在現(xiàn)代企業(yè)組織的網(wǎng)絡(luò)安全建設(shè)中，安全運(yùn)營團(tuán)隊(duì)無疑發(fā)揮著非常重要的作用。他們始終站在網(wǎng)絡(luò)安全防護(hù)的第一線：部署防護(hù)工具、監(jiān)控系統(tǒng)運(yùn)行狀態(tài)，并在威脅發(fā)生時(shí)進(jìn)行應(yīng)急響應(yīng)。然而，要做好網(wǎng)絡(luò)安全運(yùn)營工作并不容易，只有借助大量先進(jìn)的安全運(yùn)營工具，組織才能不斷提升安全運(yùn)營的能力和效率。

本文收集匯總了目前最受安全運(yùn)營人員歡迎的60種安全工具，它們較完整地覆蓋了企業(yè)網(wǎng)絡(luò)安全運(yùn)營工作的各個(gè)方面，包括事件信息收集、漏洞掃描、漏洞管理和威脅檢測等，能夠有效幫助安全運(yùn)營人員發(fā)現(xiàn)更多潛在的安全風(fēng)險(xiǎn)。

一、掃描/滲透測試工具(7款)

1、Vulnerability Manager Plus

這是一款集成的威脅和漏洞管理解決方案，可以通過即時(shí)檢測來發(fā)現(xiàn)并修復(fù)漏洞，保護(hù)企業(yè)網(wǎng)絡(luò)免受攻擊。

2、OpenVAS

OpenVAS是一種包括多種威脅測試服務(wù)和工具的框架，提供了較全面且高效的漏洞掃描和漏洞管理解決方案。

3、Metasploit框架

這是一款主要用于針對遠(yuǎn)程目標(biāo)設(shè)備開發(fā)和執(zhí)行漏洞利用代碼的常用網(wǎng)絡(luò)安全工具，還包含了其他類型的重要子功能，主要包括Opcode數(shù)據(jù)庫、shellcode歸檔及相關(guān)威脅研究資料。

4、Kali

Kali Linux是一個(gè)由Debian派生的Linux發(fā)行版，主要為數(shù)字取證和滲透測試而設(shè)計(jì)。Kali Linux預(yù)裝許多安全性滲透測試程序，包括nmap(端口掃描器)、Wireshark(數(shù)據(jù)包分析器)、John the Ripper(密碼破解器)以及Aircrack-ng(對無線局域網(wǎng)執(zhí)行滲透測試的軟件套件)等。

5、Scapy

這款工具基于Python的交互式數(shù)據(jù)包處理程序和庫，提供了一個(gè)強(qiáng)大而靈活的工具集，可用于構(gòu)建、發(fā)送和解析網(wǎng)絡(luò)數(shù)據(jù)包。Scapy允許用戶通過編寫Python代碼來創(chuàng)建和操作各種類型的網(wǎng)絡(luò)數(shù)據(jù)包，例如TCP、UDP、ICMP等。

6、Pompen

這款開源網(wǎng)絡(luò)安全工具是用Python開發(fā)，有一個(gè)高級(jí)搜索系統(tǒng)，能夠自動(dòng)搜索各大數(shù)據(jù)庫中的安全漏洞，非常方便滲透測試工程師開展日常工作。其最新版本還可以執(zhí)行數(shù)據(jù)庫內(nèi)的威脅搜索。

7、Nmap

這是一款用于網(wǎng)絡(luò)發(fā)現(xiàn)和安全審計(jì)的免費(fèi)開源工具，目前被廣泛用于評估網(wǎng)絡(luò)主機(jī)的安全性，識(shí)別網(wǎng)絡(luò)上的開放端口和服務(wù)，以及執(zhí)行網(wǎng)絡(luò)掃描和主機(jī)發(fā)現(xiàn)操作。

二、安全監(jiān)控/日志記錄工具(8款)

8、Justniffer

這是一款網(wǎng)絡(luò)協(xié)議分析器，可以捕獲網(wǎng)絡(luò)流量、以定制的方式生成日志、模擬Apache Web服務(wù)器日志文件、跟蹤響應(yīng)時(shí)間，并從HTTP流量中提取所有被截獲的文件。

