Security Onion: Kompletní průvodce touto bezpečnostní distribucí, která doplňuje další distribuce zaměřené na penetrační testování.

Security Onion se stal jednou z platforem, se kterými by se měl seznámit každý, kdo zakládá nebo provozuje SOC. Je bezplatný, s otevřeným zdrojovým kódem a na jednom místě spojuje monitorování sítě, lov hrozeb a správu protokolů spolu s kolekcí ověřených nástrojů, které urychlují práci Blue Teamu.

Než se do toho pustíme, je důležité si stanovit realistická očekávání: není to kouzelné řešení ani tlačítko „opravy všeho“ . Jeho síla spočívá v tom, jak integruje více komponent a v úsudku týmu, který ho používá. Vyžaduje se naučit se ho používat, přizpůsobit ho každému prostředí a maximalizovat jeho možnosti; pokud se nám to podaří, platforma přináší obrovskou hodnotu.

Co je Security Onion a co řeší?

Security Onion je linuxová distribuce specializující se na detekci a reakci na hrozby, která integruje IDS/IPS, analýzu provozu, správu událostí a další, podobně jako jiné bezpečnostní distribuce . Je navržena pro lov hrozeb, monitorování podnikové bezpečnosti a správu protokolů s vlastními rozhraními pro upozornění, dashboardy, lov, PCAP, detekce a správu případů. Zahrnuje také nástroje jako osquery, CyberChef, Elasticsearch, Logstash, Kibana, Suricata a Zeek.

Za projektem stojí společnost Security Onion Solutions, LLC. Vytvářejí a udržují platformu a financují její vývoj pomocí komerčních produktů a služeb ; když se společnost přihlásí k odběru jejich podpůrných nebo profesionálních edic, přispívá k neustálému vývoji projektu v souladu s neustále se měnící situací v oblasti hrozeb.

Doporučené komponenty a nástroje Security Onion

Jednou z jeho největších silných stránek je výběr vestavěných nástrojů a utilit připravených pro korelaci. Sada kombinuje zachytávání paketů, IDS založené na pravidlech a hloubkovou analýzu provozu spolu s HIDS a robustním vyhledávacím/vizualizačním stackem.

Zachycení provozu pomocí netsniff-ng

Mezi komponenty, které fungují na nízké úrovni, patří netsniff-ng. Tato komponenta zachycuje provoz a efektivně spravuje úložiště PCAP , přičemž v případě potřeby odstraňuje stará data, aby se zabránilo přesycení disku. Toto zachycení je nezbytné pro kontrolu důkazů o exfiltraci, phishingových kampaních nebo narušeních, které vyžadují opětovnou kontrolu balíčku, aby se pochopilo co, jak a kdy.

IDS/IPS založené na pravidlech: Suricata a Snort

Security Onion integruje dva veteránské nástroje pro detekci založené na signaturách, které se oba uvádějí na seznamech nejlepších systémů detekce v systému Linux IDS : Suricata a Snort. Tyto nástroje fungují na základě pravidel, která spouštějí upozornění na základě známých vzorců . Spoléhají na „otisky prstů“ uložené v jejich databázích pravidel a představují první linii obrany pro detekci rodin malwaru, známých hrozeb C2, exploitů a dříve popsaného chování.

Analýza sítě se Zeekem

Kromě výše uvedeného používá Zeek (dříve Bro) odlišný přístup. Provádí pasivní inspekci a generuje podrobné protokoly připojení (conn, dns, http, ssl/tls a další). Kromě IP adres, portů a protokolů poskytuje bohaté atributy, jako jsou dotazy DNS, podrobnosti TLS a informace vrstvy 7 pro více protokolů: HTTP, FTP, IRC, SMTP, SSH, SSL a Syslog a další.

Praktický příklad jeho flexibility: pomocné zdroje, jako jsou soubory CSV obsahující firemní informace, lze importovat a propojit s událostmi stahování, přihlášeními nebo jinými aktivitami. Tyto korelace lze poté použít k podpoře antivirového a antimalwarového systému nebo systému SIEM pro zajištění agilnější reakce.

HIDS na koncových bodech s Wazuh

Viditelnost je dále vylepšena pomocí systému IDS založeného na hostiteli. Wazuh monitoruje každý koncový bod pomocí agentů pro Windows, Linux a macOS , analyzuje systémové protokoly, ověřuje integritu souborů, monitoruje zásady a detekuje rootkity. Díky upozorněním v reálném čase a reakčním akcím přidává do vaší bezpečnostní strategie proaktivní vrstvu. Je plně integrován s Elastic Stack pro vyhledávání a vizualizaci.

