نظام Open Source Security Information Management

[علي الشمري]

السلام عليكم ورحمة الله وبركاته

منذ فترة لم نكتب عن حاجة جديدة والسبب العمل، ولهذا قررت أكتب عن بعض الأمور التي أستعملها في عملي وبعض التقنيات والطرق أيضاً التي أستعملها في إدارة العمل … في البداية ربما الكثير منا يظن بإن الحماية والأمن هي فقط أمن المواقع وهذا أمر ليس صحيحاً، ولهذا نرى الكثيرين يهتمون بهذا الجانب وينسون جوانب أخرى كثيرة … المحافظة على Assets الشركة هي أمن، المراقبة والمتابعة للخدمات وكيف هو عملها وأداءها هو أمن، المتابعة والمراقبة لسجلات الأنظمة والخدمات هو أيضاً أمن، ومعرفة ما يدخل الى شبكتك وماذا يخرج منها هو أيضاً أمن وغيرها الكثير من الأمور …

طيب لمراقبة الشبكة تستعمل ntop ولمراقبة الخدمات والخوادم تستعمل Nagios ولمراقبة الحزم ربما تستعمل tcptrack ولمراقبة الـ MAC Addresses تستعمل ArpWatch ولمراقبة هل هناك هجمات أو لا من خلال IDS تستعمل Snort وغيرها من الأدوات التي تستعملها للمراقبة والمتابعة لما يخص الشبكة التي تشرف عليها … طيب أنظر الى حجم العمل الذي سيكون على كاهلك والسبب وجود عدة برامج وعدة روابط وبرامج للمتابعة … ستتنقل بين متابعة Nagios و Snort وغيرها من البرامج كل مرة … متعب صح ؟

وأيضاً لو كانت الإدارة تطلب منك تقارير إسبوعية عن حالة الشبكة والخدمات التي عليها كيف ستعمل ذلك وأنت تستعمل هذه البرامج بهذه الطريقة؟ الجواب مهلك بصراحة وأكثر من ما تتوقعون حتى لو كانت الشبكة صغيرة جداً فما بالك حين يكون حجمها عشرات من الخوادم ومئات الموظفين وأجهزتهم !!!

هنا يأتي نظام OSSIM والذي هو إختصار لـ Open Source Security Information Management … والذي يصفه المطورون بإنه الهدف من عمله هو لتوفير تجميع شامل من البرامج حين تعمل مع بعضها البعض توفر لمدير الشبكة أو المسؤول الأمني عنها تفاصيل كاملة عن كل النواحي الموجودة في شبكته سواءاً الشبكة، الأجهزة، الوصول الفيزيائي لها، الخوادم، الى آخره.

أيضاً ما يوفره هذا النظام بالإضافة الى البرمجيات مفتوحة المصدر التي يستعملها هو نظام إرتباط لعدة مستويات من التصورات بالإضافة الى إمكانية عمل التقارير وأدوات لإدارة الحوادث وكل هذا يعمل على مجموعة معرفة من الـ Assets مثل الأجهزة، الشبكات، المجموعات والخدمات.

جميع هذه المعلومات ممكن أن يتم حصرها بناءاً على الشبكة أو الـ Sensor وذلك لعرض المعلومات التي تريدها فقط … وأيضاً إمكانية إستعمال عدة مستخدمين للنظام وذلك لإعطاء مثلاً كل مستخدم وظيفة معينة (مثلاً فريق الحماية في الشركة، يعطى لكل شخص في الفريق إمكانية العمل على وظائفه الخاصة فقط، ولن يرى باقي التفاصيل) بناءاً على بيئة العمل … مع إمكانية إستعمال النظام للعمل كـ IPS أي Intrusion Prevention System وذلك بناءاً على نظام الإرتباط المبني على المعلومات التي لديه … كل هذا بالنهاية سيعطي إضافة حقيقية لأي Security Professional …

النظام مبني على دبيان أعتقد 4.10 والله أعلم، وكان يستعمل بالسابق رخصة BSD وقبل فترة أنتقل مطوروه الى رخصة GPL وذلك حسب ما فهمت لإعطاء حرية أكبر … النظام يحتوي على البرامج التالية:

* Arpwatch, used for mac anomaly detection.
* P0f, used for passive OS detection and os change analisys.
* Pads, used for service anomaly detection.
* Nessus, used for vulnerability assessment and for cross correlation (IDS vs Security Scanner).
* Snort, the IDS, also used for cross correlation with nessus.
* Spade, the statistical packet anomaly detection engine. Used to gain knowledge about attacks without signature.
* Tcptrack, used for session data information which can grant useful information for attack correlation.
* Ntop, which builds an impressive network information database from which we can get aberrant behaviour anomaly detection.
* Nagios. Being fed from the host asset database it monitors host and service availability information.
* Osiris, a great HIDS.
* OCS-NG, Cross-Platform inventory solution.
* OSSEC, integrity, rootkit, registry detection and more.

