Краткая история о создании системы мониторинга сетевой безопасности
Была построена собственная система мониторинга сетевой безопасности для интернет-провайдера, которая в реальном времени анализирует трафик и помогает обнаруживать атаки. Система включает в себя такие компоненты, как Zeek, Suricata, OpenSearch и ClickHouse. Это решение позволяет автоматически блокировать наиболее агрессивные IP на пограничном маршрутизаторе Cisco.
Подробности
Система мониторинга сетевой безопасности, которая была разработана нашим коллективом, состоит из следующих компонентов: Zeek - система обнаружения и предотвращения вторжений, Suricata - система обнаружения и предотвращения вторжений на основе правил, OpenSearch - поисковая система и движок аналитики для обнаружения аномальной активности, ClickHouse - база данных для хранения и обработки данных о трафике. Также мы используем Redis в качестве посредника между этими компонентами. Кроме того, мы разработали Python-детекторы для обнаружения специфических угроз и интегрировали систему с Telegram для отправки алертов. Наши разработки позволяют нам автоматически блокировать наиболее агрессивные IP на пограничном маршрутизаторе Cisco. Система способна обрабатывать около 13 миллионов соединений от 170 тысяч уникальных IP за сутки и может обнаруживать до 144 тысяч попыток SSH-брутфорса в день.Что делать
Для того, чтобы построить_ownную систему мониторинга сетевой безопасности, необходимо начать с выбора необходимых компонентов, исходя из своих потребностей. Важно учитывать конкретные угрозы, которые вы хотите обнаружить и предотвратить, и выбрать наиболее подходящие инструменты для этого. Также важно учитывать объемы и скорость сетевого трафика, чтобы выбрать наиболее подходящую инфраструктуру и базы данных. Кроме того, важно настроить систему для автоматического обновления и корректировки правил обнаружения аномальной активности. Итог: Система мониторинга сетевой безопасности, которую мы разработали, является эффективным решением для обнаружения и предотвращения атак. Она позволяет автоматически блокировать наиболее агрессивные IP и отправлять алерты в Telegram. Мы рекомендуем рассмотреть данное решение для построения собственной системы мониторинга сетевой безопасности.Источник: Хабр — Системное администрирование