Nástroje pro vyhledávání a analytiky

Security Onion nabízí Elasticsearch a Kibana pro dotazy a dashboardy spolu s nástroji určenými pro každodenní práci analytiků. Sguil funguje jako most mezi IDS/IPS a zachytáváním paketů , čímž urychluje třídění a kolaborativní vyšetřování. Součástí jsou také Squert, CapMe a další proprietární dashboardy pro lov, PCAP a správu případů.

Další vestavěné nástroje

Pro rychlou analýzu a dekódování zahrnuje platforma CyberChef. Je to švýcarský nůž pro transformaci a zkoumání artefaktů bez opuštění prostředí SOC. Spolu s osquery umožňuje hromadně dotazovat celý pool koncových bodů na stavy a atributy.

Meerkat/Snort vs. Zeek: Doplňkové přístupy

Je důležité rozlišovat mezi dvěma nejběžnějšími detekčními modely na platformě. Suricata a Snort spouštějí upozornění založená na pravidlech a mohou pasivně kontrolovat nebo blokovat (v závislosti na nasazení), zatímco Zeek upřednostňuje generování bohaté telemetrie pro rekonstrukci narativů útoků. Tato kombinace pomáhá detekovat známé hrozby i vyšetřovat ty neznámé.

Viditelnost a analýza v Security Onion: Sguil, Squert, Kibana a CapMe

Dobrý SOC nejen spouští upozornění; potřebuje kontext, spolupráci a pracovní postup. Rozhraní Sguil centralizuje události a umožňuje vám přejít na PCAP , abyste přesně viděli, co se na kabelu stalo. Squert poskytuje agilní zobrazení, Kibana nabízí vlastní vyhledávání a dashboardy a CapMe usnadňuje extrakci relevantních paketů pro daný případ.

Tyto integrované pohledy snižují tření mezi týmy: analytici mohou rychle přiřadit, eskalovat a dokumentovat každý incident, čímž se vyhnou typickému propojení mezi detekcí, vyhledáváním a síťovou forenzní analýzou.

Začínáme s Security Onion: Stažení, dokumentace a virtualizace

Obvyklým výchozím bodem je oficiální repozitář. ISO soubor si můžete stáhnout z GitHubu a předtím si prostudovat dokumentaci , která obsahuje velmi obsáhlou sekci „Začínáme“ s několika způsoby nasazení.

Pokud nemáte k dispozici hostitele s Linuxem, nebojte se: průvodce zahrnuje scénáře virtualizace s VirtualBoxem a VMware , včetně vytvoření specifických virtuálních počítačů pro nastavení sady a spuštění síťových auditů.

Doporučené minimální požadavky

Pro správný začátek samotná dokumentace navrhuje skromný základ: 64bitový procesor se dvěma nebo více jádry, 8 GB RAM, 80 GB místa na disku a síťovou kartu v promiskuitním režimu . V prostředí s vyšším provozem je rozumné zvýšit RAM na 16 GB nebo více a přidat několik stovek GB úložiště (nebo ještě lépe rychlé úložiště) pro zpracování PCAP a sérií protokolů.

Užitečné zkratky: tahák

Dalším užitečným zdrojem je oficiální šablona protokolu. Tento tahák shrnuje příkazy údržby a cesty ke klíčovým souborům , což je ideální pro vyhledávání servisních protokolů, když je málo času.

Novinky a neustálý vývoj

Projekt se rychle rozvíjí, protože konkurence také. Jednou z hlavních nedávných aktualizací je verze 2.4.120 (únor 2025) , která přinesla řadu vylepšení.

• Nové rozhraní upozornění se souhrny poháněnými umělou inteligencí porozumět událostem na první pohled a urychlit reakci.
• Integrovaný Zeek 7, s rozšířenou podporou protokolů jako QUIC, HTTP/2, OpenVPN nebo IPsec, což zlepšuje detekci a analýzu.
• Navigátor ATT&CK vestavěný pro mapování událostí do rámce MITRE ATT&CK a uvážlivé stanovení priorit hrozeb.
• Externí API v Security Onion Pro, užitečné pro vlastní integrace nebo vlastní rozhraní.
• Vyhledávání lokální IP adresy s vlastními popisy viditelnými v SOC, velmi praktické, pokud chybí PTR nebo je třeba zaznamenat kritické IP adresy.

