OSSIM

by Leandro Ferrari | Ene 19, 2007 | 0 comments

OSSIM quiere suplir un hueco en las necesidades que un grupo profesionales del mundo de la seguridad dÃa a dÃa nos encontramos. Sorprende que con el fuerte desarrollo tecnolÃ³gico producido en los Ãºltimos aÃ±os que nos ha provisto de herramientas con capacidades como las de los IDS, sea tan complejo desde el punto de vista de seguridad de obtener una visiÃ³n de una red con un grado de abstracciÃ³n que permita una revisiÃ³n prÃ¡ctica y asumible.

La intenciÃ³n inicial en el desarrollo de este proyecto es mejorar esta situaciÃ³n a travÃ©s de una funciÃ³n que podrÃamos resumir con el nombre de:

CORRELACIÃ“N
O la posibilidad de obtener una visibilidad de todos los eventos de los sistemas en un punto y con un mismo formato, y a travÃ©s de esta situaciÃ³n privilegiada relacionar y procesar la informaciÃ³n permitiendo aumentar la capacidad de detecciÃ³n, priorizar los eventos segÃºn el contexto en que se producen, y monitorizar el estado de seguridad de nuestra red. La idea de correlaciÃ³n estÃ¡ tambiÃ©n implÃcita en la visiÃ³n de nuestro proyecto en el sentido de agregaciÃ³n e integraciÃ³n de productos: queremos incluir un nÃºmero de magnÃficos productos desarrollados en estos aÃ±os en un Framework general, que permitirÃ¡ nuevas posibilidades al interrelacionar todas sus funcionalidades. En el camino nos hemos encontrado con nuevas necesidades que nos han permitido aumentar la precisiÃ³n de nuestro sistema, desarrollando la capacidad que ya forma parte del nÃºcleo de OSSIM:

VALORACIÃ“N DE RIESGOS
Como forma de decidir en cada caso la necesidad de ejecutar una acciÃ³n a travÃ©s de la valoraciÃ³n de la amenaza que representa un evento frente a un activo, teniendo en cuenta la fiabilidad y probabilidad de ocurrencia de este evento. Desde este momento nuestro sistema se vuelve mÃ¡s complejo pues ha de ser capaz de implementar una PolÃtica de Seguridad, el Inventario de la Red, nos ofrecerÃ¡ un Monitor de Riesgos en tiempo Real, todo ello configurado y gestionado desde un Framework… No debemos en cualquier caso dejar que esta complejidad nos aparte de nuestro objetivo que es la integraciÃ³n de productos. El resultado es por lo tanto realmente ambicioso y hereda todas las funcionalidades y el gran esfuerzo de desarrollo de una comunidad de expertos siendo nuestro papel el de meros integradores y organizadores. Este proyecto quiere ser asÃ mismo una muestra de la capacidad del mundo de cÃ³digo abierto de crecer en sÃ mismo y aportar soluciones punteras en sectores concretos como el de la seguridad de redes, donde las soluciones del mundo libre aportan otro importante valor: la auditabilidad o capacidad de auditorÃa de los sistemas que instalamos en nuestra red.

OSSIM es una distribuciÃ³n de productos open source integrados para construir una infraestructura de monitorizaciÃ³n de seguridad. Su objetivo es ofrecer un marco para centralizar, organizar y mejorar las capacidades de detecciÃ³n y visibilidad en la monitorizaciÃ³n de eventos de seguridad de la organizaciÃ³n.

Nuestro sistema constarÃ¡ de las siguientes Herramientas de MonitorizaciÃ³n:Â Â Â

a. Cuadro de Mandos para visibilidad a alto nivel
b. Monitores de Riesgo y Comportamiento para la monitorizaciÃ³n a nivel medio
c. Consola Forense y Monitores de Red para el bajo nivelEstas herramientas se alimentarÃ¡n de las nuevas capacidades desarrolladas en el â€œpostprocesoâ€ de los SIM y cuyo objeto es aumentar la fiabilidad y sensibilidad de la detecciÃ³n:a. CorrelaciÃ³n
b. PriorizaciÃ³n
c. ValoraciÃ³n de RiesgosEl postproceso a su vez es alimentado por los preprocesadores, estos son un nÃºmero de detectores y monitores ya conocidos por la mayorÃa de administradores que integraremos en nuestra distribuciÃ³n:

d. IDS (detectores de patrones)
e. Detectores de anomalÃas
f. Firewalls
g. Monitores variosPor Ãºltimo deberemos tener una herramienta de administraciÃ³n que configure y organice los diferentes mÃ³dulos tanto externos como propios que integrarÃ¡ OSSIM, esta herramienta serÃ¡ el Framework y mediante ella podremos definir la TopologÃa, inventariar activos, definir una PolÃtica de seguridad, definir las reglas de CorrelaciÃ³n y enlazar las diferentes herramientas integradas. Infraestructura Open-Source de MonitorizaciÃ³n de SeguridadSoluciÃ³n vs ProductoOSSIM no quiere ser un producto, sino una soluciÃ³n, un sistema personalizado para las necesidades de cada organizaciÃ³n formado por la conexiÃ³n e integraciÃ³n de varios mÃ³dulos especialistas.OSSIM no quiere ser un producto, sino una soluciÃ³n, un sistema personalizado para las necesidades de cada organizaciÃ³n formado por la conexiÃ³n e integraciÃ³n de varios mÃ³dulos especialistas.En nuestra soluciÃ³n tan importante como el cÃ³digo son los conceptos o definiciones de:

OSSIM no quiere ser un producto, sino una soluciÃ³n, un sistema personalizado para las necesidades de cada organizaciÃ³n formado por la conexiÃ³n e integraciÃ³n de varios mÃ³dulos especialistas.a. La Arquitectura
b. Los Modelos y Algoritmos de CorrelaciÃ³n
c. La definiciÃ³n del Entorno y el Framework
d. La definiciÃ³n del Modelo de GestiÃ³n de la Seguridad Perimetral
e. El Mapa y los Procedimientos de AuditorÃa de la Capacidad de DetecciÃ³n

Nuestro interÃ©s en este proyecto gnu es tanto ofrecer para su mejora el cÃ³digo como generar la discusiÃ³n y el conocimiento de estos modelos y algoritmos.

Arquitectura Abierta

OSSIM es una arquitectura de monitorizaciÃ³n abierta pues integra diversos productos del mundo libre, intentando seguir siempre los estÃ¡ndares y las tendencias del mundo open source (los cuales creemos que en soluciones de monitorizaciÃ³n serÃ¡n los estÃ¡ndares en todos los entornos).

SoluciÃ³n IntegralEs una soluciÃ³n integral pues es capaz de ofrecer las herramientas y funcionalidad para monitorizaciÃ³n de todos los niveles desde el mÃ¡s bajo (firmas detalladas de un IDS, dirigido al tÃ©cnico de seguridad), hasta el mÃ¡s alto (El Cuadro de Mandos dirigido a la DirecciÃ³n EstratÃ©gica), pasando por: Consolas Forenses, niveles de CorrelaciÃ³n, Inventariado de Activos y Amenazas, y Monitores de Riesgos.Es una soluciÃ³n integral pues es capaz de ofrecer las herramientas y funcionalidad para monitorizaciÃ³n de todos los niveles desde el mÃ¡s bajo (firmas detalladas de un IDS, dirigido al tÃ©cnico de seguridad), hasta el mÃ¡s alto (El Cuadro de Mandos dirigido a la DirecciÃ³n EstratÃ©gica), pasando por: Consolas Forenses, niveles de CorrelaciÃ³n, Inventariado de Activos y Amenazas, y Monitores de Riesgos.Software de CÃ³digo Libre

Es una soluciÃ³n integral pues es capaz de ofrecer las herramientas y funcionalidad para monitorizaciÃ³n de todos los niveles desde el mÃ¡s bajo (firmas detalladas de un IDS, dirigido al tÃ©cnico de seguridad), hasta el mÃ¡s alto (El Cuadro de Mandos dirigido a la DirecciÃ³n EstratÃ©gica), pasando por: Consolas Forenses, niveles de CorrelaciÃ³n, Inventariado de Activos y Amenazas, y Monitores de Riesgos.OSSIM se propone como un proyecto de integraciÃ³n, nuestra intenciÃ³n no es desarrollar nuevas capacidades sino aprovecharnos de la riqueza de “joyas” del software libre, programas desarrollados por la inspiraciÃ³n de los mejores especialistas del mundo (como pueden ser snort, rrd, nmap, nessus, o ntop…) integrÃ¡ndolas en una arquitectura abierta que heredarÃ¡ todo su valor y capacidades. Nuestro desarrollo serÃ¡ el encargado de integrar e interrelacionar la informaciÃ³n de estos productos.

Estas herramientas de cÃ³digo libre son, por la naturaleza de este, probadas y mejoradas por decenas o centenas de miles de instalaciones en el mundo convirtiÃ©ndose en elementos robustos y altamente probados y por tanto fiables. Por el hecho de ser cÃ³digo abierto son asÃ mismo confiables y exentas de cualquier duda de posibles puertas traseras al ser auditables por cualquiera que lo desee.

*Se puede obtener mÃ¡s informaciÃ³n en: http://www.ossim.net

GRATIS – Plan de cyberseguridad para su empresa: Aquí