Дистрибутив построен на пакетной базе Debian и использует открытую систему обнаружения атак Suricata. Поступающие из разных источников данные сохраняются в хранилище OpenSearch. Для отслеживания текущего состояния и выявленных инцидентов предлагается web-интерфейс, реализованный поверх интерфейса Kibana. Для управления правилами и визуализации связанной с ними активности применяется web-интерфейс Stamus. В состав также входят система захвата, хранения и индексации сетевых пакетов Arkime, интерфейс для оценки произошедших событий EveBox и коллектор данных Fluentd.
Последние 10 лет дистрибутив развивался под именем SELKS, но был переименован в Clear NDR после признания готовности продукта к применению в рабочих решениях для малых и средних предприятий, а также разделения дистрибутива на редакции Community и Enterprise. Enterprise-версия отличается интеграцией с системами машинного обучения, расширенными средствами классификации трафика, интеграцией со сторонними системами реагирования на угрозы, ежедневным обновлением правил обнаружения вторжений и технической поддержкой.
Основные изменения:
- Три варианта развёртывания: ISO-образ с графическим интерфейсом для тех кто предпочитает настройку через GUI, ISO-образ с консольным окружением для северов и версия для запуска в изолированных контейнерах.
- Система обнаружения и предотвращения сетевых вторжений Suricata до обновлена ветки 8.x.
- Выполнен переход с платформы поиска, анализа и хранения данных Elasticsearch на форк OpenSearach 2.
- Добавлена поддержка протокола MCP (Model Context Protocol) для интеграции с AI-платформами, позволяющего предоставить AI-ассистентам доступ к собранным данным и инструментам Clear NDR.
- В web-интерфейсе предложены новые dashboard-панели и модули визуализации данных. Предложено более 400 модулей визуализации и 58 новых dashboard-панелей.
- Добавлена поддержка автоматической обработки потоков информации об угрозах, не требующей ручного написания правил для Suricata.
- Ускорен процесс реагирования на инциденты безопасности. Добавлена возможность получить доступ в два клика к доказательствам, ассоциированным с инцидентом, таким как логи, записи потоков трафика, выявленные операции с файлами и PCAP-дампы.
- Обеспечена возможность интеграции интерфейса пользователя с другими системами.
- Расширены возможности для управления сроком хранения данных (Data Retention).
- Встроен механизм уведомления о появлении обновлений и новых релизов.
Источник: http://www.opennet.ru/opennews/art.shtml?num=63857