Fertigprodukte. Bruno Blumenthal und Roger Meyer. 18. Juli Zusammenfassung

Transkript

1 Fertigprodukte Bruno Blumenthal und Roger Meyer 18. Juli 2003 Zusammenfassung Dieses Dokument beschreibt die Fertigprodukte welche im Projekt NetWACS eingesetzt werden sollen. Es soll als Übersicht dienen und die wichtigsten Auswahlkriterien aufzeigen. Die meisten Produkte wurden nach Recherchen im Internet oder auf Grund gängiger Praxis ausgewählt. 1

2 Inhaltsverzeichnis 1 Einleitung OS Programmiersprache Externe Software Datenbank : MySQL Datenquellen : snort, syslog-ng Sichere Verbindung zum Logserver : stunnel Bibliotheken DB-Connection : MySQL Connector/J Reportgenerator : DataVision

3 1 Einleitung Die Fertigprodukte werden hier kurz beschrieben und Zusammengefasst. Es soll beschrieben werden wo und wie wir sie einsetzen wollen und kurz erklärt werden weshalb wir uns gerade für diese Lösungen entschieden haben. Dieses Dokument ist keinenfalls abschliessend, bei der Realisierung können noch weitere Produkte und Bibliotheken dazukommen. Die hier aufgeführten Produkte wurden im Verlauf der Konzeptentwicklung und während der Designphase gewählt und evaluiert. Sie werden hier als Zusammenfassung aufgeführt. 1.1 Betriebsystem Grundsätzlich wird unser System Betriebsystem unabhängig sein, das ganze Programm soll in Java geschrieben werden (siehe Abschnitt Programmiersprache ). Wir werden es auf Linux und Windows entwickeln und testen. Die benötigte Datenbank und die XML- Dateien sind Betriebsystem unabhängig, somit müssen wir hier keine speziellen Vorkehrungen treffen. 1.2 Programmiersprache Wir haben als Programmiersprache Java ausgewählt, weil wir damit am meisten Erfahrung haben und wir somit keine Zeit im knappen Rahmen einer Diplomarbeit für die Einarbeitung verlieren, so können wir rasch ein laufendes System aufbauen können. Alle nötigen Elemente und Schnittstellen, wie Datankverbindung, XML-Dateien Verarbeitung und Reportgenerierung, sind in Java frei verfügbar (meist OpenSource), so dass wir keine kostenpflichtige Software von Drittanbietern kaufen müssen. 2 Externe Software 2.1 Datenbank : MySQL MySQL ist die populärste OpenSource Datenbank und ist schnell und stabil. Auch hier hat dsa vorhandene Know-How und dier Erfahrung den Ausschlag gegeben. Ein weiterer Grund ist die bestehende JDBC (Java Database Connectivity) Unterstützung, der für MySQL existiert (siehe Abschnitt DB-Connection ). MySQL ist gratis erhältlich und somit ein optimaler Datenbankserver für uns. 3

4 2.2 Datenquellen : snort, syslog-ng Syslog ist das meistverwendete Logformat unter Unix Systemen und Routern. Es gibt auch Software für Windows die ermöglicht syslog Logs zu generieren. Auch alle Cisco Router unterstützen standardmässig Logs mit syslog an einen Loghost zu senden. Auf allen bekannten Unix Derivaten (Solaris, Linux, BSD Flavors, AIX, HP-UX, usw.) ist syslog das default Logprotokoll. Wir verwenden eine verbesserte Version davon: syslog-ng. Syslog-ng erweitert das standard syslog um die Möglichkeit Logs von den Quellen zu einem Loghost per TCP zu übertragen was uns eine verschlüsselte Übertragung ermöglicht. (siehe Abschnitt Sichere Verbindung zum Logserver ) Syslog ermöglicht uns die Speicherung der Logs in der MySQL DB, was der vereinfachten Loganalyse dient. Snort ist ein OpenSource Network Intrusion Detection System (NIDS). Es ist das weitverbreiteste und kompletteste OpenSource NIDS das erhältlich ist. Die Regeln werden laufend erweitert und auf dem neuesten Stand gehalten. Snort ermöglicht das direkte speichern der Alerts in die MySQL DB. Wir beschränken uns in unserer Implementation auf diese beide Quellen, weil wir der Meinung sind damit genug Daten und Möglichkeiten zur Verfügung stehen um ein Security Event Management Framework zu entwickeln. Der Zeitrahmen einer solchen Arbeit reicht nicht um ein umfassendes System zu entwickeln. Weshalb wir uns auf diese zwei verbreiteten Security Event Quellen beschränken Sichere Verbindung zum Logserver : stunnel stunnel ist ein Programm, welches uns erlaubt, die Verbindung zwischen den Log-sammelnden Hosts und dem Loghost zu verschlüsseln. Dies wird gebraucht, um die Logs sicher zu übertragen. stunnel ermöglicht es eine beliebige TCP-Verbindung mit Hilfe von SSL (Secure Sockets Layer) zu verschlüsseln. In zusammenarbeit mit syslog-ng können wir so eine sicher Übertragung gewährleisten. stunnel gibt es sowohl für Windows wie Unix. 3 Bibliotheken 3.1 DB-Connection : MySQL Connector/J MySQL Connector/J ist ein nativer Java Treiber, der JDBC (Java Database Connectivity) Aufrufe in das Netzwerk Protokoll transferiert, welche von der MySQL Datenbank verwendet werden. Dieser Treiber ermöglicht uns in Java einfache Datenbankabfragen zu erstellen. Connector/J wird von MySQL AB als GPL Code zur Verfügung gestellt, und 4

5 ist darum auf diese Datenbank optimisiert. 3.2 Reportgenerator : DataVision DataVision ist ein OpenSource Reporting Tool im stile von Crystal Reports. Reports können mit einem drag-and-drop GUI entworfen werden und als HTML, XML, PDF, LaTeX2e, DocBook, oder Tab- oder Kommma Separierte Textdatei exportiert werden. DataVision ist in Java geschrieben und kann Reporte von Datenbanken oder Textdateien generieren. Die Report Beschreibungen sind in einer XML Datei gespeichert. Alle diese Features passen genau auf unser Tool: Java, XML und Datenbank. Wir glauben, dass DataVision ein interessantes Werkzeug ist um unsere Analysen anschaulich darzustellen. DataVision bietet eine offene API welche es uns ermöglicht die Report generierung in unser System einzubetten. 3.3 XML-Parser : Java SDK Zum parsen unserer XML-Regeldefinitionen werden wir den im Java SDK integrierten SAX (Simple API for XML) verwenden. So sind wir in diesem Bereich auf keine zusätzlichen externen Resourcen angewiesen. 3.4 Event-Dispacher : JMS Für die Verteilung der Event werden wir voraussichtlich das JMS (Java Messageing System) einsetzten. Das JMS bietet die Möglichkeit eine Relation mit Produzenten und Konsumenten abzubilden wie sie in unserem System (Datasource - Rule-Engine) vorkommt. 4 Web Front-End Für das Web Front-End (den RadarScreen) wurde noch keine Entscheidung betreffend der Technologie getroffen. Zum jetzigen Zeitpunkt kommen zwie Varianten in Fragen zum einen JSP oder aber PHP. beide Technologien sind uns geläufig. Die Anbindung an die MySQL Datenbank welche ein entscheidendes Kriterium ist bei beiden Technologien gewährleistet. Für die JSP Variante spricht die mögliche Wiederverwendbarkeit von Java-Komponenten welche ebenfalls im LogViewer des OC2 benutzt werden. Eine abschliessende Evaluation muss noch während der Diplomarbeit getroffen werden. 5