ACARM-ng
コンピュータネットワークソフトウェア
ACARM-ng
原作者
  • バルトロミエ・バルチェレク
  • バルトシュ・シュルゴット
  • ヴォイチェフ・ワガ
  • マリウシュ・ウクロンスキ
開発者WCSS
初回リリース2011年2月14日 (2011-02-14)
安定版リリース
1.1.1 [1] / 2012年5月29日; 13年前 (2012-05-29)
書かれた
オペレーティング·システムリナックス
前任者ACARM
タイプ
ライセンスGPLv2
Webサイトwww.acarm.wcss.wroc.pl

ACARM-ng（アラート相関、評価、対応モジュール - 次世代）は、オープンソースの IDS / IPSシステムです。ACARM-ngは、コンピュータネットワークのトラフィック分析を大幅に効率化するアラート相関ソフトウェアです。ネットワークセンサー（NIDS）とホストセンサー（HIDS）から送信されるアラートの収集と相関処理を担います。相関処理は、類似のイベントを悪意のあるアクティビティの論理的な構成要素を表すグループに統合することで、システム管理者が確認する必要があるメッセージの総数を可能な限り削減することを目的としています。

歴史

ACARMの初期バージョンは、2004年から2007年にかけてPOSITIFヨーロッパ研究プロジェクトの枠組みの中で開発されました。これは実用的な概念実証としてJavaで書かれており、記事で紹介されています。[2]スケーラビリティの低さと効率性の問題にもかかわらず、このソフトウェアは非常に有用であることが証明されました。

2009年末、現在の設計には深刻な欠陥があり、そもそもパフォーマンスが低いことが明らかになりました。その結果、プロジェクトは中止されました。同年後半、ACARM-ngという愛称の新しいプロジェクトが開始され、オリジナルのACARMの後継を目指しました。ACARM-ngは、そのスケーラビリティとプラグインベースのアーキテクチャにより、アラート相関を新たな次元へと引き上げることを目指しました。2009年以降、ヴロツワフ・ネットワーク・スーパーコンピューティング・センター（Wroclaw Centre for Networking and Supercomputing）のPL-Gridプロジェクトの一環として、積極的に開発が進められています。 [3]

特徴

ACARM-ng の主な機能は次のとおりです。

  • 汎用フレームワーク（プラグインでシステムを簡単に拡張できます）
  • マルチスレッド実装
  • CPU使用率とメモリ使用量が低い
  • 最先端のオブジェクト指向設計手法を用いた実装
  • 定期的なアラート処理
  • リアルタイムの情報提供と対応
  • ウェブベースのデータ視覚化
  • 報告を遅らせない長い相関時間ウィンドウ

建築

ACARM-ng は、相関デーモン、WUI、および (オプション)データベース エンジンという 3 つの主要要素で構成されています。

ACARM-ngのデーモンは、フレームワークソリューションとしてゼロから設計されました。ログ記録、アラート、システムコンポーネント間での相関メタアラートの受け渡し、エラー回復、マルチスレッド処理といったコアシステム機能を提供します。パッケージの残りの部分はプラグインであり、以下のクラスに分類されています。

  • 永続性（データ抽象化）
  • 入力（データ収集）
  • フィルター（データの相関と修正）
  • トリガー（自動報告と反応）[4]

内蔵ソフトウェアウォッチドッグは、システム ステータスの最新情報を提供します。

バンドルされたプラグインを表示する ACARM-ng の内部アーキテクチャ。

WUIは、収集されたイベントと相関関係にあるイベントをグラフや表形式で表示することで、相関関係にあるデータを容易に閲覧できます。システム管理者は、システムのライフサイクル全体を通して、常に何が起こっているかを簡単に把握できます。

指定された期間に受信したメッセージの数を示すアラート時系列プロット。
サンプルアラートを表示するアラートのページ。

WUIとデーモンはデータベースを介して相互運用します。デーモンは収集したデータ、相関結果、および実行時設定を保存します。WUIはこれらのデータを読み取り、表示することができます。

デーモンの実行にはデータベースエンジンは必須ではありませんが、データを永続的に保存することを強くお勧めします。データベースの使用を拒否すると、WUI経由でシステム情報を取得できなくなり、システムの再起動時に履歴データが失われます。デーモンによって処理されなくなったイベントも破棄されます。

プリプロセッサ

受信データの量を制限する必要がある場合がよくあります（例えば、cronスクリプトによって定期的に発生するアラートを削除するなど）。ユーザーがシステムの入力を独自のニーズに合わせて調整できるように、特別な「プリプロセッサ」コンポーネントが提供されています。これにより、一致する場合は受け入れるルールと一致する場合は拒否するルールの連鎖を定義し、相関エンジンに入る前に受信アラートを受け入れるか拒否するかを選択できます。

プラグイン

ACARM-ngのデーモンは、コアパッケージを再コンパイルすることなく、新しいプラグインの追加と削除を可能にします。これにより、システム開発とテストが大幅に容易になります。

使用する各プラグインは、まずメイン構成ファイルで構成する必要があります。

持続性

永続性はストレージレベルでの抽象化を提供します。この汎用インターフェースは、トランザクションメカニズムが提供されている限り、あらゆるデータ保存バックエンドの実装に使用できます。

