geoip-attack-map

Primero y ante todo

No tengo mucho tiempo en mi vida en este momento para mantener este proyecto. Acepté este desafío como una forma de aprender JavaScript y mejorar el Python que ya conocía. Estoy seguro de que hay varias cosas que podría haber hecho de manera diferente en mi implementación, y no me ofenderé si recibo críticas constructivas de alguien que descargue y vea mi código. Sé que aprendí muchísimo al trabajar en esto, y espero que la comunidad de código abierto me siga enseñando cosas :)

NOTA: Debido a que no mantengo este proyecto, hay algunas características que probablemente no funcionen de inmediato; por ejemplo, el mapa probablemente no se mostrará porque no pago por una clave legítima de MapBox API. Para solucionar esto, probablemente tengas que crear tu propia cuenta de MapBox y usar tu propia clave.

Visualización del Mapa de Ataques GeoIP de Ciberseguridad

Este visualizador de mapa de ataques geoip fue desarrollado para mostrar los ataques de red a su organización en tiempo real. El servidor de datos sigue un archivo syslog y analiza la IP de origen, IP de destino, puerto de origen y puerto de destino. Los protocolos se determinan mediante puertos comunes, y las visualizaciones varían en color según el tipo de protocolo. HAGA CLIC AQUÍ para ver un video de demostración. Este proyecto no sería posible si no fuera por Sam Cappella, quien creó un visualizador de tráfico de red de competencia de defensa cibernética para la Competencia de Defensa Cibernética Palmetto 2015. Principalmente usé su código como referencia, pero tomé prestadas algunas funciones al crear el servidor de visualización y los aspectos visuales de la aplicación web. También quiero agradecer especialmente a Dylan Madisetti por darme consejos sobre ciertos aspectos de mi implementación.

Importante

Este programa depende completamente de syslog, y debido a que todos los dispositivos formatean los registros de manera diferente, necesitará personalizar la(s) función(es) de análisis de registros. Si su organización utiliza un sistema de gestión de eventos e información de seguridad (SIEM), probablemente pueda normalizar los registros para ahorrarle mucho tiempo escribiendo expresiones regulares.

1. Envíe todos los syslog al SIEM.
2. Use el SIEM para normalizar los registros.
3. Envíe los registros normalizados a la máquina (cualquier máquina Linux que ejecute syslog-ng funcionará) que ejecuta este software para que el servidor de datos pueda analizarlos.

Configuraciones

1. Asegúrese de que en /etc/redis/redis.conf se cambie bind 127.0.0.1 a bind 0.0.0.0 si planea ejecutar el DataServer en una máquina diferente al AttackMapServer.
2. Asegúrese de que la dirección WebSocket en /AttackMapServer/index.html apunte de vuelta a la dirección IP del AttackMapServer para que el navegador conozca la dirección del WebSocket.
3. Descargue la base de datos MaxMind GeoLite2 y cambie la variable db_path en DataServer.py a donde sea que almacene la base de datos.
   • ./db-dl.sh
4. Agregue la latitud/longitud de la sede central a la variable hqLatLng en index.html
5. Use syslog-gen.py o syslog-gen.sh para simular tráfico ficticio "fuera de la caja".
6. IMPORTANTE: Recuerde, este código solo se ejecutará correctamente en un entorno de producción después de personalizar las funciones de análisis. La función de análisis predeterminada solo está escrita para analizar el tráfico de ./syslog-gen.sh.

Errores, Comentarios y Preguntas

Si encuentra algún error o bug, por favor hágamelo saber. Las preguntas y comentarios también son bienvenidos, y pueden enviarse a [email protected], o abrir un issue en este repositorio.

Ejemplo de despliegue

Probado en Ubuntu 16.04 LTS.

• Clonar la aplicación:

  root@kitploit:~

  git clone https://github.com/matthewclarkmay/geoip-attack-map.git
  

• Instalar dependencias del sistema:

  root@kitploit:~

  sudo apt install python3-pip redis-server
  
  

• Instalar requisitos de Python:

  root@kitploit:~

  cd geoip-attack-map
  sudo pip3 install -U -r requirements.txt
  
  

• Iniciar el servidor Redis:

  root@kitploit:~

  redis-server
  
  

• Configurar la base de datos del servidor de datos:

  root@kitploit:~

  cd DataServerDB
  ./db-dl.sh
  cd ..
  
  

• Iniciar el servidor de datos:

  root@kitploit:~

  cd DataServer
  sudo python3 DataServer.py
  
  

• Iniciar el script de generación de syslog, dentro del directorio DataServer:

  • Abrir una nueva pestaña de terminal (Ctrl+Shift+T, en Ubuntu).

    root@kitploit:~

    ./syslog-gen.py
    ./syslog-gen.sh
    

• Configurar el servidor del mapa de ataques, extraer las banderas al lugar correcto:

  • Abrir una nueva pestaña de terminal (Ctrl+Shift+T, en Ubuntu).

    root@kitploit:~

    cd AttackMapServer/
    unzip static/flags.zip