9、Httpry

這是一款專門用于顯示和記錄HTTP流量的數(shù)據(jù)包嗅探器，其目的不是執(zhí)行分析本身，而是捕獲、解析和記錄流量，供后續(xù)的安全分析使用。它可以實(shí)時(shí)運(yùn)行，顯示解析的流量，也可以作為將結(jié)果錄入到輸出文件的守護(hù)進(jìn)程來運(yùn)行。這款產(chǎn)品具有輕量靈活的優(yōu)點(diǎn)，可輕松適應(yīng)不同的應(yīng)用環(huán)境。

10、Ngrep

可以提供GNU grep的大多數(shù)常見功能，并將它們運(yùn)用到網(wǎng)絡(luò)層。Ngrep還支持pcap工具，允許用戶指定擴(kuò)展的正則或十六進(jìn)制表達(dá)式，對照數(shù)據(jù)包的數(shù)據(jù)載荷進(jìn)行匹配。

11、PassiveDNS

是目前應(yīng)用最廣泛的網(wǎng)絡(luò)安全工具之一，可以被動(dòng)地收集DNS記錄，以幫助事件處理、網(wǎng)絡(luò)安全監(jiān)控和一般的數(shù)字取證。PassiveDNS還可以在內(nèi)存中緩存/聚合重復(fù)的DNS應(yīng)答，從而限制日志文件中的數(shù)據(jù)量，又不丟失DNS應(yīng)答中的實(shí)質(zhì)內(nèi)容。

12、Sagan

該工具主要使用類似Snort的引擎和規(guī)則來分析日志(syslog/事件日志/snmptrap/netflow/等)，它可以處理多種日志格式，包括syslog、事件日志、SNMP Trap、NetFlow等。

13、Node安全平臺(tái)

該產(chǎn)品專注于提供Node.js應(yīng)用程序的安全性分析和漏洞檢測。它旨在幫助開發(fā)人員識(shí)別和修復(fù)Node.js應(yīng)用程序中的安全漏洞，并提供一種簡單而經(jīng)濟(jì)的方式來確保應(yīng)用程序的安全性。

14、Ntopng

是一款網(wǎng)絡(luò)流量探測器，它可以顯示實(shí)時(shí)的網(wǎng)絡(luò)使用情況，類似于流行的Unix命令"top"用于監(jiān)視系統(tǒng)資源使用情況。

15、Fibratus

這是一款用于探索和跟蹤Windows內(nèi)核的工具。它能夠捕獲大多數(shù)Windows內(nèi)核活動(dòng)。Fibratus有非常簡單的CLI，提供了啟動(dòng)內(nèi)核事件流收集器、設(shè)置內(nèi)核事件過濾器或運(yùn)行名為filaments的輕量級(jí)Python模塊。

三、網(wǎng)絡(luò)(主機(jī))入侵檢測工具(12款)

16、Snort

Snort是一款免費(fèi)開源網(wǎng)絡(luò)入侵防御系統(tǒng)(NIPS)和網(wǎng)絡(luò)入侵檢測系統(tǒng)(NIDS)，現(xiàn)在由Sourcefire開發(fā)維護(hù)。早在2009年，Snort就作為有史以來最出色的開源安全軟件之一，躋身IT外媒《InfoWorld》的優(yōu)秀開源產(chǎn)品目錄。

17、Bro /Zeek

Bro現(xiàn)在更名為Zeek，是一個(gè)功能強(qiáng)大的網(wǎng)絡(luò)分析框架，與傳統(tǒng)的入侵檢測系統(tǒng)(IDS)有很大的區(qū)別。

18、OSSEC

OSSEC是一個(gè)全面的開源HIDS工具，可執(zhí)行日志分析、文件完整性檢查、策略監(jiān)控、rootkit檢測、實(shí)時(shí)警報(bào)和主動(dòng)響應(yīng)，并可以在大多數(shù)操作系統(tǒng)上運(yùn)行，包括Linux、MacOS、Solaris、HP-UX、AIX和Windows。該工具的文檔完備，適合部署到中小企業(yè)。

19、Suricata

這是一款高性能的開源網(wǎng)絡(luò)IDS、IPS和網(wǎng)絡(luò)安全監(jiān)控引擎，歸社區(qū)運(yùn)營的非盈利基金會(huì)開放信息安全基金會(huì)(OISF)所有。

