IBM SysFlow

2020: Выход инструмента

В январе 2020 года IBM выпустила инструмент с открытым исходным кодом, который позволяет искать проблемы безопасности в облачных и контейнерных средах. Речь идёт о программе SysFlow.

Как пишет издание SiliconANGLE, современные системы мониторинга безопасности регистрируют действия системы с высокой степенью детализации, часто вплоть до отдельных событий, таких как изменения файлов. Такой подробный контроль может быть полезен, но он также создаёт большое количество помех, из-за которых трудно обнаруживать киберугрозы. Исследователи IBM Фредерико Араужо и Терил Тейлор сравнили этот процесс «с поиском иголки в чрезвычайно большом стоге сена».

IBM раскрыла исходники инструмента, выявляющего проблемы безопасности в облаке

SysFlow сокращает потребность в дополнительных специалистах по информационной безопасности. Инструмент собирает операционные данные из данной системы и сжимает эти данные в схему, которая показывает поведение системы на высоком уровне, а не отдельные события, такие как HTTP-запросы. Локальные события также отображаются, но SysFlow связывает их с соответствующими шаблонами вместо того, чтобы предоставлять контекст, необходимый для детального анализа.

В своем блоге IBM Араужо и Тейлор привила пример сценария взлома, в котором SysFlow может оказаться полезным: хакер находит уязвимый сервер Node.js в сети компании, загружает на этот сервер вредоносный скрипт и затем подвергает риску конфиденциальную базу данных клиентов.

В то время как современные инструменты мониторинга могут обрабатывать только потоки отключенных событий, SysFlow способен подключаться к каждому этапу атаки на систему», — объясняют исследователи. — Например, SysFlow точно отображает шаги цепочки уничтожения атаки: процесс node.js перехватывается, а затем конвертируется с удаленным вредоносным сервером на порт 2345 для загрузки и выполнения вредоносного сценария.[1]

Примечания