ACARM-ng の最近の安定したリリースでは、次の永続性実装が提供されています。

  • スタブ（すべての書き込み要求を無視します - データは保存されません）
  • postgres（情報の保存にPostgreSQLデータベースを使用）

入力

入力はデータ収集メカニズムの抽象化を提供します。実装における唯一の要件は、ACARM-ng互換の形式でアラートを出力することです。

ACARM-ng の最近の安定したリリースでは、次の入力実装が提供されています。

フィルター

フィルターは、相関関係とデータ更新のメカニズムを抽象化します。フィルターがメタアラートに対して実行できる操作に制限はありませんが、最も一般的な用途は類似アラートの相関関係を分析することです（この特殊なケース向けに特別に調整されたAPIが提供されています）。

ACARM-ng の最近の安定したリリースでは、次のフィルター実装が提供されています。

  • 1対1（ホストのペア間のイベントを相関させる）
  • 1対多（すべてのアラートのソースホストが同じであるイベントを相関させる）
  • 多対一（イベントを相関させ、宛先ホストはすべてのアラートで同じです）
  • 多対多（相関アラートの送信元ホストと宛先ホストのセットが類似しているイベントを相関させる）
  • DNSリゾルバ (可能な場合はIPアドレスを DNS 名に解決します)
  • IP ブラックリスト（疑わしいネットワークに属する送信元/宛先アドレスのアラートの優先順位を変更します）
  • 同じ名前（同じ名前のイベントを関連付けます）
  • イベント チェーン (次のマシンで発生したイベントを時系列順に相関させます。このようなソリューションはまれであり、「スキャン、ブレーキング、エスカレーション」のシーケンスを示している可能性があります)
  • ユーザーモニター（1人のユーザーのアクションによってトリガーされたイベントを相関させる）
  • 類似性（特定の閾値を超える、互いに類似したイベントを相関させます。2 つの要素の比較ではすべてのデータが考慮されます）
  • 新しいイベント（システム上で以前は見られなかったイベントの優先順位を変更します）
  • python (イベント相関にはユーザー提供のPythonスクリプトを使用)

トリガー

トリガーは、レポートと対応のメカニズムを抽象化します。トリガーは設計上、データの内容を変更することはできませんが、アラートへの対応を開始します。典型的な用途としては、疑わしいイベントを管理者にリアルタイムで報告すること（例えば、電子メール経由）や、検出されたスレッドへの自動対応（例えば、ファイアウォールで悪意のあるホストをブロックすること）などがあります。

ACARM-ng の最近の安定したリリースでは、次のトリガー実装が提供されています。

各トリガーは、特定の閾値、相関アラート数、あるいはデーモンのメインプリプロセッサと同様に定義されたその他のルールに反応するように個別に設定できます。このアプローチは完全に設定可能なソリューションを提供し、任意の複雑なルールを定義して誤検知を最小限に抑えることができます。特に、システムが疑わしいイベントに対して自律的に反応するように構成されている場合、誤検知を最小限に抑えることができます。

参照

参考文献

  1. ^ ACARM-ng ダウンロードページ
  2. ^ Valeur, F.; Vigna, G.; Kruegel, C.; Kemmerer, RA (2004). 「侵入検知アラート相関への包括的アプローチ」. IEEE Transactions on Dependable and Secure Computing . 1 (3): 146– 169. CiteSeerX  10.1.1.60.6872 . doi :10.1109/TDSC.2004.21. S2CID  2603627.
  3. ^ バルトロミェイ・バルセレク;バルトシュ・シュルゴット。ヴォイチェフ・ワガ。マリウス・ウチンスキー (2012)。 「ACARM-ng: 次世代相関フレームワーク」。マリアン・ブバクでは。トマシュ・シェピエニエツ。カジミエシュ・ヴィアトル（編）。全国分散型電子インフラストラクチャ - PL-Grid の構築。コンピューターサイエンスの講義ノート。 Vol. 7136.スプリンガー。 pp.  114–127。土井:10.1007/978-3-642-28267-6_9。ISBN 978-3-642-28266-9。
  4. ^ バルセレク、バルトロミエイ;シュルゴット、バルトシュ。ウチンスキー、マリウシュ。ワガ、ヴォイチェフ (2012)、ブバク、マリアン。シェピエニエツ、トマシュ。 Wiatr、Kazimierz (編)、「ACARM-ng: Next Generation Correlation Framework」、Building a National Distributed e-Infra Structure–PL-Grid: Scientific and Technical Achievements、コンピューター サイエンスの講義ノート、ベルリン、ハイデルベルク: Springer、pp.  114–127、土井:10.1007/978-3-642-28267-6_9、ISBN 978-3-642-28267-6、2021年5月2日取得
  • 公式サイト
  • SourceForge の ACARM-ng
  • メイン開発ブランチ（バザールリポジトリ）
  • POSITIFフォルダ 2016年3月4日アーカイブWayback Machine
Retrieved from "https://en.wikipedia.org/w/index.php?title=ACARM-ng&oldid=1305030795"