<\/span><\/h2>\nSuricata zapisuje ustrukturyzowane dane o zdarzeniach w pliku eve.json<\/code>. Integracja Sycope przetwarza skonfigurowane typy zdarze\u0144, przy czym alert<\/code> i anomaly<\/code> s\u0105 domy\u015blnie w\u0142\u0105czone. Mo\u017ce r\u00f3wnie\u017c importowa\u0107 zdarzenia dns<\/code>, http<\/code>, tls<\/code> i fileinfo<\/code>, je\u015bli te typy zostan\u0105 w\u0142\u0105czone w konfiguracji integracji. Te dodatkowe typy zdarze\u0144 s\u0105 wymagane do zasilania dashboard\u00f3w Protocols<\/strong> i File Analysis<\/strong>. Wdro\u017cenie wykorzystuj\u0105ce wy\u0142\u0105cznie domy\u015bln\u0105 konfiguracj\u0119 alert<\/code> i anomaly<\/code> nie dostarczy danych protoko\u0142\u00f3w i plik\u00f3w wymaganych przez te widoki.<\/p>\nSkrypt integracyjny przekszta\u0142ca wybrane zdarzenia do struktury wymaganej przez dedykowany custom index w Sycope i wysy\u0142a je przez Sycope REST API. Pomi\u0119dzy kolejnymi uruchomieniami zapisywany jest timestamp, aby wcze\u015bniej przetworzone zdarzenia nie by\u0142y ponownie importowane.<\/p>\n
Po udost\u0119pnieniu danych w Sycope zdarzenia Suricata mog\u0105 by\u0107 przeszukiwane, filtrowane i wizualizowane razem z innymi informacjami sieciowymi. Repozytorium integracji udost\u0119pnia r\u00f3wnie\u017c gotowy do importu dashboard pokazuj\u0105cy trendy alert\u00f3w w czasie, najcz\u0119\u015bciej wyst\u0119puj\u0105ce signatures oraz adresy \u017ar\u00f3d\u0142owe i docelowe IP najcz\u0119\u015bciej pojawiaj\u0105ce si\u0119 w zdarzeniach.<\/p>\n
Tworzy to bezpo\u015bredni\u0105 \u015bcie\u017ck\u0119 od detekcji bezpiecze\u0144stwa do ruchu i komunikacji zwi\u0105zanej z systemami obj\u0119tymi zdarzeniem.<\/p>\n
Zamiast pracowa\u0107 wy\u0142\u0105cznie na informacjach zawartych w pojedynczym zdarzeniu Suricata, analityk mo\u017ce wykorzysta\u0107 historyczne dane sieciowe Sycope, aby sprawdzi\u0107, co dzia\u0142o si\u0119 w czasie zbli\u017conym do detekcji, i oceni\u0107 zdarzenie w szerszym kontek\u015bcie operacyjnym.<\/p>\n
<\/span>Uzupe\u0142niaj\u0105ce si\u0119 mo\u017cliwo\u015bci, z jasno okre\u015blonym podzia\u0142em r\u00f3l<\/span><\/h2>\nSuricata i Sycope pozostaj\u0105 niezale\u017cnymi produktami. Integracja nie zast\u0119puje Suricaty ani nie zmienia jej roli w zakresie detekcji. Przekazuje wybrane zdarzenia bezpiecze\u0144stwa do Sycope, dzi\u0119ki czemu mog\u0105 by\u0107 analizowane razem z danymi o ruchu sieciowym.<\/p>\n
Suricata zapewnia:<\/strong><\/p>\n\n- Generowanie zdarze\u0144 bezpiecze\u0144stwa<\/li>\n
- Wykrywanie alert\u00f3w i anomalii<\/li>\n
- Eksport zdarze\u0144 w formacie EVE JSON<\/li>\n
- Informacje oparte na signatures zwi\u0105zanych z wykryt\u0105 aktywno\u015bci\u0105<\/li>\n
