Tripwire Open Source vs. OSSEC: Ist diese Tripwire-Alternative das Richtige für Sie?

Im Folgenden finden Sie einen Vergleich von zwei führenden hostbasierten Open-Source-Intrusion-Detection-Systemen (HIDS): Open Source Tripwire und OSSEC. Beides sind kompetente HIDS-Angebote mit unterschiedlichen Vor- und Nachteilen, die eine weitere Analyse rechtfertigen.

OSSEC

OSSEC ist ein kostenloses Open-Source-HIDS. Es läuft auf allen wichtigen Betriebssystemen: Linux, Windows (nur Agent), den meisten Unix-Varianten und Mac OS. Ursprünglich von Daniel Cid entwickelt und 2004 veröffentlicht, wurde das Projekt 2008 von Third Brigade übernommen, das wiederum 2009 von Trend Micro übernommen wurde. Nach heutigem Stand baut Trend Micro die kommerzielle Unterstützung für OSSEC weiter aus und behält gleichzeitig die Open-Source-Version bei.

Aufgrund seiner Vielzahl an Fähigkeiten und Funktionen eignet sich OSSEC als HIDS-Tool für Unternehmen, obwohl es auf Wunsch zusätzlich zum Standard-Server-Agent-Setup auch im Standalone-Modus eingesetzt werden kann. Der Server und die Agenten kommunizieren sicher über den UDP-Port 1514 über Nachrichten, die mit dem Blowfish-Algorithmus verschlüsselt und mit zlib komprimiert wurden. Auf der Seite OSSEC-Funktionen finden Sie eine vollständige Liste der OSSEC-Funktionen.

OSSEC besteht aus folgenden Unterteilen:

• Hauptanwendung: der zentrale Manager für die Überwachung und den Empfang von Informationen von Agenten, Syslog, Datenbanken und sogar agentenlosen Geräten. Außerdem werden die Dateiintegritätsdatenbank sowie die Protokoll- und Ereignisdateien gespeichert. Es muss unter Linux, Solaris, BSD oder MacOS installiert werden - es ist keine Windows-Unterstützung verfügbar.
• OSSEC Agent: kleine Programme, die auf den zu überwachenden Knoten installiert sind. In einem Server-Agent-Setup sammelt er Echtzeitinformationen über den Status des Knotens, auf dem er installiert ist, und sendet ihn an den OSSEC-Server. Es gibt auch einen speziellen Windows-Agenten, der nur im Server-Agent-Modus ausgeführt wird.
• Web Interface: die GUI für die Verwaltung von Aufgaben und Überwachungsfunktionen. Leider funktioniert die gut entwickelte Benutzeroberfläche von OSSEC auch auf Windows-Plattformen.

OSSEC verfügt außerdem über eine fortschrittliche Protokollanalyse-Engine, die Protokolle von mehreren Geräten in verschiedenen Formaten analysieren kann, z. B. FTP-Server (ftpd, pure-ftpd), Datenbanken (PostgreSQL, MySQL), Webserver (Apache, IIS, Zeus), Mailserver (imapd, Postfix, Sendmail, Exchange, vpopmail), Firewalls (iptables, Windows-Firewall, Cisco PIX, ASA) und sogar einige konkurrierende NIDS-Lösungen (Cisco IOS, Snort IDS) und Windows-Ereignisprotokolle.

Trotz seiner Vorteile hat OSSEC einige bemerkenswerte Nachteile. Der Übergang zu neueren Versionen der Plattform kann schwierig sein, da alle zuvor definierten Regeln beim Upgrade durch Standardwerte überschrieben werden. Das bedeutet, dass vorhandene Regeln nach dem Upgrade exportiert und wieder importiert werden müssen, ohne dass bekannt ist, was passieren kann, wenn das System vorübergehend Standardregeln verwendet. Eine falsche Koordination mit vorinstallierten Schlüsseln kann ebenfalls problematisch sein - der Client und der Server von OSSEC kommunizieren über einen mit Blowfish verschlüsselten Kanal, und gelegentlich wird die Schlüsselfreigabe bereits vor der Erstellung des Kanals initiiert, was zu einer frustrierenden Erfahrung führen kann.