Kromě verze 2.4.120 pokračovala rytmus vydávání verzí 2.4.130, 2.4.140, 2.4.141, 2.4.150, 2.4.160 a 2.4.170 v průběhu roku 2025, což potvrzuje, že cyklus vylepšování je nepřetržitý a že se vyplatí držet krok s aktuálním vývojem.

Běžné případy použití

Security Onion se hodí do mnoha scénářů. Od detekce phishingových pokusů přes lov hrozeb C2, vyšetřování úniků dat až po centralizaci protokolů pro jednotný přehled. Jeho otevřená a modulární povaha pomáhá jej přizpůsobit jak malým a středním firmám, tak i velkým datovým centrům.

Kdy provádět síťové audity s Security Onion?

Pravidelné audity jsou základní součástí každého bezpečnostního programu. Nemusíte čekat na narušení bezpečnosti, abyste mohli prověřit svou síť , ale existují situace, kdy je jejich prioritizace nezbytná.

• Změny v infrastruktuřenové systémy, aplikace nebo IT řešení; ověřte, že vše funguje dobře a bez nových mezer.
• Bezpečnostní incidentyPo úspěšném útoku je audit zásadní pro pochopení vektoru a v případě potřeby pro posílení útoku.
• Problémy s výkonemPomalost nebo odpojení mohou skrývat selhání nebo zneužití, která odhalí audit.
• Obchodní expanzeVíce lokalit, oddělení nebo zaměstnanců mění vzorce chování; je nutná rekalibrace.
• Plánovaná hodnoceníPravidelné prohlídky vám bez zjevného důvodu pomohou předejít strachu.

V každém případě, pokud vám chybí zkušenosti, je moudré spolehnout se na specializované firmy , které testy přizpůsobí prostředí a vyhnou se skrytým nákladům vyplývajícím z nekvalitního provedení.

Nasazení a konfigurace

Nasazení jde nad rámec pouhé instalace a používání systému. Vyžaduje definování síťových rozhraní, senzorů, správy upozornění a pravidel, aby se systém přizpůsobil specifickým potřebám organizace. Dokumentace komunity a oficiální dokumentace poskytují šablony a architektonická doporučení, která vám pomohou začít správně.

Praktická ukázka: vyšetřování exfiltrace

Pro pochopení pracovního postupu navrhujeme praktické cvičení: analýzu případu úniku dat pomocí nástrojů Security Onion.

Import PCAP a příprava prostředí

Před načtením souboru PCAP je vhodné vyčistit upozornění a vizualizace v Elasticsearchu pomocí několika příkazů pro údržbu. Poté importujte soubor .pcap pomocí příslušného nástroje.

Pokud se něco nespustí napoprvé, zkuste restartovat počítač. Security Onion organizuje své služby v kontejnerech Dockeru a po spuštění může chvíli trvat, než se vše zprovozní. Stav kontejnerů v reálném čase si můžete prohlédnout pomocí příkazu `list`.

Nedělejte si starosti, pokud se poslední tři kontejnery zobrazují jako VYPNUTÉ : to pouze znamená, že nedochází k žádnému snímání v reálném čase; PCAP bude stále analyzován pomocí Suricaty a Zeeku.

Škodlivý provoz: Průzkum toků pomocí Security Onion

První tok TCP

1. Seřadit upozornění chronologicky od daného časového vlákna, od nejméně aktuálního po nejnovější, abyste viděli celou sekvenci.
2. Identifikovat Zdrojová IP adresa, cílová IP adresa a porty zapojených do této první výměny směrem k internetu.
3. Všimněte si kuriózního upozornění: PDF je vyžádán přímo od IP adresy místo domény; jaký podpis to způsobuje?
4. Před touto žádostí se objeví uživatelský agent, který se identifikuje jako curl; poznamenejte si pozdější korelace.
5. Poslední upozornění na průtok, co to znamená, že se stalo? Popisuje podmínku, která událost spustí..
6. Otevřete kterékoli z těchto upozornění a načíst celý stream podrobně zkontrolovat všechny zprávy.
7. Co v rámci té rekonstrukce user-agent přesně to vidíš?
8. Zjišťujete? něco podezřelého v těle HTTP odpovědi?
9. Odeslat tuto návštěvnost na kuchyňské prostředí jako CyberChef, aby si s ním hrál.
10. Tam, jdi odstraňování vrstev a transformací až do odhalení zajímavého obsahu.
11. Když dosáhnou jádra, objeví se anomální reference nebo indikátory hodné MOV?

