Tripwire Enterprise vs OSSEC: de pago o gratis, ¿cuál es mejor?

¿Qué tan bueno puede ser gratis? O tal vez una pregunta más apropiada es si lo gratuito puede ser lo suficientemente bueno para proteger la empresa contra las amenazas actuales y futuras. Para responder a esto, compararemos el popular sistema de detección de intrusos basado en host (HIDS) de código abierto OSSEC con la oferta comercial Tripwire Enterprise para averiguar si ese centavo gastado puede conducir a una postura de seguridad más sólida.

En una publicación anterior, comparamos Tripwire Open Source con OSSEC. Ambas son soluciones HIDS gratuitas y de código abierto: recopilan y almacenan información sobre los archivos, configuraciones y otros datos críticos de un sistema como punto de referencia para futuras validaciones. Si se detectan cambios (malintencionados o de otro tipo), se notifica al personal de TI adecuado y se toman medidas para detener y/o remediar la infracción. Tripwire Enterprise comparte la misma tecnología central que su contraparte de código abierto, pero ofrece un conjunto adicional de herramientas para abordar las necesidades de las grandes organizaciones. Como pronto descubriremos, esta suite, junto con algunas otras campanas y silbatos, es lo que diferencia a Tripwire Enterprise de OSSEC.

OSSEC

Como HIDS gratuito y de código abierto, OSSEC es utilizado activamente por muchas universidades, organizaciones sin fines de lucro e instituciones gubernamentales para proteger las infraestructuras de TI. La solución se ha implementado en muchos centros de datos corporativos y, a lo largo de los años, ha demostrado ser una opción HIDS empresarial competente y rentable. Desarrollado por Daniel Cid y hecho público en 2004, el proyecto ha cambiado de manos varias veces a lo largo de su vida: primero, cuando fue adquirido en 2008 por Third Brigade, y de nuevo cuando Trend Micro adquirió Third Brigade en 2009. Trend Micro suspendió el soporte comercial para OSSEC en 2014; en la actualidad, el soporte de pago de OSSEC está limitado a unos pocos proveedores de terceros. Dicho esto, el producto sigue siendo mantenido y actualizado activamente por una gran comunidad de usuarios y desarrolladores.

OSSEC se ejecuta en las principales plataformas de sistemas operativos: Linux, Windows (solo agente), la mayoría de las versiones de Unix y Mac OS. Se puede implementar en modo independiente además de la configuración estándar de servidor-agente, aunque esta última es necesaria para aprovechar al máximo la amplitud de funciones del proyecto. El servidor y los agentes se comunican de forma segura en el puerto UDP 1514 a través de mensajes cifrados con el algoritmo Blowfish y comprimidos con zlib. Consulte la página de características de OSSEC para obtener una lista completa de las características de OSSEC.

OSSEC consta de los siguientes componentes:

• Aplicación principal: el administrador central para monitorear y recibir información de agentes, syslog, bases de datos e incluso dispositivos sin agentes. También almacena la base de datos de integridad de archivos y los archivos de registro y eventos. Debe estar instalado en Linux, Solaris, BSD o MacOS, ya que no hay soporte para Windows.
• Agente OSSEC: pequeños programas instalados en los nodos a monitorizar. En una configuración de agente de servidor, recopila y envía información en tiempo real al servidor OSSEC sobre el estado del nodo en el que está instalado. También hay un agente especial de Windows que se ejecuta solo en el modo de agente de servidor.
• Interfaz web: la interfaz gráfica de usuario para administrar tareas y funciones de monitoreo. Desafortunadamente, la GUI bien desarrollada de OSSEC funciona en plataformas Windows.

OSSEC también tiene un motor de análisis de registros avanzado que puede analizar registros de múltiples dispositivos en varios formatos diferentes, como servidores FTP (ftpd, ftpd puro), bases de datos (PostgreSQL, MySQL), servidores web (Apache, IIS, Zeus), servidores de correo (imapd, Postfix, Sendmail, Exchange, vpopmail), firewalls (iptables, firewall de Windows, Cisco PIX, ASA) e incluso algunas soluciones NIDS de la competencia (Cisco IOS, Snort IDS) y registros de eventos de Windows.

