Security Onion已成为任何搭建或运营安全运营中心 (SOC) 的人员都应该熟悉的平台之一。它是免费的开源软件，将网络监控、威胁狩猎和日志管理整合在一个平台上，并提供一系列经过生产验证的工具，可以加速蓝队的工作。
在深入研究之前，设定合理的预期至关重要：它并非万能灵药，也不是“一键解决所有问题”的按钮。它的强大之处在于它如何整合多个组件，以及使用它的团队的判断力。它需要学习如何使用，如何根据不同的环境进行调整，以及如何最大限度地发挥其功能；如果我们做到了这一点，该平台就能带来巨大的价值。
什么是安全洋葱？它能解决什么问题？
Security Onion 是一款专注于威胁检测和响应的 Linux 发行版，它集成了入侵检测/防御系统 (IDS/IPS)、流量分析、事件管理等功能，与其他安全发行版类似。它专为威胁狩猎、企业安全监控和日志管理而设计，并提供自定义的告警、仪表盘、狩猎、PCAP 数据包捕获、检测和案例管理界面。此外，它还包含 osquery、CyberChef、Elasticsearch、Logstash、Kibana、Suricata 和 Zeek 等工具。
该项目的幕后推手是 Security Onion Solutions, LLC。他们创建并维护该平台，并通过商业产品和服务为其开发提供资金；当一家公司订阅他们的支持或专业版时，它就为该项目的持续发展做出了贡献，以适应不断变化的威胁形势。
Security Onion 特色组件和工具
其最大的优势之一在于其内置的丰富引擎和实用工具，可随时进行关联分析。该套件整合了数据包捕获、基于规则的入侵检测系统 (IDS) 和深度流量分析，以及主机入侵检测系统 (HIDS) 和强大的搜索/可视化功能。
使用 netsniff-ng 捕获流量
netsniff-ng 是底层运行的组件之一。该组件捕获网络流量并高效管理 PCAP 存储，必要时删除旧数据以避免磁盘空间不足。这种捕获机制对于审查数据泄露、网络钓鱼活动或入侵的证据至关重要，因为需要重新分析数据包才能了解事件的来龙去脉。
基于规则的IDS/IPS：Suricata和Snort
Security Onion 集成了两款久经考验的基于特征码的检测工具：Suricata 和 Snort，它们都位列顶级 Linux 入侵检测系统 (IDS)榜单。这些工具通过规则触发警报，识别已知的攻击模式。它们依赖于存储在规则库中的“指纹”，是检测恶意软件家族、已知 C2 威胁、漏洞利用以及先前描述的行为的第一道防线。
使用 Zeek 进行网络分析
除了上述方法之外，Zeek（原名 Bro）采用了一种不同的方法。它执行被动检测，并生成详细的连接日志（包括 conn、dns、http、ssl/tls 等）。除了 IP 地址、端口和协议之外，它还提供丰富的属性，例如 DNS 查询、TLS 详细信息以及多种协议（包括 HTTP、FTP、IRC、SMTP、SSH、SSL 和 Syslog 等）的第 7 层信息。
其灵活性的一个实际例子是：可以导入包含企业信息的辅助数据源（例如 CSV 文件），并将其与下载事件、登录或其他活动进行交叉引用。然后，可以将这些关联信息提供给防病毒软件、反恶意软件或 SIEM 系统，从而协调更敏捷的响应。
使用 Wazuh 在端点上进行 HIDS
基于主机的入侵检测系统 (IDS) 进一步增强了可见性。Wazuh通过适用于 Windows、Linux 和 macOS 的代理程序监控每个端点，分析系统日志、验证文件完整性、监控策略并检测 rootkit。凭借其实时警报和响应措施，它为您的安全策略增添了主动防御层。它与 Elastic Stack 完全集成，可用于搜索和可视化。
搜索堆栈和分析工具
Security Onion 集成了 Elasticsearch 和 Kibana，用于查询和仪表盘，以及专为分析师日常工作设计的实用工具。Sguil作为 IDS/IPS 和数据包捕获之间的桥梁，加速了故障排查和协作调查。此外，还包含 Squert、CapMe 和其他专有仪表盘，用于威胁狩猎、数据包捕获和案例管理。
其他内置实用程序
为了快速分析和解码任务，该平台集成了 CyberChef。它就像一把瑞士军刀，无需离开 SOC 环境即可转换和检查数据。配合 osquery，您可以批量查询整个端点池的状态和属性。
Meerkat/Snort 与 Zeek：互补方法
区分平台上两种最常见的检测模型至关重要。Suricata和 Snort 会触发基于规则的警报，并可被动地进行检查或阻止（取决于部署情况），而 Zeek 则优先生成丰富的遥测数据以重构攻击过程。这种组合有助于检测已知威胁并调查未知威胁。
Security Onion 中的可见性和分析：Sguil、Squert、Kibana 和 CapMe
