Visualizzazione di Netstat con Neo4j

Descrizione

I grafici aiutano a individuare anomalie e pattern in grandi set di dati.
Questo script prende le informazioni netstat da più host e le formatta in modo da renderle importabili in Neo4j.
Neo4j può essere interrogato per trovare connessioni verso determinati host, da determinati host, scoprire l'utilizzo o i protocolli e molto altro.

File di Esempio

Ci sono già alcuni file nella directory example per permetterti di testare lo strumento.
Puoi anche trovare query di esempio che ti aiuteranno ad avere un'idea di base delle possibilità di ricerca.

Stato

Attualmente lo strumento è testato con l'output netstat di sistemi Windows usando il comando 'netstat -an'

Setup

Installare docker e docker-compose

https://docs.docker.com/install/linux/docker-ce/centos/
https://docs.docker.com/compose/install/

Estrarre i File

git clone https://github.com/trinitor/netstat2neo4j.git /opt/netstat2neo4j/

Avviare il Container

cd /opt/netstat2neo4j/
docker-compose up -d

Testare l'Accesso

https://ip:7474
utente: neo4j
password: neo4j

Caricare i File Netstat

copia tutti i file di output netstat (file *.txt) in /opt/netstat2neo4j/script/import/

Creare le Istruzioni Cypher per Neo4j

cd /opt/netstat2neo4j/script/
bash csv2neo4j.sh

le istruzioni cypher necessarie si trovano in create_database.txt

Creare il Database

naviga su https://localhost:7474
Copia il contenuto da create_database.txt
Incolla nella barra dei comandi dell'interfaccia neo4j

Query di Esempio

MATCH (src)-[:DEPENDS_ON]->(dst)
WHERE src.ip STARTS WITH '192_168_'
RETURN src, dst

C'è anche un file query.txt nella cartella example.

Q&A

D: Questo è ridondante. Non sai che ci sono altri progetti?
R: Lo so. Questo non è nuovo o speciale. Ci sono progetti gratuiti, tutorial e prodotti commerciali basati su agenti per disegnare mappe e persino applicare regole.
Alcuni esempi:

• https://www.maltego.com
• https://www.tanium.com/products/map/
• https://www.illumio.com/
• https://www.cisco.com/c/en/us/products/security/tetration/

Questo piccolo progetto non è assolutamente un sostituto.

D: Creare netstat su tutte le macchine è difficile. Hai una soluzione?
R: Sebbene tu possa raccogliere le informazioni con WMI/PowerShell remoting, non raccomando di avere un account con diritti di amministratore completo su tutti i sistemi.
Usa il tuo sistema di gestione della configurazione per pianificare la creazione di netstat o usa attività pianificate. Questo esula dallo scopo di questo piccolo progetto.
Se vuoi usare un account con tutte le chiavi del regno:
https://ijustwannared.team/2019/04/22/network-connection-footprinting-with-wmi-and-neo4j/

D: Devi sbagliarti. Neo4j deve essere in grado di leggere direttamente i file CSV. Perché stai creando le istruzioni da solo?
R: Hai ragione. È possibile importare direttamente i file CSV.
https://neo4j.com/developer/guide-import-csv/