Security Onion, açık kaynaklı bir Linux dağıtımı olup, ağ güvenliği izleme (NSM), tehdit avcılığı (threat hunting) ve olay müdahale süreçleri için geliştirilmiş kapsamlı bir platformdur. İçerisinde SIEM, IDS/IPS, log yönetimi ve adli analiz araçları barındırır ve SOC ekiplerinin verimli çalışması için geliştirilmiştir.
Bu platform, güvenlik analistlerinin ağ trafiğini, güvenlik olaylarını ve tehditleri merkezi bir panel üzerinden yönetmesini sağlar. İçerisinde TheHive, Playbook, Fleet, osquery, CyberChef, Elasticsearch, Logstash, Kibana, Suricata, Zeek, Wazuh gibi birçok güçlü güvenlik aracı bulunur. Security Onion platformu ayrıca sunucu ve sensörlerin yönetimi için Secure SHell (SSH) ve Web istemcisi uzaktan erişimi gibi çeşitli yönetim yöntemleri de sağlar. Security Onion, açık kaynaklı ve ücretsiz olmasıyla öne çıkar. Tüm bunlar, örnek kötü niyetli trafiği yeniden oynatma ve analiz etme yeteneği ile birlikte Security Onion’u Ağ Güvenliği Yönetimi için uygun ve düşük maliyetli bir alternatif haline getirmektedir.
Security Onion’ın Bazı Özellikleri
~ Ağ ve Uç Nokta Güvenliği İzleme:
- Suricata ve Zeek kullanarak güvenlik tehditlerini tespit eder.
- Gerçek zamanlı olarak ağ trafiğini analiz edip saldırıları belirleyebilir.
- IDS/IPS işlevi ile şüpheli trafiği algılar ve uyarılar oluşturur.
~ SIEM ve Log Analizi:
- Elasticsearch, Logstash ve Kibana (ELK) ile güçlü bir merkezi log yönetimi sunar.
- Günlükleri (logları) toplayıp analiz ederek tehdit avcılığı yapmaya olanak tanır.
- Olayları ve anormallikleri görselleştirerek analizi kolaylaştırır.
~ Tehdit Avcılığı (Threat Hunting):
- MITRE ATT&CK çerçevesiyle uyumlu olarak tehditleri sınıflandırır.
- Şüpheli olayları analiz etmek için filtreleme ve korelasyon teknikleri sunar.
~ Olay Müdahale ve Adli Analiz:
- TheHive entegrasyonu ile güvenlik olaylarını daha verimli yönetmeyi sağlar.
- CyberChef ile veri analizi ve şifreleme/deşifre işlemlerini destekler.
- NetworkMiner ile saldırı sonrası adli inceleme imkanı sunar.
~ Kolay Kullanım ve Otomasyon:
- Security Onion Console (SOC) sayesinde tek bir web arayüzünden tüm olayları yönetebilir.
- Olay müdahale süreçlerini otomatikleştirme imkanı sunar.
Diğer SIEM ürünleriyle kıyaslandığında açık kaynaklı ve ücretsiz olmasıyla ön plana çıkar, ancak manuel yapılandırma diğer ürünlere nazaran daha fazladır. Aşağıda; piyasada en çok kullanılan diğer iki SIEM ürünüyle karşılaştırması verilmiştir.
SECURITY ONION ARAYÜZÜ
Aşağıda Security Onion arayüzü ve solda üç çizgiyi tıkladığımızda karşımıza çıkan seçenekleri görüyoruz. Bu seçenekleri tek tek yorumlayabiliriz. Overview kısmı, genel bilgilendirmelerin yer aldığı kısımdır. Alt kısımda kişiselleştirmek istersek ne yapmamız gerektiğini anlatır.