تخييل كل هذه مربوطة مع بعضها البعض وكلها تحت واجهة واحدة ؟ صدقوني جربوا تستعملوا هذه البرامج بشكل منفصل وستعرفون كم هو رهيب أن تجدها في مكان واحد … أنظر الى حجم المعلومات التي ستحصل عليها من خلال هذه البرامج وكلها مفيدة بدون شك …

هذا الموضوع هو الجزء الأول فقط، من ما يخص OSSIM سأكمل الحديث عن أمور أخرى حول هذا النظام، منها:

أولاً: كيفية بناءاً المجموعات أو إضافة الأجهزة مع كيفية مراقبتها من خلال Ntop و Nagios.
ثانياً: كيفية ربط الأجهزة بالشبكة سواءاً تستعمل جنو/لينوكس أو ويندوز مع مستودع OCS-NG من خلال الـ Agent الخاص بها.
ثالثاً: كيفية إضافة الـ Agent الخاص بـ OSSEC والذي هو الـ HIDS.
رابعا: كيفية عمل Scan من خلال Nessus أو Nmap من خلال النظام وما هي فائدة ذلك.
خامساُ: غير ذلك، نجيها بوقتها

أليكم بعض الصور من النظام:

صفحة المخططات الرئيسية لمختلف الأمور


صفحة برنامج Ntop


صفحة برنامج Ntop مع الـ Sessions المفتوحة حالياً


صفحة برنامج Nagios


صفحة المخططات التوضيحة للمخاطر التي عندك


صفحة إعدادات المستخدمين للنظام


صفحة الـ Correlation Directives


صفحة الأحداث التي يعرضها لنا BASE (لمن أستعمل Snort فبدون شك يعرف ما هو Basic Analysis & Security Engine هذا)


صفحة أنواع الحوادث


طبعاً هذا ليس كل شيء، ولكنها عبارة عن عينة فقط، إن شاء الله نتعرف على المزيد لاحقاً، وأتمنى يكون الجميع لديه النظام ليكون العمل أسهل


الموقع الرسمي للنظام | أضغط
لتحميل النظام (Stable) نسخة 1.0.6 | من هنا
لتحميل النظام (Beta) نسخة 1.1beta | من هنا

في الأخير لن أقوم بشرح كيفية تنصيب النظام، لأنه بصراحة سهل جداً وسهولته تصل لحد السخافة أن أقوم بأمانة بشرح ذلك … هذه المجموعة من المطورين (المدريديين ) عملوا إنجاز بأمانة وأنجاز صعب تتخييله إلا لو أستعملت ولو بعض هذه البرمجيات لوحدها … أنصح كل من يود التعلم أن يقوم بتركيب هذا النظام ولو على VMware والبدأ بالتعلم …

لي عودة لإكمال الشرح إن شاء الله لاحقاً … إن شاء الله يفيدكم ويكون محل فائدة لكم، ولا تنسوني من دعواتكم

دمتم بود

[مسلم عادل]

موضوعك جاء في وقته خخخخخخخخخخخ

[علي الشمري]

موضوعك جاء في وقته خخخخخخخخخخخ

لم ترى شيء بعد

بس جد النظام روعة نزله وشوف وأدعيلي أهم شي

[KING SABRI]

إيش المواضيع المخالفة هذه؟

من فضلك اقرأ القوانين الخاصة بالمجتمع


تسلم إيديك يا أبو محمد و الله إن شاء الله راح يتطبق على العميل إللي طايح تحت إيدي هههههههههههه

تم إسناد المهمه إليّ خلاص و صرت إنت المسؤول أمامي


تحياتي و حترامي أستاذي

[MOSAB]

وعليكم السلام ورحمة الله وبركاته


الصور في الموضوع صفحات ويب ؟

راح يكون عندنا معمل في الاجازة وان شاء الله النظام اركبه على السيرفر

في انتظار باقي الشرح

[KING SABRI]

للشباب اللذين تحدثهم نفسهم ::: يا ريته شرح طريقة التنصيب

لقطات التنصيب مرفقه

تحياتي و احترامي

[علي الشمري]

السلام عليكم ورحمة الله وبركاته

بالبداية أشكر جميع من مر من هنا وقام بشكري على الموضوع وإن شاء الله في العطلة الأسبوعية هذه أحاول إنهاء باقي الأجزاء التي وعدت بها

إيش المواضيع المخالفة هذه؟

من فضلك اقرأ القوانين الخاصة بالمجتمع

تسلم إيديك يا أبو محمد و الله إن شاء الله راح يتطبق على العميل إللي طايح تحت إيدي هههههههههههه

تحياتي و حترامي أستاذي

تم إسناد المهمه إليّ خلاص و صرت إنت المسؤول أمامي
الله يسلمك يارب أخوي صبري وإن شاء الله يفيدك النظام إنت ومديرك
راح احاول اخلص الأمر هذا الأسبوع بإذن الله

وعليكم السلام ورحمة الله وبركاته
الصور في الموضوع صفحات ويب ؟
راح يكون عندنا معمل في الاجازة وان شاء الله النظام اركبه على السيرفر
في انتظار باقي الشرح

أهلا اخوي مصعب ... لم افهم سؤالك حول الصور بصراحة
نعم عندك مو معمل وراك معامل يا خوي، ولكن كلها إن شاء الله بالمحصلة تكون لصالحك ولفائدتك بإذن الله ... باقي الشرح في الإجازة إن شاء الله ... شكرا لمرورك ...

