1.流量探针
如下图为安全洋葱流量探针,Stenographer为全量pcap包获取,Zeek(bro)和Suricata为流量分析,输出meta元数据(flow流信息等)和告警日志
2.安全洋葱分析组件
(1)soc为安全洋葱的web管理界面
(2)Hunt为基于ES的查询界面,支持ES的查询,关联分析也在这里,但是关联分析做得很浅,只是通过Community ID, log.uid, fuid进行关联,相当于flowid关联
(3)Kibana基于ES为后端数据库的查询Web界面,提供了很多表盘,性能,威胁事件统计等
(4)PCAP,可以根据4元组,时间等查询条件查找pcap,查看威胁事件,流信息对应的pcap包,pcap可以下载,还可以pcap发送到CyberChef进行各种编码解码分析
(5)Grafana,各种仪表盘界面,性能,丢包率统计等
(6)Fleet,提供window,linux等服务器监控器,可以在Fleet管理中心下载,fleet管理中心可以对已经装好监控的服务器执行各种查询命令等
(7)TheHive,相当于工单系统,将威胁事件提取出来生成工单
(8)Playbook,对产生的告警事件,可以通过编写规则的形式,匹配上产生的告警事件,然后重新赋予事件说明,以及后续的处理。
(9)CYberchef,可以对pcap进行各种编码解码分析,应用解析等
(10)Navigator ATT&CK
(11)Grid,展示各个节点的基本信息,EPS等
3.一些基本内容
(1)系统使用salt来进行管理,一般通过修改/opt/so/saltstack/中的配置文件来进行配置更改
(2)流量探针产生的日志一般存放在/nsm/目录
(3)系统组件产生的日志一般存放在/opt/so/log目录
Security Onion安全洋葱2.X-架构概述
于 2022-03-12 10:29:01 首次发布