geoip-attack-map

أولاً وقبل كل شيء

ليس لدي الكثير من الوقت في حياتي الآن لصيانة هذا المشروع. لقد خضت هذا التحدي كوسيلة لتعلم JavaScript وتحسين لغة Python التي كنت أعرفها بالفعل. أنا متأكد من وجود عدة أشياء كان بإمكاني فعلها بشكل مختلف في تنفيذي، ولن أتضايق إذا تلقيت نقدًا بناءً من شخص يقوم بتنزيل ومراجعة كودي. أعلم أنني تعلمت الكثير أثناء العمل على هذا، وآمل أن يستمر مجتمع المصادر المفتوحة في تعليمي أشياء جديدة :)

ملاحظة: نظرًا لأنني لا أصون هذا المشروع، فهناك بعض الميزات التي ربما لا تعمل مباشرة، على سبيل المثال، الخريطة ربما لن تظهر لأنني لا أدفع مقابل مفتاح API صالح لـ MapBox. لإصلاح هذا، ستحتاج على الأرجح إلى إنشاء حساب MapBox خاص بك واستخدام مفتاحك الخاص.

تصور خريطة هجوم GeoIP لأمن المعلومات

تم تطوير هذا المُصور لخريطة هجوم Geoip لعرض هجمات الشبكة على مؤسستك في الوقت الفعلي. يقوم خادم البيانات بمراقبة ملف syslog واستخراج عنوان IP المصدر وعنوان IP الوجهة ومنفذ المصدر ومنفذ الوجهة. يتم تحديد البروتوكولات عبر المنافذ الشائعة، وتختلف التصورات في اللون بناءً على نوع البروتوكول. انقر هنا للحصول على فيديو تجريبي. لم يكن هذا المشروع ممكنًا لولا Sam Cappella، الذي أنشأ مصور حركة مرور الشبكة لمسابقة الدفاع الرقمي لمسابقة Palmetto Cyber Defense Competition لعام 2015. لقد استخدمت بشكل أساسي كوده كمرجع، لكنني اقتبست بعض الوظائف أثناء إنشاء خادم العرض والجوانب المرئية لتطبيق الويب. أود أيضًا أن أقدم شكرًا خاصًا لـ Dylan Madisetti أيضًا على إعطائي نصائح حول جوانب معينة من تنفيذي.

مهم

يعتمد هذا البرنامج بالكامل على syslog، ولأن جميع الأجهزة تقوم بتنسيق السجلات بشكل مختلف، ستحتاج إلى تخصيص وظيفة (وظائف) تحليل السجلات. إذا كانت مؤسستك تستخدم نظام إدارة المعلومات والأحداث الأمنية (SIEM)، فمن المحتمل أن يكون قادرًا على تطبيع السجلات لتوفير الكثير من الوقت في كتابة التعبيرات المنتظمة.

1. أرسل جميع سجلات syslog إلى SIEM.
2. استخدم SIEM لتطبيع السجلات.
3. أرسل السجلات المطبوعة إلى الجهاز (أي جهاز Linux يعمل بنظام syslog-ng سيعمل) الذي يشغل هذا البرنامج حتى يتمكن خادم البيانات من تحليلها.

الإعدادات

1. تأكد من تغيير bind 127.0.0.1 إلى bind 0.0.0.0 في ملف /etc/redis/redis.conf إذا كنت تخطط لتشغيل DataServer على جهاز مختلف عن AttackMapServer.
2. تأكد من أن عنوان WebSocket في ملف /AttackMapServer/index.html يشير إلى عنوان IP الخاص بـ AttackMapServer حتى يعرف المتصفح عنوان WebSocket.
3. قم بتنزيل قاعدة بيانات MaxMind GeoLite2، وقم بتغيير متغير db_path في ملف DataServer.py إلى المكان الذي تخزن فيه قاعدة البيانات.
   • ./db-dl.sh
4. أضف خط الطول/العرض لمقر الشركة في متغير hqLatLng في ملف index.html
5. استخدم syslog-gen.py أو syslog-gen.sh لمحاكاة حركة المرور الوهمية "فورًا".
6. هام: تذكر أن هذا الكود سيعمل بشكل صحيح فقط في بيئة إنتاجية بعد تخصيص وظائف التحليل. وظيفة التحليل الافتراضية مكتوبة فقط لتحليل حركة المرور من ./syslog-gen.sh.

الأخطاء والملاحظات والاستفسارات

إذا وجدت أي أخطاء، فيرجى إبلاغي بذلك. كما يمكنك إرسال استفساراتك وملاحظاتك إلى [email protected]، أو فتح مشكلة (issue) في هذا المستودع.

مثال على النشر

تم الاختبار على Ubuntu 16.04 LTS.

• استنساخ التطبيق:

  root@kitploit:~

  git clone https://github.com/matthewclarkmay/geoip-attack-map.git
  

• تثبيت تبعيات النظام:

  root@kitploit:~

  sudo apt install python3-pip redis-server
  
  

• تثبيت متطلبات Python:

  root@kitploit:~

  cd geoip-attack-map
  sudo pip3 install -U -r requirements.txt
  
  

• بدء خادم Redis:

  root@kitploit:~

  redis-server
  
  

• إعداد قاعدة بيانات خادم البيانات:

  root@kitploit:~

  cd DataServerDB
  ./db-dl.sh
  cd ..
  
  

• بدء خادم البيانات:

  root@kitploit:~

  cd DataServer
  sudo python3 DataServer.py
  
  

• بدء برنامج إنشاء سجلات syslog، داخل مجلد DataServer:

  • افتح علامة تبويب طرفية جديدة (Ctrl+Shift+T، على Ubuntu).

    root@kitploit:~

    ./syslog-gen.py
    ./syslog-gen.sh
    

• إعداد خادم خريطة الهجوم، استخرج الأعلام (flags) إلى المكان الصحيح:

  • افتح علامة تبويب طرفية جديدة (Ctrl+Shift+T، على Ubuntu).

    root@kitploit:~

    cd AttackMapServer/
    unzip static/flags.zip