp. De exemplu, o adresă IP care a fost considerată curată ieri poate fi compromisă astăzi, iar administratorii o pot curăța a doua zi. O adresă IP care caută SSH nu este periculoasă pentru TSE, etc.

afișa

Software-ul include un sistem de vizualizare local, ușor, bazat pe Metabase. CrowdSec de asemenea este echipat cu Prometeu, pentru a oferi capabilități de alertă și observabilitate.

Motorul de reputație are în prezent peste 103.000 de adrese IP „consens”. (care au trecut testele de otrăvire și anti-fals pozitiv).

Până în prezent, membrii comunității provin din peste cincizeci de țări răspândite pe șase continente.

În timp ce software-ul arată în prezent ca un Fail2Ban fix, Scopul este de a valorifica puterea mulțimii pentru a crea o bază de date de reputație IP foarte precisă. Când CrowdSec trimite o anumită IP, scenariul declanșat și marcajul de timp sunt trimise la API-ul nostru pentru a fi verificate și integrate în consensul global al IP-urilor proaste.

CrowdSec este gratuit și open source (sub o licență MIT), cu codul sursă disponibil pe GitHub. Momentan disponibil pentru Linux, cu porturi pentru macOS și Windows pe foaia de parcurs

Fuente: https://doc.crowdsec.net/