geoip-attack-map

En premier lieu

Je n'ai pas beaucoup de temps dans ma vie en ce moment pour maintenir ce projet. J'ai entrepris ce défi comme un moyen d'apprendre JavaScript et d'améliorer le Python que je connaissais déjà. Je suis sûr qu'il y a plusieurs choses que j'aurais pu faire différemment dans mon implémentation, et je ne serai pas offensé si quelqu'un qui télécharge et examine mon code me fait des critiques constructives. Je sais que j'ai énormément appris en travaillant sur ce projet, et j'espère que la communauté open source continuera de m'apprendre des choses :)

NOTE : Comme je ne maintiens pas ce projet, certaines fonctionnalités ne fonctionnent probablement pas directement, par exemple, la carte ne s'affichera probablement pas car je ne paie pas pour une clé API MapBox légitime. Pour résoudre ce problème, vous devrez probablement créer votre propre compte MapBox et utiliser votre propre clé.

Visualisation de carte d'attaque GeoIP pour la cybersécurité

Ce visualiseur de carte d'attaque GeoIP a été développé pour afficher en temps réel les attaques réseau contre votre organisation. Le serveur de données suit un fichier syslog et extrait l'IP source, l'IP de destination, le port source et le port de destination. Les protocoles sont déterminés via les ports courants, et les visualisations changent de couleur en fonction du type de protocole. CLIQUEZ ICI pour une vidéo de démonstration. Ce projet n'aurait pas été possible sans Sam Cappella, qui a créé un visualiseur de trafic réseau pour un concours de défense cybernétique lors du Palmetto Cyber Defense Competition 2015. J'ai principalement utilisé son code comme référence, mais j'ai emprunté quelques fonctions pour créer le serveur d'affichage et les aspects visuels de l'application web. Je tiens également à remercier tout particulièrement Dylan Madisetti pour ses conseils sur certains aspects de mon implémentation.

Important

Ce programme repose entièrement sur syslog, et comme tous les appareils formatent les journaux différemment, vous devrez personnaliser la ou les fonctions d'analyse des journaux. Si votre organisation utilise un système de gestion des informations et des événements de sécurité (SIEM), celui-ci peut probablement normaliser les journaux pour vous faire gagner un temps précieux dans l'écriture d'expressions régulières.

1. Envoyer tous les syslog au SIEM.
2. Utiliser le SIEM pour normaliser les journaux.
3. Envoyer les journaux normalisés à la machine (n'importe quelle machine Linux exécutant syslog-ng fera l'affaire) exécutant ce logiciel afin que le serveur de données puisse les analyser.

Configurations

1. Assurez-vous dans /etc/redis/redis.conf de modifier bind 127.0.0.1 en bind 0.0.0.0 si vous prévoyez d'exécuter le DataServer sur une machine différente de l'AttackMapServer.
2. Assurez-vous que l'adresse WebSocket dans /AttackMapServer/index.html pointe vers l'adresse IP de l'AttackMapServer afin que le navigateur connaisse l'adresse du WebSocket.
3. Téléchargez la base de données MaxMind GeoLite2 et modifiez la variable db_path dans DataServer.py vers l'emplacement où vous stockez la base de données.
   • ./db-dl.sh
4. Ajoutez la latitude/longitude du siège social dans la variable hqLatLng dans index.html
5. Utilisez syslog-gen.py ou syslog-gen.sh pour simuler du trafic factice "prêt à l'emploi".
6. IMPORTANT : Rappelez-vous, ce code ne fonctionnera correctement en environnement de production qu'après avoir personnalisé les fonctions d'analyse. La fonction d'analyse par défaut n'est écrite que pour analyser le trafic de ./syslog-gen.sh.

Bugs, commentaires et questions

Si vous trouvez des erreurs ou des bugs, merci de me le faire savoir. Les questions et commentaires sont également les bienvenus, et peuvent être envoyés à [email protected], ou ouvrir une issue dans ce dépôt.

Exemple de déploiement

Testé sur Ubuntu 16.04 LTS.

• Cloner l'application :

  root@kitploit:~

  git clone https://github.com/matthewclarkmay/geoip-attack-map.git
  

• Installer les dépendances système :

  root@kitploit:~

  sudo apt install python3-pip redis-server
  
  

• Installer les dépendances Python :

  root@kitploit:~

  cd geoip-attack-map
  sudo pip3 install -U -r requirements.txt
  
  

• Démarrer le serveur Redis :

  root@kitploit:~

  redis-server
  
  

• Configurer la base de données du serveur de données :

  root@kitploit:~

  cd DataServerDB
  ./db-dl.sh
  cd ..
  
  

• Démarrer le serveur de données :

  root@kitploit:~

  cd DataServer
  sudo python3 DataServer.py
  
  

• Démarrer le script de génération syslog, dans le répertoire DataServer :

  • Ouvrez un nouvel onglet de terminal (Ctrl+Shift+T, sous Ubuntu).

    root@kitploit:~

    ./syslog-gen.py
    ./syslog-gen.sh
    

• Configurer le serveur de carte d'attaque, extraire les drapeaux au bon endroit :

  • Ouvrez un nouvel onglet de terminal (Ctrl+Shift+T, sous Ubuntu).

    root@kitploit:~

    cd AttackMapServer/
    unzip static/flags.zip