20、Security Onion

這是用于Linux發(fā)行版的入侵檢測、網(wǎng)絡(luò)安全監(jiān)控和日志管理的工具，主要基于Ubuntu，含有Snort、Suricata、Bro、OSSEC、Sguil、Squert、Snorby、ELSA、Xplico、NetworkMiner及其他許多安全工具。可通過快捷的安裝向?qū)槠髽I(yè)構(gòu)建批量化的分布式傳感器。

21、sshwatch

這是一個(gè)類似DenyHosts的安全工具，用Python編寫，可以在日志中收集攻擊者在攻擊過程中的各種遺留信息。

22、Stealth

這是一款幾乎不留下殘余的文件完整性檢查器，可以通過控制器從另一臺(tái)機(jī)器上運(yùn)行，攻擊者很難知道文件系統(tǒng)在SSH上以定義的偽隨機(jī)間隔進(jìn)行檢查。適合部署在中小企業(yè)。

23、AIEngine

這是新一代交互式/可編程Python/Ruby/Java/Lua數(shù)據(jù)包檢測引擎，具有自動(dòng)化學(xué)習(xí)、NIDS、DNS域分類、網(wǎng)絡(luò)收集器和網(wǎng)絡(luò)取證等功能。

24、Denyhosts

這是一個(gè)用于防止基于字典的SSH攻擊和蠻力攻擊的工具。它可以通過監(jiān)視SSH登錄嘗試，并根據(jù)預(yù)先定義的規(guī)則和配置來阻止惡意的登錄嘗試。

25、Fail2Ban

這是一個(gè)非常受歡迎安全工具，它通過掃描日志文件來檢測惡意行為，并采取相應(yīng)措施來保護(hù)服務(wù)器免受攻擊。

26、SSHGuard

這是一個(gè)用C語言編寫的威脅檢測軟件，除了保護(hù)SSH服務(wù)外，它還可以保護(hù)其他服務(wù)免受惡意行為和暴力攻擊。

27、Lynis

是一個(gè)面向Linux和Unix系統(tǒng)的開源安全審計(jì)工具，旨在幫助管理員評估和提高系統(tǒng)的安全性，并提供有關(guān)系統(tǒng)配置錯(cuò)誤、漏洞和潛在風(fēng)險(xiǎn)的詳細(xì)報(bào)告。

四、蜜罐/蜜網(wǎng)工具(11款)

28、HoneyPy

這是一個(gè)中低交互性的蜜罐，具有易于部署、使用插件擴(kuò)展功能和采用自定義配置等特點(diǎn)。

29、Dionaea

該產(chǎn)品嵌入了Python腳本語言，可以使用libemu來檢測shellcodes，并支持IPv6和TLS。

30、Conpot

這是一個(gè)ICS/SCADA蜜罐(Honeypot)工具，可以模擬和模仿工控系統(tǒng)(Industrial Control Systems)和SCADA(Supervisory Control and Data Acquisition)環(huán)境，以吸引潛在的攻擊者并收集關(guān)于攻擊行為的信息。

31、Amun

這是一個(gè)基于Python的低交互蜜罐(Honeypot)框架，用于模擬和捕獲各種網(wǎng)絡(luò)攻擊行為，它能夠吸引攻擊者并記錄他們的活動(dòng)，以便分析和研究攻擊手段。

32、Glastopf

這個(gè)蜜罐可以真實(shí)模擬出數(shù)千個(gè)漏洞，并從針對Web應(yīng)用程序的攻擊中收集數(shù)據(jù)。其背后的原理非常簡單，主要是向利用web應(yīng)用程序發(fā)起攻擊的人員轉(zhuǎn)發(fā)正確的響應(yīng)。

33、Kippo

這是一個(gè)中等交互的SSH蜜罐(Honeypot)，可專門用于記錄蠻力攻擊和模擬SSH登錄過程。它的一個(gè)重要特點(diǎn)是能夠全面記錄攻擊者執(zhí)行的整個(gè)shell交互過程。