- Informacje o \u017ar\u00f3dle i celu dla wykrytych zdarze\u0144<\/li>\n<\/ul>\n
Sycope zapewnia:<\/strong><\/p>\n\n- Analiz\u0119 sieci opart\u0105 na flow data<\/li>\n
- Historyczne dane o komunikacji sieciowej<\/li>\n
- Widoczno\u015b\u0107 komunikacji host-to-host<\/li>\n
- Kontekst dotycz\u0105cy wydajno\u015bci sieci<\/li>\n
- Wyszukiwanie i filtrowanie danych sieciowych<\/li>\n
- Dashboardy i wizualizacj\u0119<\/li>\n
- Korelacj\u0119 zdarze\u0144 Suricata z aktywno\u015bci\u0105 sieciow\u0105<\/li>\n<\/ul>\n
Suricata identyfikuje aktywno\u015b\u0107 odpowiadaj\u0105c\u0105 jej logice detekcji. Sycope dodaje otaczaj\u0105cy kontekst sieciowy i histori\u0119, kt\u00f3re pomagaj\u0105 analitykom zrozumie\u0107, jak dane zdarzenie odnosi si\u0119 do pozosta\u0142ej komunikacji w \u015brodowisku.<\/p>\n
<\/span>Dlaczego threat detection i historia ruchu sieciowego lepiej dzia\u0142aj\u0105 razem<\/span><\/h2>\nZdarzenie bezpiecze\u0144stwa stanowi wa\u017cny sygna\u0142, \u017ce okre\u015blona aktywno\u015b\u0107 wymaga uwagi. Podczas analizy analitycy cz\u0119sto potrzebuj\u0105 jednak zrozumie\u0107, co wydarzy\u0142o si\u0119 przed zdarzeniem i w jego otoczeniu, kt\u00f3re systemy si\u0119 komunikowa\u0142y oraz czy aktywno\u015b\u0107 by\u0142a odizolowana, czy stanowi\u0142a cz\u0119\u015b\u0107 szerszego wzorca.<\/p>\n
Historyczne flow data zapewniaj\u0105 t\u0119 dodatkow\u0105 perspektyw\u0119.<\/p>\n
<\/span>Kontekst wok\u00f3\u0142 wykrytego zdarzenia<\/span><\/h3>\nAlert Suricaty identyfikuje okre\u015blone zdarzenie bezpiecze\u0144stwa. Gdy zdarzenie jest ju\u017c dost\u0119pne w Sycope, mo\u017ce by\u0107 analizowane razem z historycznym ruchem zwi\u0105zanym z systemem \u017ar\u00f3d\u0142owym i docelowym.<\/p>\n
Pozwala to analitykom rozszerzy\u0107 analiz\u0119 poza pojedyncz\u0105 detekcj\u0119 i przejrze\u0107 komunikacj\u0119 wyst\u0119puj\u0105c\u0105 w tym samym czasie.<\/p>\n
Informacje dotycz\u0105ce wolumenu ruchu, partner\u00f3w komunikacji, protoko\u0142\u00f3w oraz czasu nawi\u0105zywania po\u0142\u0105cze\u0144 mog\u0105 dostarczy\u0107 dodatkowego kontekstu przy ocenie znaczenia i potencjalnego wp\u0142ywu zdarzenia.<\/p>\n
Celem nie jest zast\u0105pienie informacji generowanych przez Suricat\u0119, ale osadzenie ich w aktywno\u015bci sieciowej, z kt\u00f3rej pochodz\u0105.<\/p>\n
<\/span>Historyczne dane sieciowe podczas analizy<\/span><\/h3>\nIntegracja udost\u0119pnia detekcje Suricata na platformie, kt\u00f3ra przechowuje r\u00f3wnie\u017c histori\u0119 flow data.<\/p>\n
