Tripwire Open Source vs OSSEC: ¿Es esta alternativa a Tripwire adecuada para usted?

La siguiente es una comparación de dos de los principales sistemas de detección de intrusiones (HIDS) basados en host de código abierto: Open Source Tripwire y OSSEC. Ambas son ofertas de HIDS competentes con distintos beneficios e inconvenientes que justifican un análisis más profundo.

OSSEC

OSSEC es un HIDS gratuito y de código abierto. Se ejecuta en todas las principales plataformas de sistemas operativos: Linux, Windows (solo agente), la mayoría de los sabores de Unix y Mac OS. Originalmente desarrollado por Daniel Cid y hecho público en 2004, el proyecto fue adquirido en 2008 por Third Brigade, que a su vez fue adquirida por Trend Micro en 2009. En la actualidad, Trend Micro continúa ampliando el soporte comercial para OSSEC y, al mismo tiempo, mantiene la versión de código abierto.

Debido a su amplitud de capacidades y características, OSSEC es adecuado como una herramienta HIDS empresarial, aunque también se puede implementar en modo independiente si se desea, además de la configuración estándar de agente de servidor. El servidor y los agentes se comunican de forma segura en el puerto UDP 1514 a través de mensajes cifrados con el algoritmo Blowfish y comprimidos con zlib. Consulte la página de características de OSSEC para obtener una lista completa de las características de OSSEC.

OSSEC consta de las siguientes subpartes:

• Aplicación principal: el administrador central para monitorear y recibir información de agentes, syslog, bases de datos e incluso dispositivos sin agentes. También almacena la base de datos de integridad de archivos y los archivos de registro y eventos. Debe estar instalado en Linux, Solaris, BSD o MacOS, ya que no hay soporte para Windows.
• Agente OSSEC: pequeños programas instalados en los nodos a monitorizar. En una configuración de agente de servidor, recopila y envía información en tiempo real al servidor OSSEC sobre el estado del nodo en el que está instalado. También hay un agente especial de Windows que se ejecuta solo en el modo de agente de servidor.
• Interfaz web: la interfaz gráfica de usuario para administrar tareas y funciones de monitoreo. Desafortunadamente, la GUI bien desarrollada de OSSEC funciona en plataformas Windows.

OSSEC también tiene un motor de análisis de registros avanzado que puede analizar registros de múltiples dispositivos en varios formatos diferentes, como servidores FTP (ftpd, ftpd puro), bases de datos (PostgreSQL, MySQL), servidores web (Apache, IIS, Zeus), servidores de correo (imapd, Postfix, Sendmail, Exchange, vpopmail), firewalls (iptables, firewall de Windows, Cisco PIX, ASA) e incluso algunas soluciones NIDS de la competencia (Cisco IOS, Snort IDS) y registros de eventos de Windows.

A pesar de sus ventajas, OSSEC tiene algunos inconvenientes notables. La transición a versiones más recientes de la plataforma puede ser difícil, ya que las reglas definidas anteriormente se sobrescriben con valores predeterminados al actualizar. Esto significa que las reglas existentes deben exportarse y volver a importarse después de la actualización, sin saber lo que puede ocurrir mientras el sistema utiliza temporalmente las reglas predeterminadas. La mala coordinación con las claves previamente compartidas también puede ser problemática: el cliente y el servidor de OSSEC se comunican a través de un canal cifrado con Blowfish y, ocasionalmente, el intercambio de claves se inicia antes de la creación de dicho canal, lo que puede resultar frustrante.

Código abierto Tripwire

A diferencia de OSSEC, Tripwire está disponible como una oferta de código abierto y una versión empresarial completa. Dado que OSSEC es de código abierto, la comparación aquí será con la versión de código abierto de Tripwire. Echa un vistazo a Tripwire Open Source vs. Tripwire Enterprise para obtener más información sobre las diferencias entre estos dos.

Pionero en la detección de intrusos basados en host, Tripwire tiene sus orígenes en un proyecto de 1992 del estudiante graduado de la Universidad de Purdue, Gene Kim, y su profesor, el Dr. Eugene Spafford. De hecho, muchas de las primeras técnicas y características de Tripwire se convirtieron en estándares de facto para las soluciones IDS en general.

Tripwire Open Source solo se ejecuta en sistemas Linux y *nix, no hay soporte para Windows, aunque (no es de extrañar) está disponible en la versión empresarial comercial. La versión de código abierto, por supuesto, tiene menos funciones que la empresarial, aunque afortunadamente no es tan básica como las ofertas típicas de freemium. Lo que más le falta a la versión de código abierto son las características empresariales, como el soporte multiplataforma antes mencionado, el control y los informes centralizados, un modo de configuración de agente maestro, funciones de automatización avanzadas y soporte corporativo profesional, aunque esta última opción la ofrece la empresa matriz Tripwire Inc.

Los agentes de código abierto de Tripwire supervisan los sistemas Linux para detectar e informar de cualquier cambio no autorizado en los archivos y directorios. Primero crea una línea de base de todos los archivos de un archivo cifrado (el cifrado lo protege de la manipulación de malware) y, a continuación, supervisa los archivos en busca de cambios, incluidos los permisos, los cambios de archivos internos y los detalles de la marca de tiempo. Los hashes criptográficos se emplean para detectar cambios en un archivo sin almacenar todo su contenido en la base de datos. Si bien es útil para detectar intrusiones después de que se hayan producido, Tripwire Open Source también puede servir para muchos otros propósitos, como la garantía de integridad, la gestión de cambios y el cumplimiento de políticas.

Una de las principales deficiencias de Tripwire Open Source es que no genera alertas en tiempo real tras la detección de intrusiones: los detalles solo se guardan en un archivo de registro para su posterior lectura. Y tampoco puede detectar ninguna intrusión que ya esté en el sistema antes de la instalación. Por lo tanto, es aconsejable instalar Tripwire Open Source inmediatamente después de la instalación del sistema operativo.

Resumen

Tanto OSSEC como Tripwire son excelentes herramientas HIDS de código abierto. Ambos tienen fortalezas y debilidades únicas, aunque OSSEC cuenta con características más ricas que Tripwire Open Source. Dicho esto, Tripwire Enterprise está disponible, a un costo, si se necesitan campanas y silbatos empresariales adicionales. La siguiente tabla es una comparación resumida de los dos.

Referencias

http://www.iraj.in/journal/journal_file/journal_pdf/3-27-139087836726-32.pdf

https://www.tripwire.com/products/tripwire-enterprise/

https://www.alienvault.com/blogs/security-essentials/open-source-intrusion-detection-tools-a-quick-overview