34、Kojoney

這是一個(gè)低交互的蜜罐，可以專門模擬SSH服務(wù)器。它是使用Python編寫的，并使用Twisted Conch庫作為守護(hù)進(jìn)程。

35、HonSSH

這是一款高度交互的蜜罐解決方案，介于攻擊者和蜜罐之間，創(chuàng)建兩個(gè)獨(dú)立的SSH連接。

36、Bifrozt

這是一個(gè)帶DHCP服務(wù)器的NAT設(shè)備，可以會(huì)通過一塊網(wǎng)卡直連到互聯(lián)網(wǎng)，而另一塊網(wǎng)卡連到內(nèi)部網(wǎng)絡(luò)。Bifrozt與其他標(biāo)準(zhǔn)NAT設(shè)備的區(qū)別在于，它能夠在攻擊者和蜜罐之間充當(dāng)透明的SSHv2代理。

37、HoneyDrive

這是一個(gè)非常流行的Linux發(fā)行版蜜罐。它是一個(gè)虛擬設(shè)備(OVA)，安裝了Xubuntu Desktop 12.04.4 LTS版本。它含有10多個(gè)預(yù)安裝預(yù)配置的蜜罐軟件包，比如Kippo SSH蜜罐、Dionaea和Amun惡意軟件蜜罐等。

38、Cuckoo Sandbox

這款開源軟件可用于自動(dòng)分析可疑文件，并使用自定義組件在隔離環(huán)境中運(yùn)行時(shí)監(jiān)測惡意進(jìn)程的行為。

五、數(shù)據(jù)包捕獲/取證工具(6款)

39、Tcpflow

這個(gè)工具可以捕獲作為TCP連接流上的部分傳輸數(shù)據(jù)，并以方便協(xié)議分析和調(diào)試的方式存儲(chǔ)這些數(shù)據(jù)。

40、Xplico

這是一個(gè)旨在從互聯(lián)網(wǎng)流量中提取并捕獲應(yīng)用程序數(shù)據(jù)的工具。比如說，Xplico可以從pcap文件中提取電子郵件(POP、IMAP和SMTP協(xié)議)、所有HTTP內(nèi)容、每個(gè)VoIP呼叫(SIP)、FTP和TFTP等。Xplico并不是網(wǎng)絡(luò)協(xié)議分析器，而是開源的網(wǎng)絡(luò)取證分析工具(NFAT)。

41、Moloch

這是一個(gè)開源的大規(guī)模IPv4數(shù)據(jù)包捕獲(PCAP)、索引和數(shù)據(jù)庫系統(tǒng)，可以為PCAP瀏覽、搜索和導(dǎo)出提供一個(gè)簡單的web界面，并提供了允許直接下載PCAP數(shù)據(jù)和JSON格式的會(huì)話數(shù)據(jù)的API。Moloch無意取代IDS引擎，而是與它們一起以標(biāo)準(zhǔn)PCAP格式存儲(chǔ)和索引所有網(wǎng)絡(luò)流量，提供快速訪問。Moloch可以部署在多種版本的系統(tǒng)上，并在擴(kuò)展后可以處理每秒數(shù)千兆位的流量。

42、OpenFPC

這是一套由多種工具組合起來的輕量級(jí)完整數(shù)據(jù)包網(wǎng)絡(luò)流量記錄和緩沖系統(tǒng)，旨在幫助非專業(yè)用戶在商用硬件上部署分布式網(wǎng)絡(luò)流量記錄器，同時(shí)將其整合到現(xiàn)有的警報(bào)和日志管理工具中。

43、Dshell

這是是一個(gè)網(wǎng)絡(luò)取證分析框架，它能夠支持插件的快速開發(fā)，以便進(jìn)行對捕獲的網(wǎng)絡(luò)數(shù)據(jù)包的分析和解析。

44、Stenographer

這個(gè)數(shù)據(jù)包捕獲解決方案旨在將所有數(shù)據(jù)包快速轉(zhuǎn)到磁盤，然后提供對這些數(shù)據(jù)包子集的簡單快速訪問。

六、網(wǎng)絡(luò)安全嗅探器工具(3款)

45、Wireshark

這個(gè)免費(fèi)開源的流量包分析工具，主要用于網(wǎng)絡(luò)故障排除、分析、通信協(xié)議開發(fā)以及用戶教育。Wireshark與tcpdump非常相似，但有圖形化前端，外加一些集成的排序和過濾選項(xiàng)。

46、Netsniff-ng

這是一個(gè)免費(fèi)的Linux網(wǎng)絡(luò)工具包，堪稱瑞士軍刀，可處理日常Linux網(wǎng)絡(luò)任務(wù)，同時(shí)零復(fù)制機(jī)制也提升了其性能，因此在收發(fā)數(shù)據(jù)包時(shí)，內(nèi)核不需要將數(shù)據(jù)包從內(nèi)核空間復(fù)制到用戶空間，反之亦然。