A pesar de sus ventajas, OSSEC tiene algunos inconvenientes notables. La transición a versiones más recientes de la plataforma puede ser difícil, ya que las reglas definidas anteriormente se sobrescriben con valores predeterminados al actualizar. Esto significa que las reglas existentes deben exportarse y volver a importarse después de la actualización, sin saber lo que puede ocurrir mientras el sistema utiliza temporalmente las reglas predeterminadas. La mala coordinación con las claves previamente compartidas también puede ser problemática: el cliente y el servidor de OSSEC se comunican a través de un canal cifrado con Blowfish y, en ocasiones, el intercambio de claves se inicia antes de la creación de dicho canal, lo que puede resultar frustrante.

Empresa Tripwire

Tripwire tiene sus orígenes en un proyecto de 1992 del estudiante graduado de la Universidad de Purdue, Gene Kim, y su profesor, el Dr. Eugene Spafford. Desde entonces, muchas de las técnicas iniciadas por el dúo se han convertido en estándares de facto para las soluciones de IDPS en general. Además de su funcionalidad principal de IDPS, Tripwire Enterprise cuenta con soporte multiplataforma, control e informes centralizados, un modo de configuración de agente maestro, funciones de automatización avanzadas y soporte comercial profesional de la empresa matriz Tripwire Inc.

Como se mencionó anteriormente, Tripwire está disponible como una oferta de código abierto y una versión empresarial completa: consulte Tripwire Open Source vs. Tripwire Enterprise para obtener más información sobre las diferencias entre los dos. La tecnología subyacente compartida por ambos emplea agentes para monitorear los sistemas y detectar/informar cualquier cambio no autorizado en archivos y directorios. Primero crea una línea de base de todos los archivos de un archivo cifrado (el cifrado lo protege de la manipulación de malware) y, a continuación, supervisa los archivos en busca de cambios, incluidos los permisos, los cambios de archivos internos y los detalles de la marca de tiempo. Los hashes criptográficos se emplean para detectar cambios en un archivo sin almacenar todo su contenido en la base de datos. Si bien es útil para detectar intrusiones después de que se hayan producido, Tripwire también puede servir para muchos otros propósitos, como la garantía de integridad, la gestión de cambios y el cumplimiento de políticas.

Tripwire Enterprise está orientado a grandes organizaciones con infraestructuras de TI considerables. Con este fin, se han integrado varias funciones y soluciones complementarias con la plataforma para ofrecer una cobertura empresarial completa. Por ejemplo, Tripwire Manager permite la gestión centralizada y la generación de informes de varias instalaciones de Tripwire. Además, Tripwire Enterprise viene con otras características dirigidas a los clientes corporativos, como políticas de cumplimiento listas para usar para el cumplimiento de medidas como PCI y NIST. El soporte técnico se puede obtener por teléfono o correo electrónico, con servicios profesionales disponibles de guardia para ayudar en instalaciones personalizadas.

Resumen

OSSEC y Tripwire Enterprise ofrecen una protección empresarial competente, pero requieren diferentes enfoques para reforzar la postura de seguridad contra las amenazas actuales y futuras. OSSEC es generalmente más extensible y puede funcionar más fácilmente con otras herramientas de terceros (por ejemplo, SIEM, NIDS, herramientas de detección de malware), mientras que Tripwire Enterprise existe en su propio ecosistema de soluciones complementarias para abordar las brechas en la canalización de seguridad. Por ejemplo, Tripwire 360 aumenta la oferta insignia con la gestión de vulnerabilidades, mientras que Tripwire WebApp360 proporciona análisis de vulnerabilidades y aplicaciones web. Por supuesto, estas características tienen un precio significativo, pero para las organizaciones con mucho dinero que buscan comprar un ecosistema de soluciones con soporte comercial, Tripwire Enterprise puede ser una opción deseable. Por otro lado, los usuarios de OSSEC, a diferencia de los clientes de Tripwire, no están sujetos a la dependencia de un proveedor. Posteriormente, tienen más libertad para integrar OSSEC con otros paquetes para crear una cadena de herramientas de seguridad integral.

Referencias

http://www.iraj.in/journal/journal_file/journal_pdf/3-27-139087836726-32.pdf

https://www.ossec.net/docs/manual/non-technical-overview.html

https://www.tripwire.com/products/tripwire-enterprise/

https://www.alienvault.com/blogs/security-essentials/open-source-intrusion-detection-tools-a-quick-overview