开源安全态势感知平台Security Onion

简介

Security Onion是一款由安全防御职员为安全防御职员构建的免费开放平台。它包罗网络可见性、主机可见性、入侵检测蜜罐、日记管理和案例管理等功能。具体信息可以检察官网Security Onion Solutions
在网络可见性方面，Security Onion提供了基于署名的检测（通过Suricata）、利用Zeek或Suricata举行的丰富协议元数据和文件提取、利用Stenographer或Suricata举行的全包捕获，以及文件分析。
在主机可见性方面，它提供了Elastic Agent，该工具可实现数据网络、通过osquery举行的及时查询，以及利用Elastic Fleet举行的会集管理。别的，还可以将基于OpenCanary的入侵检测蜜罐添加到摆设中，以得到更多企业级可见性。

摆设架构

摆设Security Onion，起首你必要决定你想要哪种范例的摆设。可以是个人条记本电脑上的小型假造机中临时导入安装，也可以是由管理节点、多个搜刮节点和大量转发节点构成的大型可扩展企业摆设的安装方式。
import

最简单的架构。import是一个独立的盒子，它仅运行充足的组件以便可以或许通过Grid页面导入pcap或evtx文件。它不支持添加Elastic署理或其他Security Onion节点。

Evaluation

evaluation评估架构,它比import架构稍微复杂一些，由于它有一个网络接口专门用于从TAP或SPAN端口嗅探及时流量。进程会监控该嗅探接口上的流量并天生日记。Elastic Agent网络这些日记并直接发送到Elasticsearch，在那里它们被分析并索引。评估模式旨在快速安装，以便临时测试Security Onion。它完全不实用于生产环境，也不支持添加Elastic署理或其他Security Onion节点。

Standalone

standalone独立架构与evaluation评估架构类似，全部组件都运行在同一个盒子上。然而，与Elastic Agent直接将日记发送到Elasticsearch差异，在独立架构中，Elastic Agent将日记发送到Logstash，Logstash再将日记发送到Redis举行列队。第二个Logstash管道从Redis中提取日记，并将它们发送到