Революция без агентов: SSH как точка входа
В мире информационной безопасности доминируют тяжеловесные решения вроде Wazuh или Security Onion, требующие установки агентов на каждый хост, кластеров индексации и дней настройки. Altumptic предлагает альтернативу — LemonSees, самохостинговую платформу, которая использует SSH-сессию как единственный агент. Это позволяет получить живую телеметрию, мониторинг целостности файлов (FIM) и соответствие требованиям за секунды после подключения ключа.
Архитектура LemonSees исключает необходимость запуска процессов на целевых серверах между опросами. Все данные собираются в одном мультиплексированном SSH-соединении, а учетные данные никогда не покидают машину, на которой запущен LemonSees. Это радикально снижает поверхность атаки и нагрузку на инфраструктуру.
Технические характеристики и производительность
LemonSees работает как веб-приложение, портативный .exe для Windows или AppImage для Linux. Приложение потребляет около 100 МБ оперативной памяти (один процесс Node.js), что контрастирует с гигабайтами RAM, требуемыми традиционными SIEM-кластерами. Интерфейс поддерживает пять языков, две темы (Ivory и Graphite) и работает через WebSocket с защитой токеном.
| Параметр | LemonSees | Типичный SIEM (Wazuh/Security Onion) |
|---|---|---|
| Установка на серверах | Ничего (только SSH-ключ) | Агент на хост + менеджер + индексатор |
| Время до первого инсайта | Секунды | Часы или дни |
| Потребление ресурсов | ~100 МБ RAM (Node.js) | Многоузловой кластер, ГБ RAM |
| Мониторинг целостности (FIM) | SHA-256 через SSH | Agent syscheck |
| MITRE ATT&CK | Встроенный, автоматический | Правила / аддоны |
Функциональный стек: от SOC до GRC
LemonSees объединяет в себе возможности SIEM, EDR, NDR и систем управления соответствием (GRC). Ключевые возможности включают:
- SOC-аналитика: тепловые карты активности, метрики MTTA/MTTR, анализ нагрузки аналитиков.
- MITRE ATT&CK: автоматическое маппинг инцидентов на тактики и техники. Клик по ячейке матрицы показывает связанные угрозы.
- Threat Intel: геолокация источников брута, проверка репутации IP, анализ целевых имен пользователей.
- EDR и FIM: мониторинг процессов, persistence (cron, systemd), проверка критичных файлов (/etc/shadow, sudoers) через SHA-256. Отклонения от базового профиля сразу создают инцидент.
- GRC: автоматическая проверка соответствия стандартам CIS, NIST, ISO 27001 и GDPR. Поддержка ручных аттестаций, печать отчетов и неизменяемый аудит с экспортом в CSV.
Деплой и безопасность
Платформа доступна в нескольких форматах: портативный .exe для Windows (данные хранятся в папке рядом с исполняемым файлом), AppImage для Linux и веб-версия на Node.js 22+. Для запуска в Docker требуется задать токен доступа, чтобы предотвратить привязку к публичным интерфейсам без авторизации.
Разработчики подчеркивают важность собственной безопасности инструмента: LemonSees поддерживает security.txt, PGP-ключ (Ed25519) и требует HTTPS для работы в сети. Демо-режим позволяет протестировать функционал за 30 секунд без установки ПО, используя локально сгенерированные данные и RFC 5737 IP-адреса.
Источник: Github ↗