geoip-attack-map

Zuallererst

Ich habe derzeit nicht viel Zeit in meinem Leben, um dieses Projekt zu pflegen. Ich habe diese Herausforderung angenommen, um JavaScript zu lernen und das Python, das ich bereits kannte, zu verbessern. Ich bin mir sicher, dass ich einige Dinge in meiner Implementierung hätte anders machen können, und es würde mich nicht kränken, konstruktive Kritik von jemandem zu erhalten, der meinen Code herunterlädt und ansieht. Ich weiß, dass ich beim Arbeiten daran eine Menge gelernt habe, und ich hoffe, dass die Open-Source-Community mich weiterhin Dinge lehren wird :)

HINWEIS: Da ich dieses Projekt nicht pflege, funktionieren einige Funktionen wahrscheinlich nicht sofort – z. B. wird die Karte wahrscheinlich nicht angezeigt, weil ich nicht für einen legitimen MapBox-API-Schlüssel bezahle. Um dies zu beheben, musst du vermutlich dein eigenes MapBox-Konto erstellen und deinen eigenen Schlüssel verwenden.

Cyber Security GeoIP Attack Map Visualization

Dieser GeoIP-Angriffskarten-Visualisierer wurde entwickelt, um Netzwerkangriffe auf Ihre Organisation in Echtzeit anzuzeigen. Der Datenserver verfolgt eine Syslog-Datei und extrahiert Quell-IP, Ziel-IP, Quell-Port und Ziel-Port. Protokolle werden über gängige Ports bestimmt, und die Visualisierungen variieren farblich je nach Protokolltyp. HIER KLICKEN für ein Demovideo. Dieses Projekt wäre nicht möglich ohne Sam Cappella, der einen Netzwerkverkehr-Visualisierer für den Palmetto Cyber Defense Competition 2015 erstellt hat. Ich habe seinen Code hauptsächlich als Referenz verwendet, aber ich habe einige Funktionen beim Erstellen des Anzeigeservers und der visuellen Aspekte der Webanwendung übernommen. Besonderen Dank möchte ich auch Dylan Madisetti aussprechen, der mir bei bestimmten Aspekten meiner Implementierung Ratschläge gegeben hat.

Wichtig

Dieses Programm basiert vollständig auf Syslog, und da alle Geräte Logs unterschiedlich formatieren, müssen Sie die Log-Parsing-Funktion(en) anpassen. Wenn Ihre Organisation ein Security Information and Event Management (SIEM) verwendet, kann dieses normalerweise Logs normalisieren, was Ihnen eine Menge Zeit beim Schreiben von Regex erspart.

1. Senden Sie alle Syslog an das SIEM.
2. Verwenden Sie das SIEM, um Logs zu normalisieren.
3. Senden Sie die normalisierten Logs an die Box (jeder Linux-Rechner mit syslog-ng funktioniert), auf der diese Software läuft, damit der Datenserver sie parsen kann.

Konfigurationen

1. Stellen Sie in /etc/redis/redis.conf sicher, dass Sie bind 127.0.0.1 in bind 0.0.0.0 ändern, wenn Sie den DataServer auf einem anderen Rechner ausführen möchten als den AttackMapServer.
2. Stellen Sie sicher, dass die WebSocket-Adresse in /AttackMapServer/index.html auf die IP-Adresse des AttackMapServer verweist, damit der Browser die Adresse des WebSocket kennt.
3. Laden Sie die MaxMind GeoLite2-Datenbank herunter und ändern Sie die Variable db_path in DataServer.py auf den Speicherort der Datenbank.
   • ./db-dl.sh
4. Fügen Sie den Breiten-/Längengrad des Hauptquartiers in die Variable hqLatLng in index.html ein.
5. Verwenden Sie syslog-gen.py oder syslog-gen.sh, um "out of the box" Dummy-Traffic zu simulieren.
6. WICHTIG: Denken Sie daran, dass dieser Code nur in einer Produktionsumgebung korrekt läuft, nachdem Sie die Parsing-Funktionen personalisiert haben. Die Standard-Parsing-Funktion ist nur geschrieben, um den Traffic von ./syslog-gen.sh zu parsen.

Fehler, Feedback und Fragen

Wenn Sie Fehler oder Bugs finden, lassen Sie es mich bitte wissen. Fragen und Feedback sind ebenfalls willkommen und können an [email protected] gesendet werden, oder Sie eröffnen ein Issue in diesem Repository.

Bereitstellungsbeispiel

Getestet unter Ubuntu 16.04 LTS.

• Klonen Sie die Anwendung:

  root@kitploit:~

  git clone https://github.com/matthewclarkmay/geoip-attack-map.git
  

• Installieren Sie Systemabhängigkeiten:

  root@kitploit:~

  sudo apt install python3-pip redis-server
  
  

• Installieren Sie Python-Anforderungen:

  root@kitploit:~

  cd geoip-attack-map
  sudo pip3 install -U -r requirements.txt
  
  

• Starten Sie den Redis-Server:

  root@kitploit:~

  redis-server
  
  

• Konfigurieren Sie die Datenbank des Data Server:

  root@kitploit:~

  cd DataServerDB
  ./db-dl.sh
  cd ..
  
  

• Starten Sie den Data Server:

  root@kitploit:~

  cd DataServer
  sudo python3 DataServer.py
  
  

• Starten Sie das Syslog-Gen-Skript im DataServer-Verzeichnis:

  • Öffnen Sie einen neuen Terminal-Tab (Strg+Umschalt+T unter Ubuntu).

    root@kitploit:~

    ./syslog-gen.py
    ./syslog-gen.sh
    

• Konfigurieren Sie den Attack Map Server, extrahieren Sie die Flags an die richtige Stelle:

  • Öffnen Sie einen neuen Terminal-Tab (Strg+Umschalt+T unter Ubuntu).

    root@kitploit:~

    cd AttackMapServer/
    unzip static/flags.zip