FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

注意：

• 开源不等于便宜，需要较多人工，需要维护人员有代码能力，解决问题的能力，实际有了AI大模型之后，降低了维护难度和代码能力要求

• 开源没有国内产品安全认证，过不了等保这类认证。

• 搭建开源安全系统需要硬件资源，需要服务器，并且服务器配置不能太低

• 本文主要介绍一些长期支持的防护类的开源系统/工具

开源防护架构

先来个拓扑

开源（免费）网络安全产品清单

配置建议

开源安全工具的硬件资源需求参考表，综合官方文档及生产环境实践建议：

开源安全工具硬件资源需求参考表

关键补充说明

1. 存储类型：

   • SSD必需：所有工具的生产环境均需SSD/NVMe，尤其是数据库、索引、缓存服务（如Elasticsearch, Redis, PostgreSQL）。

   • 容量规划：日志/取证类工具（Wazuh, Velociraptor）需预留3-5倍原始数据的存储空间。

2. 网络要求：

   • 防火墙/WAF/NDR工具需万兆网卡（10Gbps+）以处理高吞吐流量。

   • 跨节点工具（如Security Onion集群）需低延迟网络（≤1ms）。

3. 生产环境建议：

   • 高可用部署：关键服务（IAM、数据库审计、SIEM）应配置集群（如PostgreSQL流复制、Elasticsearch分片）。

   • 独立部署：资源密集型工具（Elasticsearch, Redis, 数据库）需与主服务分离部署。

4. 性能监控指标：

   • CPU：持续＞70%需扩容。

   • 内存：Swap使用＞0%或可用内存＜20%需扩容。

   • 磁盘IO：读写延迟＞10ms需优化存储或升级SSD。

跟等保三级要求的对应关系

依据《网络安全等级保护测评高风险判定指引》三级标准，结合开源工具能力，详细分析如下：

集中日志

ELK + AI + Sigma的方案

核心组件实现

1. Sigma规则转换

   • 使用 sigma2elastic工具将Sigma规则转换为Elastic可直接导入的ndjson格式：

     • python sigma2elastic.py -t elk-siem -c config.yml sigma_rules/ -o output.ndjson
       
       

     • 自动处理大小写敏感问题（转换为[Nn][Aa][Mm][Ee]格式）¹

     • 支持实时更新Sigma官方规则库（通过cron定时任务）¹⁴

2. ELK集成层

   • 在Kibana中导入转换后的规则：

     curl -X POST "kibana:5601/api/detection_engine/rules/_import" 
          -H "kbn-xsrf: true" --form [email protected]
     
     

   • 实现功能：

     • 实时日志分析（Elasticsearch执行Sigma检测规则）²

     • 威胁可视化（Kibana仪表板展示检测结果）²

3. AI分析引擎

   • 构建AI处理流水线：

   • # 示例：AI日志分析工作流
     from elk_ai_connector import analyze_logs
     
     results = analyze_logs(
         index="security-log*",
         features=["anomaly_score", "threat_pattern"]
     )
     generate_response_script(results)  # 生成运维响应脚本
     
     

     AI核心能力：

     • 异常行为检测（识别0day攻击模式）³

     • 告警自动调优（减少误报率）³

     • 生成Python运维脚本（实现闭环响应）³

4. 自动化运维闭环

   • 响应机制：

   

配合opnsense防护墙做自动化拦截，https://docs.opnsense.org/development/api.html

防火墙规则管理（Python API调用），实现自动拦截，实际代码可以增加拦截周期

import requests
import json

def block_ip(ip_address):
    """阻断指定IP地址的流量[4]"""
    api_url = "https://opnsense/api/firewall/filter/addRule"
    headers = {"Content-Type": "application/json"}
    payload = {
        "rule": {
            "enabled": "1",
            "action": "block",
            "interface": "wan",
            "protocol": "any",
            "source": ip_address,
            "destination": "any",
            "description": "Auto-blocked by AI engine"
        }
    }
    response = requests.post(
        api_url,
        auth=("api_key", "api_secret"),
        headers=headers,
        data=json.dumps(payload),
        verify=False
    )
    if response.status_code == 200:
        apply_rules()  # 应用规则变更
        return True
    return False

def apply_rules():
    """应用防火墙规则变更[1]"""
    requests.post(
        "https://opnsense/api/firewall/filter/apply",
        auth=("api_key", "api_secret")
    )

DNS重定向（自动化配置），跟威胁情报配合，拦截恶意域名请求

def redirect_dns_to_local():
    """重定向所有DNS请求到本地解析器[4]"""
    payload = {
        "rule": {
            "enabled": "1",
            "protocol": "tcp/udp",
            "destination_port": "53",
            "target": "127.0.0.1",
            "target_port": "53",
            "description": "DNS redirect to Unbound"
        }
    }
    requests.post(
        "https://opnsense/api/firewall/nat/portForward",
        auth=("api_key", "api_secret"),
        json=payload
    )

说明：

1. API认证：需先在OPNsense Web界面生成API密钥（系统 > 设置 > API）

2. 持久化配置：所有规则变更后需调用apply_rules()使配置生效¹

3. 安全增强：建议使用VPN隧道或IP白名单保护API访问

4. 错误处理：实际部署需添加异常处理（如连接超时、认证失败等）

其他

主动扫描的任务可以部署红队工具链，执行自动化扫描。持续的监控和处理漏洞。

本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）