للشباب اللذين تحدثهم نفسهم ::: يا ريته شرح طريقة التنصيب

لقطات التنصيب مرفقه

تحياتي و احترامي

ألف شكر على الإضافة أخوي صبري ... كالعادة روعة بكل شيء ...



ألف شكر يا شباب ونورتوا الموضوع جميعاً

[أحمد المحيسني]

ألف ألف ألف شكراً لك أبو محمد الورد

أسأل الله أن يجزاك خير الجزاء على ما تقدمة من نفع للإسلام و المسلمين ...

[Napst3r]

شكرا ابو محمد ..

[kalemer0]

فديتك استاااااااااااااااااااااذي

[أبو عابد]

وعليكم السلام ورحمة الله وبركاته

جزاك الله كل خير ،،،

صراحة أداة رائعة جداً حسب وصفك لها وتوفّر الكثير من العناء والوقت وزغللة الأعين بين شاشة وأخرى

بعض الشركات تشتري أكثر من منتج لعملية المراقبة وتجد أكثر من شاشة لكل منتج وعليك بالمراقبة

سؤالي عزيزي :

هل هذا المنتج مشهور عالمياً مثل منتجات ArcSight و nagios و غيرها ؟


تحيتي لك ،،،

[vip101]

شكرا علي التميز .......

[علي الشمري]

أعذرني على ردي المتأخر هذا يا شباب ...
شكراً لكل من مر هنا وأتمنى تستفيدون من الموضوع وإن شاء الله اكمله

ألف ألف ألف شكراً لك أبو محمد الورد

أسأل الله أن يجزاك خير الجزاء على ما تقدمة من نفع للإسلام و المسلمين ...

حياك الله اخوي احمد، وشكراً لك ولدعواتك الطيبة ...
إن شاء الله يكون محل فائدة لك وتراقب شبكتك

شكرا ابو محمد ..

حياك الله اخي الكريم ...

فديتك استاااااااااااااااااااااذي

الله يحفظك يارب ... تسلم يالغالي ...

وعليكم السلام ورحمة الله وبركاته

جزاك الله كل خير ،،،

صراحة أداة رائعة جداً حسب وصفك لها وتوفّر الكثير من العناء والوقت وزغللة الأعين بين شاشة وأخرى

بعض الشركات تشتري أكثر من منتج لعملية المراقبة وتجد أكثر من شاشة لكل منتج وعليك بالمراقبة

سؤالي عزيزي :

هل هذا المنتج مشهور عالمياً مثل منتجات ArcSight و nagios و غيرها ؟


تحيتي لك ،،،

حياك الله يا خوي وشكراً لدعواتك الطيبة ... هذا المنتج كما تحب ان تسميه يا خوي له حسب ما رأيت من خلال موقعهم 6 سنوات ... اي من 2003 وهو قائم ولكن بدون شك يتطور مع الزمن ... بخصوص هل هو مشهور مثل Nagios ؟ فهو يحتوي على هذا المشروع ... بخصوص ArcSight لا اعرف ما هو صراحة ... ولكن المشروع نعم اعتقد لديه شهرة لا بأس بها ...

إن شاء الله يفيدك على كل حال

شكرا علي التميز .......

حياك الله اخي ... شكراً لمرورك ...

[أحمد المحيسني]

ألف شكر لك إستاذي

لكن هل يوجد في النظام فايروول , أم فقط أدوات مراقبة الشبكة فقط ؟

يعني هل ممكن أن يكون هو واجهه الشبكة أم مراقبتها فقط ؟؟

و أخيراً هل يفيد مستخدم الشبكة المنزلية ؟؟؟

آسف لو أثقلت عليك

[علي الشمري]

ألف شكر لك إستاذي

لكن هل يوجد في النظام فايروول , أم فقط أدوات مراقبة الشبكة فقط ؟
نعم يوجد iptables ... وذلك لأن الأدوات تم تركيبها فوق النظام Debian ...

يعني هل ممكن أن يكون هو واجهه الشبكة أم مراقبتها فقط ؟؟
لا هو هدف عمله مراقبتها وإعطاء المسؤولين عن امن الشبكة معلومات كافية الى حد ما لما يحصل عندهم ... ولكن لو ركبت عليه برامج مثل squid وما الى ذلك؟ سيصبح بدون شك واجهة، بالنهاية اساسه جنو/لينوكس

و أخيراً هل يفيد مستخدم الشبكة المنزلية ؟؟؟
ممكن يفيدك لو إنك مهووس بالأمور هذه، وممكن لا ... ولكن بدون شك سيفيدك لغرض التعلم ...

آسف لو أثقلت عليك
بالعكس كل الهلا بيك ...

حياك الله أخوي أحمد، وإن شاء الله إجاباتي توضحت لديك

[أحمد المحيسني]

بارك الله فيك إستاذي

تمت الإضافة للقائمة