Şimdi sırayla seçeneklerin aslında ne anlattığına bakabiliriz:
Alerts : Suricata’dan gelen tüm NIDS uyarılarınızı görmenizi sağlayan ‘Alerts’ arayüzümüzü içerir. Burada hangi alarmların geldiğini veya zaman filtrelemesi yaparak son kaç saatte gelen alarmlara bakmamız gerektiğini seçebiliyoruz. Ayrıca alarmların ne seviyede önemli olduğu bilgisini de edinebiliriz. (critical, high, low gibi). Ayrıca timestamp ile geliş zamanlarına göre sıralama yapabiliriz. Options kısmından ‘Acknowledged’ seçtiğimizde de false-positive olarak işaretlediğimiz alarmaları da görüntüleyebiliriz veya L2/L3’e escale edttiğimiz alarmlarımızı da görüntüleyebiliriz. Alarmların üzerine tıkladığımızda soruce ip, source port ve source country bilgilerini de edinebiliriz.
Dashboards: Security Onion Console (SOC) , yalnızca NIDS uyarılarına değil, aynı zamanda Zeek veya Suricata’dan gelen ağ meta veri loglarına ve topluyor olabileceğimiz diğer loglara güzel bir genel bakış sağlayan Dashboards dediğimiz gösterge tablolarını barındıran arayüzü de içerir.
Hunt: Çeşitli filtreler aracılığıyla dashboard kısmındaki gibi grafiklerle sadece belirli olayların ele alınarak threat hunting yapılmasını sağlayan sekmedir. Alert modülündeki bir olayı buraya göndererek inceleme yapmamıza olanak tanır. Buradaki önemli detaylardan biri eventlerin üzerine tıkladığımızda bize bazı seçenekler çıkarması, bunlar arasında direkt olarak o ip adresi üzerinden VirusTotal e gönderebilmesi, kullanışlı özelliklerden biri olarak karşımıza çıkıyor.
Cases: Vaka yönetimi arayüzüdür. Alerts veya Hunt tarafından eventleri buraya yönlendirip incelememizi sağlar. Burada üzerimize aldığımız bir case i ‘In Progress’ a çekip diğer çalışanlar açıısndan zaman kaybını önleyebiliriz.
PCAP: Pcap dosyalarını analiz etmeyi sağlayan bölümdür. Wireshark gibi pcap dosyaları üzerinde filtrelemeler yapmamızı sağlar. Tespit edilen paketler bu sekmede detaylı incelenebilir.
Grid: Security onion bileşenlerini yönettiğimiz pencere diyebiliriz. Büyük ölçekli ağ güvenliği izleme süreçlerini merkezi bir şekilde kontrol etmek için kullanılır.
Downloads: Security Onion Agent’ı üzerinde bulunan araçları yükleme, ekleme ve güncelleme gibi işlemleri yapabildiğimiz alandır.
Administrator: Sistem üzerindeki kullanıcıları görmemizi sağlayan sekmedir. User için ekleme, çıkarma veya güncelleme yapbileceğimiz alandır.
Kibana : Kibana, Elastic Stack (ELK) içinde yer alan güçlü bir veri görselleştirme ve analiz aracıdır. Security Onion içinde, log verilerini analiz etmek, güvenlik olaylarını izlemek ve threat hunting yapmak için kullanılır. Logların raw hallerini görüntüleyebilir, hunting yapabilir ve network ile ilgili pcap alabilmeyi ve bunları Kibana’nın sağlamış olduğu dashboard üzerinden grafikselleştirip trafik incelemeleri gibi grafik olarak erişebilmeyi sağlar.
CyberChef: Hash kırma , hash kontrolleri , regex işlemleri gibi işlemleri, url encode ve decode ve hash dönüştürme, decrypt ve encrypt gibi işlemleri sağlayan sekmedir.
Son olarak eğer, Security Onion kurulum adımlarını nasıl yapacağınızı görmek isterseniz, tek tek ekran resimleriyle anlatımı kendi sitesinde mevcut. Şu link üzerinden ulaşabilirsiniz —–> https://blog.securityonion.net/
