Tripwire Enterprise vs Tripwire gratuito de código abierto

Cuando el estudiante de Purdue Gene Kim y el profesor Gene Spafford se unieron para construir la versión inicial de Tripwire en 1992, poco sabían que sus técnicas de detección de intrusos se convertirían en estándares de la industria para un mercado de $2.71 mil millones en 2014, con estimaciones de crecimiento de $5.04 mil millones para 2019. Claramente, la amenaza cada vez mayor de ataques cibernéticos sofisticados y violaciones de seguridad solo ampliará el panorama de las soluciones de seguridad con el tiempo. Los piratas informáticos son cada vez más inteligentes; Además de esto, las vulnerabilidades seguirán apareciendo y resurgiendo en componentes de software críticos.

Tomemos, por ejemplo, la vulnerabilidad Ghost recientemente anunciada. Previamente corregido en 2013, el error hizo una gran reaparición el mes pasado, enviando a los administradores de Linux a todas partes en una loca carrera para parchear sus GNU C Libraries (glibc). Los profesionales de la seguridad deben estar atentos y ser proactivos a la hora de reforzar sus sistemas, pero en muchos casos solo tienen un tiempo de respuesta rápido de su lado para mitigar las posibles violaciones de seguridad. Con este fin, los sistemas de detección y protección de intrusiones (IDPS) como Tripwire desempeñan un papel crucial a la hora de proporcionar la concienciación de seguridad necesaria al personal de TI para reducir el tiempo de resolución durante una crisis.

Tripwire e IDPS: Lo básico

Un IDPS cumple tres funciones principales: detecta una posible intrusión, alerta al personal de TI del evento y, en muchos casos, intenta bloquear o inocular el ataque. Las soluciones IDPS se presentan principalmente en dos formas: sistemas basados en red y sistemas basados en host. Un IDPS basado en red suele ser un dispositivo o dispositivo de hardware que supervisa el tráfico y analiza los paquetes de datos en busca de actividades sospechosas, mientras que un IDPS basado en host es un software instalado en una máquina host que supervisa la información de configuración local y la actividad de la aplicación en busca de irregularidades.

Tripwire es un IDPS basado en host. Ejecuta comprobaciones de integridad de datos sobre el estado de la máquina host e informa de sus hallazgos al usuario. Para realizar una diferencia entre los dos estados, Tripwire primero escanea y almacena la información inicial de cada archivo como hashes criptográficos en una base de datos (eliminando así la necesidad de cargar el contenido real del archivo). Una brecha de seguridad aparentemente resultaría en que los archivos locales cambien de tamaño y contenido, por lo que si se detecta una diferencia en el valor hash almacenado al escanear los archivos, se genera una bandera de intrusión y se notifica al usuario.

Este método básico y subyacente para la detección de intrusiones es común en todas las ofertas de Tripwire y, de hecho, la mayoría de las ofertas de IDPS de la competencia siguen el mismo enfoque o uno similar. Para esta discusión, compararemos Tripwire Enterprise con la versión de código abierto de Tripwire basada en el código aportado originalmente por la compañía en el año 2000.

Tripwire Enterprise frente a Tripwire Open Source

A pesar de la eventual formación de Tripwire, Inc. como una empresa con fines de lucro en 1997, la versión gratuita de código abierto del IDPS todavía está viva y le va bien hoy en día. Disponible para su descarga en SourceForge, Open Source Tripwire está dirigido a distribuciones de Linux y debe compilarse a partir de archivos comprimidos de código fuente antes de su instalación. Esto, junto con la instalación y la configuración, obviamente requiere cierto nivel de habilidad en la administración de Linux. Tripwire actualmente no ofrece una versión gratuita de su IDPS para plataformas Windows, por lo que los usuarios que no son Unix/Linux no tienen suerte en este sentido.

En términos de características, Open Source Tripwire comparte gran parte de la funcionalidad básica de IDPS contenida en su contraparte empresarial, como la capacidad de alertar a diferentes usuarios/grupos en función de la naturaleza de los cambios detectados, la evaluación del nivel de gravedad de los archivos/directorios comprometidos y los informes de syslog, entre otros. El soporte técnico y la asistencia están impulsados por la comunidad, como se espera de la mayoría de las ofertas gratuitas de código abierto. Tripwire Open Source es una solución de seguridad ideal para casos de uso a pequeña escala, como la supervisión de un solo servidor Linux o una pequeña granja de Linux.

Tripwire Enterprise está orientado a grandes organizaciones con infraestructuras de TI considerables. A diferencia de la versión gratuita, la oferta empresarial está disponible para Windows, Linux y otras variantes de Unix como Solaris y AIX. El soporte técnico se puede obtener por teléfono o correo electrónico, y los servicios profesionales están disponibles de guardia para ayudar en instalaciones personalizadas. Varias otras características abundan en la versión empresarial; por ejemplo, Tripwire Manager permite la gestión centralizada y la generación de informes de varias instalaciones de Tripwire.

En general, los requisitos de IDPS de las empresas corporativas más grandes difieren en que necesitan características como soporte multiplataforma, control/informes centralizados, funciones de automatización avanzadas y soporte profesional, todo lo cual viene de serie con la empresa, pero está notablemente ausente en la versión de código abierto. Además, Tripwire Enterprise viene con campanas y silbatos dirigidos a clientes corporativos, como políticas de cumplimiento listas para usar para el cumplimiento de medidas como PCI y NIST.

Por lo tanto, para instalaciones de Linux simples o más pequeñas que requieren protección básica de IDPS, Open Source Tripwire es una opción viable, especialmente para aquellos con habilidades básicas de administración de Linux que requieren un mínimo de apoyo en la instalación y configuración. Para casos de uso más avanzados que requieren soporte multiplataforma, una línea directa con asistencia técnica, informes centralizados y otras funciones de cumplimiento y automatización, Tripwire Enterprise es el camino a seguir.