Druhý tok TCP

1. S porty a IP páry Jako vodítko určete, která upozornění patří do tohoto druhého toku.
2. opakujte rekonstrukce dopravy stejně jako předtím pro zobrazení kontextu a datových částí.
3. Najdete Něco neobvyklého v transakcích?

Třetí tok TCP

1. Vyhledejte dvě upozornění, která definují tok a poznámky k klíčovým parametrům (IP adresy, porty, protokol).
2. znovu otevřít vlákno paketu pro podrobnou kontrolu.
3. Co user-agent používá se a jakou akci se požadavek snaží provést?
4. Po této výměně se objeví další Upozornění na HTTPS provoz; podle toho, co jsme viděli, čemu by to odpovídalo?

Čtvrtý TCP stream

1. Najednou vystřelí mnoho různých upozorněníCo se podle tvého vzoru zřejmě stalo?
2. Jak z upozornění se dostanete hlouběji abych viděl, co se přesně stalo?
3. V zobrazení toku, co klíčové stopy jsou oceňovány?

1. Otevřete kartu Hon.
2. hodit a předdefinovaný dotaz který seřadí podle event.module a event.dataset.
3. V části Metriky skupiny zaškrtněte, co typy protokolů, které Zeek shromáždil.
4. V rozbalovací nabídce dotazů vyberte možnost zobrazit všechna připojení podle zdrojové IP adresy, cílové IP adresy, síťového protokolu a cílového portu.
5. Nyní seskupte podle HTTP připojení a cílový port.
6. Objevuje se nějaký neobvyklý port pro HTTP?
7. Pokud ano, označte to jako Zahrnout soustředit se na něj.
8. V Událostech vidíte něco, co stojí za analýzuOtevřete to podrobně, jak už víte.
9. Co nález vzniká tam?

Další detekční cesty

1. Seskupit podle HTTP připojení, metoda a uživatelský agent.
2. Jaký zajímavý vzor by umožnilo identifikaci škodlivého provozu uživatelským agentem?
3. Seskupit podle Virtuální hostitel HTTP.
4. Jakýkoli virtuální hostitel neobvyklé nebo podezřelé což naznačuje škodlivou aktivitu?
5. Seskupit podle oznámení o datové sadě (Zeek).
6. Co podezřelý signál vyčnívá?
7. V sekci Události seskupte podle pole oznámení.podzpráva.
8. Z jaké entity jich většina pochází? TLS certifikátyCo z toho usuzujete?

Podpora, komunita a licence Security Onion

Komunita Security Onion je velmi aktivní: fóra, skupiny a aktualizovaná dokumentace pomáhají odpovídat na otázky a sdílet osvědčené postupy. Pro organizace, které vyžadují více, je k dispozici komerční podpora a edice Pro s dalšími integračními funkcemi.

Co se týče licencování, projekt je bezplatný a open-source software . Podrobnosti a nuance licence lze nalézt na oficiálních webových stránkách a v repozitářích.

Soukromí a externí zdroje

Při vyhledávání informací je běžné procházet vlákna na platformách třetích stran. Například Reddit a jeho partneři používají soubory cookie a podobné technologie k provozování webu, vylepšování služeb, personalizaci obsahu/reklamy a měření výkonu. Můžete přijmout všechny soubory cookie nebo odmítnout nepodstatné a zároveň zachovat základní funkčnost. Při procházení jejich zdrojů si přečtěte jejich oznámení o souborech cookie a ochraně osobních údajů.

Pokud se chcete dozvědět více nebo prozkoumat obchodní možnosti, navštivte prosím naše oficiální webové stránky: securityonionsolutions.com . V případě jakýchkoli dotazů nebo návrhů nás neváhejte kontaktovat a my vám pomůžeme s implementací ve vaší konkrétní situaci.

Security Onion konsoliduje síťové zachytávání, detekci hostitelů a analytiku – nezbytné pro moderní SOC – do jednoho balíčku. Díky Suricata, Snort, Zeek, Wazuh, Elastic, Sguil, Squert, CapMe a CyberChef se přehled rozšiřuje jak do šířky, tak do hloubky. Přidejte k tomu komplexní dokumentaci, možnosti virtualizace, užitečný tahák a robustní harmonogram vydávání s vylepšeními, jako je nové rozhraní upozornění, Zeek 7 a ATT&CK Navigator, a máte solidní základ pro vyhledávání hrozeb a reakci na incidenty pro firmy všech velikostí.