Sustav za sigurnosni nadzor i obranu mreže zasnovan na alatima otvorenog koda : diplomski rad - Pavelić, Filip (F. Pavelić, 2019)
Sažetak na hrvatskom: Suvremeni NSM ciklus sastoji se od tri faze: prikupljanje podataka, otkrivanje malwarea i analiza malwarea. U fazi prikupljanja je bitno definirati arhitekturu mreže kako bi se mogli učinkovito postaviti uređaji i sustavi za prikupljanje podataka. U slučaju lošeg postavljanja, moguće je izgubiti spoznaju o tome tko i kako komunicira unutar mreže. Također, potrebno je poznavati statistiku mrežnog prometa kako bi se mogao učinkovito postaviti sustav za prikupljanje podataka tj. koji bi mogao podnijeti zadano mrežno opterećenje. U fazi otkrivanja malwarea je potrebno dobro definirati vektore ulaza kako bi se alati za detekciju mogli sukladno prilagoditi. Uobičajene tehnike detekcije malwarea su zasnovane na nekoj vrsti potpisa koda, anomalije ili na statističkom odstupanju ponašanja u sustavu. Popularniji softverski paketi otvorenog koda za detekciju su Snort, Suricata i Zeek IDS. Najbolja praksa za nadzor mreže bi uključivala instancu Suricate za brzo prepoznavanje poznatih prijetnji, u kombinaciji sa Zeek IDS-om za rukovanje podacima koji osiguravaju kontekst potreban za prikladniji prikaz upozorenja. Pomoću Zeeka je moguće saznati koje je ponašanje dovelo do incidenta i što se dogodilo nakon incidenta. Analiza malwarea je završna faza ciklusa NSM-a. Analiza malwarea može biti statička i dinamička. Statička analiza je brža i manje rizična od dinamičke analize. Brža je jer ne postoje posebni uvjeti za analizu malwarea i datoteka se ne pokreće, ali daje lošije rezultate. Antivirusni alati većinom koriste statičku analizu i zbog toga nisu pouzdani u otkrivanju novih malwarea. U radu je iskorišten ClamAV antivirusni alat, otvorenog koda zbog provjere datoteka na već poznate zlonamjerne datoteke. Dinamička analiza malwarea se izvodi promatranjem ponašanja potencijalno maliciozne datoteke dok je pokrenuta. Ovaj oblik analize se najčešće provodi u zaštićenom okruženju kako bi se spriječila infekcija sustava. Dodatna dinamička analiza datoteka je ostvarena pomoću Cuckoo sandboxa. NSM rješava problem nadgledanja stanja na mreži, ali ne i na krajnjim točkama mreže. Svaki uređaj na mreži stvara svoje sigurnosne dnevnike i izjavljuje o događajima. SIEM sustav objedinjuje podatke o događajima koje proizvode sigurnosni uređaji, mrežna infrastruktura itd. Zato je u ovom radu iskorištena Linux distribucija Security Onion koja sadržava navedene NSM alate te ima funkcionalnosti SIEM sustava izgrađenih oko grupe proizvoda Elastic Stack. Datoteke koje kolaju unutar mreže se izvlače pomoću Zeeka, te se šalju na analizu u ClamAV i Cuckoo sandbox. Podaci o datotekama se objedinjuju i obogaćuju koristeći programe iz Elastic Stacka.