一个优秀的安全运营中心（SOC）不仅仅需要触发警报；它还需要上下文信息、协作和工作流程。Sguil的界面集中管理事件，并允许您切换到 PCAP 文件，从而准确了解线缆上发生的情况。Squert 提供敏捷视图，Kibana 提供自定义搜索和仪表板，而 CapMe 则可以轻松提取特定案例的相关数据包。
这些集成视图减少了团队之间的摩擦：分析师可以快速分配、升级和记录每个事件，避免检测、搜索和网络取证之间通常存在的脱节。
Security Onion 入门：下载、文档和虚拟化
通常的起点是官方仓库。您可以从 GitHub 下载 ISO 文件，并且首先要阅读文档，其中包含一个非常全面的“入门指南”部分，提供了多种部署路径。
如果您没有可用的 Linux 主机，也不用担心：本指南涵盖了使用 VirtualBox 和 VMware 的虚拟化方案，包括创建特定的虚拟机来设置套件并开始网络审计。
建议的最低要求
为了顺利启动，文档建议的基本配置较为适中：64 位 CPU（双核或多核）、8 GB 内存、80 GB 磁盘空间以及启用混杂模式的网卡。在高流量环境下，建议将内存增加到 16 GB 或更多，并添加数百 GB 的存储空间（最好是高速存储设备）来处理 PCAP 文件和一系列日志。
实用快捷方式：备忘单
另一个实用资源是官方日志表模板。这份速查表精简了维护命令和关键文件路径，非常适合在时间紧迫的情况下查找服务日志。
新闻与不断演变
项目进展迅速，因为竞争也同样激烈。近期的一次重大更新是 2.4.120 版本（2025 年 2 月），该版本包含诸多改进。
- 新的警报界面带有人工智能摘要 一目了然地了解事件并加快响应速度。
- Zeek 7 集成，扩展了对 QUIC、HTTP/2、OpenVPN 或 IPsec 等协议的支持，从而改进了检测和分析。
- ATT&CK 导航器 内置将事件映射到 MITRE ATT&CK 框架并明智地确定威胁的优先级。
- Security Onion Pro 中的外部 API，对于自定义集成或自定义界面很有用。
- 本地 IP 地址查找 在 SOC 中可以看到自定义描述，如果缺少 PTR 或需要注意关键 IP，则非常实用。
除了 2.4.120 版本之外， 2025 年还陆续发布了 2.4.130、2.4.140、2.4.141、2.4.150、2.4.160 和 2.4.170 版本，这进一步表明改进周期是持续不断的，并且及时更新是值得的。
常见用例
Security Onion 适用于多种场景，从检测网络钓鱼攻击到追踪 C2 威胁、调查数据泄露，再到集中管理日志以实现统一的可见性，它都能胜任。其开放且模块化的特性使其能够适应中小型企业和大型数据中心的不同需求。
何时使用 Security Onion 执行网络审计？
定期审计是任何安全计划的基本组成部分。您不必等到发生安全漏洞才审查您的网络，但在某些情况下，优先进行审计至关重要。
- 基础设施的变化：新系统、应用程序或 IT 解决方案；确认一切运行良好且没有新的差距。
- 安全事件：成功攻击后，审计对于了解攻击向量并在必要时进行加强至关重要。
- 性能问题：缓慢或断线可能会隐藏审计发现的故障或滥用。
- 业务拓展：更多地点、部门或员工改变模式；需要重新校准。
- 定期评估: : 毫无理由地，安排定期检查可以帮助您避免惊慌。
总之，如果您缺乏经验，明智的做法是依靠专业的公司，这些公司可以根据环境调整测试，避免因执行不力而产生的隐性成本。
部署和配置
部署不仅仅是安装和使用系统。它还需要定义网络接口、传感器、告警管理和规则，以便根据组织的具体需求进行定制。社区和官方文档提供了模板和架构建议，帮助您顺利入门。
实际演示：渗透调查
为了理解工作流程，我们建议进行一项实践练习：使用 Security Onion 工具分析数据泄露案例。
导入PCAP并准备环境
在加载 PCAP 文件之前，最好先使用一些维护命令清理 Elasticsearch 中的告警和可视化数据。之后，使用相应的工具导入 .pcap 文件。
如果第一次尝试失败，请尝试重启计算机。Security Onion 在 Docker 容器中运行其服务，因此启动后可能需要一些时间才能完全启动并运行。您可以使用 `list` 命令查看容器的实时状态。
如果最后三个容器显示为 DISABLED ，请不要担心：这只是表示没有实时捕获；PCAP 仍将使用 Suricata 和 Zeek 进行分析。
恶意流量：使用 Security Onion 探索流量
第一个 TCP 流
- 按时间顺序对警报进行排序 从该时间线程开始，从最早到最近，查看完整序列。
- 识别 源IP、目标IP和端口 参与了这次面向互联网的首次交流。
- 请注意一个奇怪的警报： 直接从 IP 请求 PDF 而不是域；什么签名导致了它？
- 在该请求之前，出现 一个将自己标识为 curl 的用户代理；记下以后的关联。
- 最新的流量警报，表明发生了什么？ 描述触发事件的条件.
