تصور نتائج Netstat باستخدام Neo4j

الوصف

تساعد الرسوم البيانية في اكتشاف الحالات الشاذة والأنماط في مجموعات البيانات الكبيرة.
يقوم هذا البرنامج النصي بأخذ معلومات netstat من عدة مضيفين وتنسيقها بطريقة تجعلها قابلة للاستيراد إلى Neo4j.
يمكن الاستعلام عن Neo4j للعثور على اتصالات لمضيفين معينين، من مضيفين معينين، ومعرفة الاستخدام أو البروتوكولات وغير ذلك الكثير.

ملفات أمثلة

توجد بالفعل بعض الملفات في دليل الأمثلة لتتمكن من اختبار الأداة.
يمكنك أيضًا العثور على استعلامات أمثلة ستساعدك في الحصول على فكرة أساسية عن إمكانيات البحث.

الحالة

حاليًا، تم اختبار الأداة مع مخرجات netstat لأنظمة Windows باستخدام الأمر 'netstat -an'

الإعداد

تثبيت Docker و Docker Compose

https://docs.docker.com/install/linux/docker-ce/centos/
https://docs.docker.com/compose/install/

استخراج الملفات

git clone https://github.com/trinitor/netstat2neo4j.git /opt/netstat2neo4j/

تشغيل الحاوية

cd /opt/netstat2neo4j/
docker-compose up -d

اختبار تسجيل الدخول

https://ip:7474
المستخدم: neo4j
كلمة المرور: neo4j

رفع ملفات Netstat

انسخ جميع ملفات مخرجات netstat (ملفات *.txt) إلى /opt/netstat2neo4j/script/import/

إنشاء عبارات Cypher لـ Neo4j

cd /opt/netstat2neo4j/script/
bash csv2neo4j.sh

يمكن العثور على عبارات Cypher المطلوبة في ملف create_database.txt

إنشاء قاعدة البيانات

تصفح إلى https://localhost:7474
انسخ المحتوى من create_database.txt
الصقه في شريط الأوامر بواجهة Neo4j

استعلام مثال

MATCH (src)-[:DEPENDS_ON]->(dst)
WHERE src.ip STARTS WITH '192_168_'
RETURN src, dst

يوجد أيضًا ملف query.txt في مجلد الأمثلة.

أسئلة وأجوبة

س: هذا مكرر. ألا تعلم بوجود مشاريع أخرى؟
ج: أعلم. هذا ليس جديدًا أو مميزًا. هناك مشاريع مجانية، دروس تعليمية، ومنتجات تجارية تعتمد على عوامل (agents) لرسم الخرائط وحتى فرض القواعد.
بعض الأمثلة:

• https://www.maltego.com
• https://www.tanium.com/products/map/
• https://www.illumio.com/
• https://www.cisco.com/c/en/us/products/security/tetration/

هذا المشروع الصغير ليس بديلاً بأي حال من الأحوال.

س: إنشاء netstats على جميع الأجهزة صعب. هل لديك حل؟
ج: بينما يمكنك جمع المعلومات باستخدام WMI/PowerShell عن بُعد، لا أوصي باستخدام حساب لديه صلاحيات إدارية كاملة على جميع أنظمتك.
استخدم إدارة التهيئة الخاصة بك لجدولة إنشاء netstat أو استخدم المهام المجدولة. هذا خارج نطاق هذا المشروع الصغير.
إذا كنت ترغب في استخدام حساب لديه جميع مفاتيح المملكة:
https://ijustwannared.team/2019/04/22/network-connection-footprinting-with-wmi-and-neo4j/

س: لا بد أنك مخطئ. يجب أن يكون Neo4j قادرًا على قراءة ملفات CSV مباشرة. لماذا تقوم بإنشاء العبارات بنفسك؟
ج: أنت على صواب. من الممكن استيراد ملفات CSV مباشرة.
https://neo4j.com/developer/guide-import-csv/