47、Live HTTP headers

這個(gè)免費(fèi)的Firefox插件可以實(shí)時(shí)查看瀏覽器請求，它能夠完整顯示請求的整個(gè)標(biāo)頭，可用于查找實(shí)際的安全漏洞。

七、日志分析工具(3款)

48、Prelude

這是一個(gè)通用型的無代理安全信息和事件管理(SIEM)系統(tǒng)，可以獨(dú)立收集、規(guī)范、分類、聚合、關(guān)聯(lián)和報(bào)告與網(wǎng)絡(luò)安全相關(guān)的各種類型事件，而不依賴觸發(fā)這些事件的產(chǎn)品品牌或許可證。

49、OSSIM

這是一個(gè)開源的安全信息和事件管理系統(tǒng)，提供了安全專業(yè)人經(jīng)常用到的安全日志分析與管理功能，包括事件收集、規(guī)范和關(guān)聯(lián)等。

50、FIR

這是一個(gè)非常流行的網(wǎng)絡(luò)安全事件管理平臺(tái)，能夠幫助企業(yè)組織快速進(jìn)行安全事件響應(yīng)和處理。

八、快速數(shù)據(jù)包處理(6款)

51、DPDK

這是一組用于快速處理數(shù)據(jù)包的庫和驅(qū)動(dòng)程序，它是一個(gè)開源項(xiàng)目，旨在提供高性能的數(shù)據(jù)包處理和網(wǎng)絡(luò)功能虛擬化。

52、PFQ

這是一個(gè)為Linux操作系統(tǒng)設(shè)計(jì)的實(shí)用網(wǎng)絡(luò)框架，能夠支持高效的數(shù)據(jù)包捕獲/傳輸(10G及以上)、內(nèi)核中功能處理以及跨套接字/端點(diǎn)的數(shù)據(jù)包轉(zhuǎn)向。

53、PF_RING

這是一種新型的網(wǎng)絡(luò)套接字(socket)技術(shù)，旨在顯著提高數(shù)據(jù)包捕獲速度。它是一個(gè)開源項(xiàng)目，可以為高速數(shù)據(jù)包處理提供了一種有效的解決方案。

54、PF_RING ZC

這個(gè)靈活的數(shù)據(jù)包處理框架可以針對不同大小的數(shù)據(jù)包，支持實(shí)現(xiàn)1/10 Gbit的線路速率數(shù)據(jù)包處理(RX和TX)。它實(shí)現(xiàn)了零拷貝操作，包括進(jìn)程間通信和虛擬機(jī)間(KVM)通信的模式。

55、PACKET_MMAP

這款工具可以在Linux環(huán)境中提升對數(shù)據(jù)包捕獲和傳輸過程的性能。

56、netmap

這是一個(gè)面向高速數(shù)據(jù)包I/O處理的框架工具，它可以作為單一的內(nèi)核模塊使用，同時(shí)適用于FreeBSD、Linux和Windows系統(tǒng)。

九、其他網(wǎng)絡(luò)安全工具(4款)

57、pfSense

這是一個(gè)基于FreeBSD的防火墻和路由器發(fā)行版，它提供了豐富的功能和靈活性，適用于各種網(wǎng)絡(luò)安全和路由需求。

58、OPNsense

這是一個(gè)易于使用、易于構(gòu)建、基于FreeBSD的開源防火墻和路由平臺(tái)。OPNsense包括了商業(yè)版防火墻系統(tǒng)擁有的大多數(shù)功能。

59、SpamAssassin

這是一個(gè)功能強(qiáng)大且廣泛使用的垃圾郵件過濾器，它采用多種檢測技術(shù)來識(shí)別和過濾垃圾郵件。

60、OpenVPN

這個(gè)開源軟件應(yīng)用程序?qū)崿F(xiàn)了虛擬專用網(wǎng)(VPN)技術(shù)，可用于在路由設(shè)備或遠(yuǎn)程訪問設(shè)施中創(chuàng)建安全的點(diǎn)對點(diǎn)連接，它使用的自定義安全協(xié)議采用了SSL/TLS密鑰交換。