Tripwire Open Source

Im Gegensatz zu OSSEC ist Tripwire sowohl als Open-Source-Angebot als auch als vollwertige Enterprise-Version verfügbar. Da OSSEC Open Source ist, wird der Vergleich hier mit der Open-Source-Version von Tripwire durchgeführt. Schauen Sie sich Tripwire Open Source vs. Tripwire Enterprise an, um mehr über die Unterschiede zwischen diesen beiden zu erfahren.

Tripwire ist ein Pionier auf dem Gebiet der wirtsbasierten Intrusion Detection und hat seinen Ursprung in einem Projekt von Gene Kim, einem Doktoranden an der Purdue University, und seinem Professor Dr. Eugene Spafford aus dem Jahr 1992. In der Tat wurden viele der frühen Techniken und Funktionen von Tripwire zu De-facto-Standards für IDS-Lösungen im Allgemeinen.

Tripwire Open Source läuft nur auf Linux- und *nix-Systemen - es gibt keine Windows-Unterstützung, obwohl es (keine Überraschung) in der kommerziellen Enterprise-Version verfügbar ist. Die Open-Source-Version hat natürlich weniger Funktionen als Enterprise, obwohl sie glücklicherweise nicht so einfach ist wie typische Freemium-Angebote. Was der Open-Source-Version am meisten fehlt, sind Unternehmensfunktionen wie die bereits erwähnte Multi-Plattform-Unterstützung, zentralisierte Steuerung und Berichterstellung, ein Master-Agent-Konfigurationsmodus, erweiterte Automatisierungsfunktionen und professioneller Unternehmenssupport - obwohl diese letzte Option von der Muttergesellschaft Tripwire Inc. angeboten wird.

Tripwire Open Source-Agenten überwachen Linux-Systeme, um nicht autorisierte Änderungen an Dateien und Verzeichnissen zu erkennen und zu melden. Zuerst wird eine Baseline aller Dateien in einer verschlüsselten Datei erstellt (die Verschlüsselung schützt sie vor Malware-Manipulationen) und dann die Dateien auf Änderungen überwacht, einschließlich Berechtigungen, internen Dateiänderungen und Zeitstempeldetails. Kryptografische Hashes werden verwendet, um Änderungen in einer Datei zu erkennen, ohne ihren gesamten Inhalt in der Datenbank zu speichern. Tripwire Open Source ist nicht nur nützlich für die Erkennung von Eindringerfolgen, sondern kann auch vielen anderen Zwecken dienen, z. B. zur Integritätssicherung, zum Änderungsmanagement und zur Einhaltung von Richtlinien.

Einer der größten Mängel von Tripwire Open Source besteht darin, dass bei der Erkennung von Eindringlingen keine Echtzeitwarnungen generiert werden - die Details werden nur in einer Protokolldatei gespeichert, um sie später einsehen zu können. Und es kann auch keine Eindringlinge erkennen, die sich bereits vor der Installation im System befinden. Es ist daher ratsam, Tripwire Open Source sofort nach der Installation des Betriebssystems zu installieren.

Zusammenfassung

Sowohl OSSEC als auch Tripwire sind hervorragende Open-Source-HIDS-Tools. Beide haben einzigartige Stärken und Schwächen, obwohl OSSEC umfangreichere Funktionen als Tripwire Open Source bietet. Das heißt, Tripwire Enterprise ist verfügbar - zu einem Preis -, wenn zusätzlicher Unternehmensschnickschnack benötigt wird. Die folgende Tabelle ist ein zusammengefasster Vergleich der beiden.

Referenzen

http://www.iraj.in/journal/journal_file/journal_pdf/3-27-139087836726-32.pdf

https://www.tripwire.com/products/tripwire-enterprise/

https://www.alienvault.com/blogs/security-essentials/open-source-intrusion-detection-tools-a-quick-overview