El probe, cyberprobe, tiene las siguientes características:

• Puede recibir la tarea de recoger paquetes de una interfaz y reenviar aquellos que coincidan con una lista de direcciones configurable. La lista de direcciones puede ser direcciones IP individuales, rangos CIDR o tarea de recoger todo (‘0.0.0.0/0’).
• Puede configurarse para recibir alertas de Snort. En esta configuración, cuando se recibe una alerta de Snort, la dirección IP de origen asociada con la alerta se orienta dinámicamente durante un período de tiempo configurable. Esto es útil, por ejemplo, para recoger datos de cualquier actor de red que active una regla de Snort y sea identificado como un posible atacante.
• Puede ofrecer opcionalmente una API de gestión que permite la interrogación remota del estado y la alteración de la configuración. Esto permite la alteración dinámica del mapa de orientación y la integración con otros sistemas.
• Puede configurarse para entregar en uno de dos protocolos de flujo estándar.
• Puede insertar una línea de retardo de recogida de paquetes de duración configurable. Esto puede ser útil, por ejemplo, con la activación de alertas de Snort para asegurar que todos los paquetes que activan una alerta sean recogidos.

Cybermon

La herramienta de monitorización, cybermon, tiene las siguientes características:

• Analiza los paquetes entregados en el protocolo de flujo ETSI desde una o más instancias de cyberprobe.
• Decodifica varios protocolos de paquetes para detectar eventos de red, que se entregan a tu configuración en tiempo casi real.
• La información decodificada se pone a disposición de la lógica configurable por el usuario (escrita en Lua) para definir cómo se manejan los datos decodificados. Se proporcionan archivos de configuración de ejemplo para entregar a RabbitMQ en JSON, un endpoint gRPC y entregar a una cola Redis.
• Se incluyen técnicas de falsificación de paquetes, que permiten restablecer conexiones TCP y falsificar respuestas DNS. Esto se puede invocar desde tu configuración Lua.
• Soporta IP, TCP, UDP, ICMP, HTTP, DNS, SMTP, FTP, TLS y más. El código está orientado a la plataforma Linux, aunque es lo suficientemente genérico como para ser aplicable a otras plataformas similares a UN*X.

Suscriptores

El flujo de eventos de cybermon se puede presentar a RabbitMQ en formato JSON, que luego se puede entregar a análisis adicionales:

• evs-alert informa de coincidencias de indicadores en eventos a la salida estándar.
• evs-cassandra carga eventos en Cassandra.
• evs-detector estudia eventos en busca de indicadores. Los eventos se anotan con coincidencias de indicadores si se observan.
• evs-dump vuelca el JSON de eventos en bruto a la salida estándar.
• evs-elasticsearch carga eventos en ElasticSearch.
• evs-gaffer carga información de red en Gaffer (una base de datos de grafos).
• evs-geoip busca direcciones IP en GeoIP y anota eventos con información de ubicación.
• evs-monitor muestra información de eventos en la salida estándar.

Escalado

La arquitectura tiene soporte para AWS Traffic Mirroring y admite despliegues a escala de nube:

• Múltiples instancias de cyberprobe pueden compartir carga entre múltiples instancias de cybermon detrás de un balanceador de carga.
• El flujo de eventos de cybermon se puede entregar a un sistema pub/sub para distribuir la carga y permitir la escalabilidad.

Más información

La forma más fácil de aprender sobre el software es seguir nuestro tutorial de inicio rápido.

• Cyberprobe manual
  • Tutorial de inicio rápido
  • Instalación
  • Integración con Endace DAG
  • Ejecución en contenedores
  • Integración con AWS Traffic Mirroring