Jest to przydatne, gdy analiza wymaga informacji z okresu poprzedzaj\u0105cego wygenerowanie alertu. Analitycy mog\u0105 wykorzysta\u0107 historyczne dane sieciowe, aby przejrze\u0107 wcze\u015bniejsz\u0105 komunikacj\u0119 i ustali\u0107, czy detekcja stanowi pojedyncze zdarzenie, czy jest powi\u0105zana z wcze\u015bniejsz\u0105 aktywno\u015bci\u0105 dotycz\u0105c\u0105 tych samych system\u00f3w.<\/p>\n
To samo podej\u015bcie mo\u017cna wykorzysta\u0107 do analizy komunikacji po wyst\u0105pieniu zdarzenia i sprawdzenia, czy aktywno\u015b\u0107 zwi\u0105zana z danymi hostami by\u0142a kontynuowana.<\/p>\n
Zapewnia to szersz\u0105 timeline analizy bez konieczno\u015bci pozyskiwania wszystkich historycznych danych sieciowych bezpo\u015brednio z Suricaty.<\/p>\n
<\/span>Korelacja z innymi zachowaniami sieciowymi<\/span><\/h3>\nZdarzenia Suricata zaimportowane do Sycope staj\u0105 si\u0119 kolejnym \u017ar\u00f3d\u0142em informacji dost\u0119pnym podczas analizy sieciowej.<\/p>\n
Analityk badaj\u0105cy alert mo\u017ce por\u00f3wna\u0107 go z wzorcami komunikacji i innymi obserwacjami sieciowymi dotycz\u0105cymi tych samych host\u00f3w. Pomaga to powi\u0105za\u0107 signature lub anomaly wykryte w konkretnym momencie z zachowaniem widocznym w d\u0142u\u017cszym okresie.<\/p>\n
W efekcie analiza \u0142\u0105czy dwa r\u00f3\u017cne rodzaje danych: zdarzenie bezpiecze\u0144stwa wygenerowane przez Suricat\u0119 oraz histori\u0119 sieciow\u0105 przechowywan\u0105 przez Sycope.<\/p>\n
<\/span>Szybszy dost\u0119p do istotnego kontekstu<\/span><\/h3>\nBez integracji analitycy mog\u0105 by\u0107 zmuszeni najpierw zidentyfikowa\u0107 alert w jednym systemie, a nast\u0119pnie r\u0119cznie odtworzy\u0107 zwi\u0105zan\u0105 z nim aktywno\u015b\u0107 sieciow\u0105 w innym narz\u0119dziu.<\/p>\n
Importowanie zdarze\u0144 Suricata do Sycope zapewnia wsp\u00f3lny punkt, z kt\u00f3rego analityk mo\u017ce wyszuka\u0107 zdarzenie i kontynuowa\u0107 analiz\u0119 sieciow\u0105.<\/p>\n
Gotowe dashboardy i mo\u017cliwo\u015bci filtrowania pozwalaj\u0105 r\u00f3wnie\u017c analizowa\u0107 powtarzaj\u0105ce si\u0119 signatures, hosty zwi\u0105zane ze zdarzeniami oraz zmiany aktywno\u015bci alert\u00f3w w czasie.<\/p>\n
<\/span>Zdarzenia Suricata jako cz\u0119\u015b\u0107 analitycznego workflow w Sycope<\/span><\/h2>\nPo zaimportowaniu do dedykowanego custom indexu dane Suricata mog\u0105 by\u0107 przetwarzane przy u\u017cyciu mo\u017cliwo\u015bci analitycznych dost\u0119pnych w Sycope.<\/p>\n
Gotowy dashboard dostarczany razem z integracj\u0105 zawiera widoki pokazuj\u0105ce trendy alert\u00f3w, najcz\u0119\u015bciej wyst\u0119puj\u0105ce signatures Suricata oraz \u017ar\u00f3d\u0142owe i docelowe adresy IP najcz\u0119\u015bciej powi\u0105zane ze zdarzeniami.<\/p>\n