- 打开任何警报并 加载完整流 详细查看所有消息。
- 在重建过程中， 用户代理 你到底看到了什么？
- 你检测到 HTTP 响应主体中存在可疑内容?
- 将此流量发送到 厨房环境 喜欢 CyberChef 和他一起玩。
- 去那儿 删除图层和变换 直到揭示有趣的内容。
- 当到达核心时，它们会出现 异常参考或指标 值得国际奥委会吗？
第二个 TCP 流
- 随着 端口和 IP 对 作为指导，确定哪些警报属于第二个流程。
- 重复 交通重建 就像以前一样查看上下文和有效载荷。
- 你发现 不寻常的东西 在交易中？
第三个 TCP 流
- 找到定义流程的两个警报，并 注释关键参数 （IP、端口、协议）。
- 重新打开 数据包线程 进行详细检查。
- 什么 用户代理 被使用并且请求试图执行什么操作？
- 这次交换之后，另一个出现 HTTPS流量警报；根据我们所看到的，它对应什么？
第四个 TCP 流
- 突然间它们射了起来 许多不同的警报；按照你的模式，似乎发生了什么？
- 如何 深入了解警报 看看到底发生了什么？
- 在流程视图中， 关键线索 受到赞赏？
- 打开选项卡 狩猎.
- 扔一个 预定义查询 按 event.module 和 event.dataset 排序。
- 在“组指标”中，检查 Zeek 收集的日志类型.
- 在查询下拉菜单中，选择显示 所有连接 按源IP、目标IP、网络协议和目标端口。
- 现在按 HTTP 连接和目标端口.
- 是否有任何出现 HTTP 的异常端口?
- 如果是，则标记为 包括 把注意力集中在他身上。
- 在活动中，你看到了吗 值得分析的东西详细打开，你已经知道了。
- 什么 发现 出现在那里？
其他检测途径
- 分组依据 HTTP 连接、方法和用户代理.
- 多么有趣的图案 可以识别恶意流量 通过用户代理？
- 分组依据 HTTP虚拟主机.
- 任何虚拟主机 不寻常或可疑 这表明存在恶意活动？
- 分组依据 数据集通知（Zeek）.
- 什么 可疑信号 脱颖而出？
- 在“事件”中，按字段分组 通知.sub_message.
- 他们大多数来自哪个实体？ TLS 证书你推断出什么？
Security Onion 支持、社区和许可证
Security Onion 社区非常活跃：论坛、群组和不断更新的文档有助于解答疑问和分享最佳实践。对于有更高需求的组织，我们提供商业支持和包含额外集成功能的专业版。
关于许可方面，该项目是免费开源软件。许可的详细信息和细则可在官方网站和代码库中找到。
隐私和外部资源
在进行研究时，参考第三方平台上的帖子是很常见的。例如，Reddit 及其合作伙伴使用 Cookie 和类似技术来运营网站、改进服务、个性化内容/广告以及衡量网站性能。您可以接受所有 Cookie，也可以拒绝非必要的 Cookie 以保持基本功能；浏览其资源时，请查看其 Cookie 和隐私声明。
如果您想了解更多信息或探索业务合作方案，请访问我们的官方网站：securityonionsolutions.com。如有任何疑问或建议，请随时联系我们，我们将根据您的具体情况指导实施过程。
Security Onion 将现代安全运营中心 (SOC) 必备的网络捕获、主机检测和分析功能整合到一个统一的平台中。它集成了 Suricata、Snort、Zeek、Wazuh、Elastic、Sguil、Squert、CapMe 和 CyberChef 等工具，显著提升了可视性的广度和深度。此外，它还提供全面的文档、虚拟化选项、实用的速查表以及强大的版本更新计划，其中包括全新的警报界面、Zeek 7 和 ATT&CK Navigator 等增强功能。这些都为各种规模的企业构建了坚实的威胁搜寻和事件响应基础。
