Дослідження можливостей використання SOC на основі безкоштовного та відкритого програмного забезпечення

Анотація

У статті розглядається особлива комбінація рішень операційного центру безпеки, що використовують безкоштовне програмне забезпечення з відкритим вихідним кодом, як альтернатива таким центрам на базі високовартісного пропрієтарного ПЗ. У дослідженні визначено компоненти такого операційного центру безпеки, описано їх місце та взаємодію в процесі виявлення, аналізу та пом'якшення наслідків кібератак. Також проаналізовано конкурентоспроможність та визначено переваги, недоліки та перспективи розвитку запропонованого рішення.

У дослідженні проаналізовано конкретну комбінацію безкоштовних інструментів з відкритим вихідним кодом, детально описано роль та взаємодію кожного компонента у виявленні, аналізі та пом'якшенні наслідків кіберзагроз. Запропонований безкоштовний операційний центр безпеки з відкритим вихідним кодом складається з системи управління інформацією та подіями безпеки (Elastic Stack), платформи оркестрування, автоматизації та реагування безпеки (TheHive і Cortex), системи запобігання вторгненням/виявлення вторгнень (Snort), системи виявлення та реагування на вторгнення на кінцеві точки/розширеного виявлення та реагування на вторгнення (Wazuh), платформи розвідки загроз (MISP), сканера вразливостей (OpenVAS), інструменту для аналізу шкідливого програмного забезпечення (YARA), рішень Honey, а також системи для перевірки на наявність шкідливого програмного забезпечення (Atomic Red Team).

У дослідженні проілюстровано приклади використання, що демонструють реакцію операційного центру безпеки на інфікування вірусами-здирниками, використання вразливостей і спрацьовування honeypot, з акцентом на синергетичну взаємодію між компонентами. Переваги безкоштовного операційного центру безпеки з відкритим вихідним кодом включають економічну ефективність, можливість налаштування, гнучкість, надійність, відмовостійкість та підтримку з боку фахової спільноти. Серед недоліків центру визначено загальну складність, проблеми з інтеграцією, недостатність документації, відсутність підтримки з боку постачальників, потенційні ризики для безпеки та обмежені можливості порівняно з корпоративними рішеннями.

У дослідженні зроблено висновок, що хоча розгортання та управління безкоштовними інструментами з відкритим вихідним кодом може бути складним, переваги безкоштовного операційного центру безпеки з відкритим вихідним кодом переважають недоліки, що робить його життєздатним варіантом для організацій з особливими потребами в безпеці, особливо для тих, які мають бюджетні обмеження.