Zespo\u0142y mog\u0105 r\u00f3wnie\u017c tworzy\u0107 lub modyfikowa\u0107 dashboardy zgodnie z w\u0142asnymi wymaganiami operacyjnymi. Obecny artyku\u0142 Sycope opisuje dashboardy jako konfigurowalne, dzi\u0119ki czemu dane Suricata mog\u0105 by\u0107 prezentowane zgodnie z potrzebami konkretnego security workflow.<\/p>\n
Dzi\u0119ki temu integracja mo\u017ce by\u0107 wykorzystywana zar\u00f3wno do analizy pojedynczych incydent\u00f3w, jak i do identyfikowania powtarzaj\u0105cych si\u0119 wzorc\u00f3w w wi\u0119kszym zbiorze zdarze\u0144 Suricata.<\/p>\n
Przyk\u0142adowo rosn\u0105c\u0105 liczb\u0119 zdarze\u0144 zwi\u0105zanych z konkretn\u0105 signature mo\u017cna analizowa\u0107 w czasie, a informacje o najcz\u0119\u015bciej wyst\u0119puj\u0105cych \u017ar\u00f3d\u0142ach i celach mog\u0105 pom\u00f3c zidentyfikowa\u0107 systemy wielokrotnie pojawiaj\u0105ce si\u0119 w detekcjach.<\/p>\n
Analityk mo\u017ce nast\u0119pnie kontynuowa\u0107 analiz\u0119 z wykorzystaniem danych sieciowych dost\u0119pnych w Sycope, zamiast traktowa\u0107 dashboard wy\u0142\u0105cznie jako widok raportowy.<\/p>\n
<\/span>Gotowa i udokumentowana integracja<\/span><\/h2>\nRepozytorium zawiera oparty na Pythonie event processor, pliki konfiguracyjne, skrypty instalacyjne i deinstalacyjne, przyk\u0142ady oraz cztery gotowe do importu dashboardy Sycope: Overview, Alert Analysis, Protocols i File Analysis<\/strong>.<\/p>\nDomy\u015blnie integracja przetwarza zdarzenia alert<\/code> i anomaly<\/code>. Mo\u017ce r\u00f3wnie\u017c importowa\u0107 zdarzenia dns<\/code>, http<\/code>, tls<\/code> i fileinfo<\/code>, je\u015bli te typy zostan\u0105 w\u0142\u0105czone w konfiguracji integracji. Dodatkowe typy zdarze\u0144 s\u0105 wymagane do zasilania dashboard\u00f3w Protocols<\/strong> i File Analysis<\/strong>, dlatego wdro\u017cenie korzystaj\u0105ce wy\u0142\u0105cznie z domy\u015blnej konfiguracji nie dostarczy danych dla tych widok\u00f3w.<\/p>\nIntegracja obs\u0142uguje r\u00f3wnie\u017c whitelisty i blacklisty pozwalaj\u0105ce kontrolowa\u0107, kt\u00f3re alerty i anomalies Suricata s\u0105 importowane. Dzi\u0119ki temu konkretne signatures lub typy anomalii mog\u0105 zosta\u0107 uwzgl\u0119dnione albo wykluczone zgodnie z wymaganiami danego \u015brodowiska.<\/p>\n
Aktualne wymagania:<\/p>\n
\n- Python 3.8 lub nowszy<\/li>\n
- Suricata 6.0 lub nowsza<\/li>\n
- Sycope 3.1 lub nowszy z dost\u0119pem do API<\/li>\n
- Modu\u0142 Python
requests<\/code><\/li>\n<\/ul>\nSuricata pozostaje instalowana i konfigurowana niezale\u017cnie. Integracja nie wdra\u017ca ani nie konfiguruje samej Suricaty; dostarczone komponenty odpowiadaj\u0105 za przetwarzanie jej EVE JSON output i przesy\u0142anie wybranych zdarze\u0144 do Sycope poprzez REST API.<\/p>\n