SECMON - 情報セキュリティ監視ツール

説明

SECMONは、Webインターフェースを備えた情報セキュリティ監視と脆弱性管理の自動化のためのWebベースのツールです。

デモはこちらから利用できます。Discordチャンネルはこちらです。

特徴

• 新しいCVEが公開され、それが製品リストに関連する場合のメールアラート
• 「サイバーセキュリティ」ニュース（新たな脅威、最近の攻撃、イベントなど）が公開されたときのメールアラート
• ITインフラに存在する高セキュリティリスク製品の可視化
• 日付範囲によるCVEのExcelレポートのダウンロード
• トップサイバーセキュリティトピックの表示（簡易サイバーランドスケープ）
• SIEMへの統合が容易なログ（SplunkおよびGraylogで確認済み）
• 公開された最新のCVEおよびサイバーセキュリティ関連の最新ニュースの表示
• CVEの管理ステータスのバッファ割り当て
• CVEの詳細の検索
• CVEに関連するエクスプロイトがGithubまたはExploit-DBに存在するか確認
• 指定した製品の脆弱性の検索
• 製品リストの管理: 製品の検索/追加/削除、参照製品リストの表示
• ポーラーが使用するソースの監視

メールアラートは英語またはフランス語で送信できます。SECMON Web UIはマルチユーザーアカウントをサポートしています。

CVEは2つの収集/対応方法を使用してポーリングされます：

• キーワードベース : 影響を受ける製品に関する精度を少し犠牲にして（バージョンチェックなし、単語一致のみ）CVEの取得に積極的になることができます（例：「VMWare」、「Apache」）。
• CPEベース（Common Platform Enumeration） : 入力された製品バージョンにのみ関係するCVEを取得できます（例：「Windows 10 1909」、「Apache 2.4.38」）。

必要条件

SECMONはエクスプロイト取得のためにGithub APIへの登録が必要です。また、以下が必要です：

• OS : Linuxベースのシステム（Debian 10でテスト済み）
• 環境 : Python 3（Python 3.9およびPython 3.8でテスト済み）
• 有効なGithub APIキー

警告 : Web UIの認証情報はハッシュ化されています（SHA512 + salt）。一方、Github API接続認証情報とアプリケーションセッションキーは暗号化もハッシュ化もされていません。すべてのデータは暗号化されていないsqliteデータベースに保存されています。いくつかのアドバイス：

• このマシンへのアクセスは許可された担当者のみに制限してください。
• ホストマシンを他のマシンから隔離してください。
• 専用のサーバー/VMまたはDockerコンテナを使用してください。

スクリーンショット

メールアラートの例（CVEおよびRSS）

脆弱性管理ページ

CVEの詳細

エクスプロイト検索

サイバー脅威トップトピック

製品検索

製品リスト

インストール

ドキュメントを読む

謝辞

cve_searchsploit Pythonモジュールを提供してくれた@andreafioraldiに感謝します。

HTML/CSSメールテンプレートを提供してくれた@konsavに感謝します。

Flask用に適応されたsbadmin2（Bootstrap）テンプレートを提供してくれた@rodolfo-mendesに感謝します。

初回のWebセキュリティ監査を実施してくれたFlorent Chatainに感謝します。

ライセンス

SECMON（Aubin Custodio - Guezone作）はCC BY-NC-SA 4.0の下でライセンスされています。

このライセンスは、SECMONの使用、改善、および作者への言及を条件に公開することを許可しますが、商業目的での使用は禁止されています。情報セキュリティ監視のプロセスは非常に困難で時間がかかるため、企業やユーザーがITインフラを保護し、現在のサイバーセキュリティ状況を把握するための支援にのみ使用されるべきです。

変更履歴

2.0 :

• ログ形式の修正
• レポート方法（日付による生成）
• Web UI - 新しいBootstrapテンプレート
• Docker自動化部分の作業

2.1 :

• Web UIへのマルチユーザーサポートの追加
• 自動Docker設定の改善（gitとボリュームによる更新を改善）
• RSSモジュールで報告されたトップサイバートピックを強調するサイバー脅威セクションの追加
• READMEとDOCSの更新（Docker、更新、スクリーンショット部分）
• キーワード方式よりもCPEポーリング方式の優先順位付け

ロードマップ

機能

• Dockerによるデプロイの自動化
• 初回セキュリティ監査（フロントエンドのみ）
• 標準形式でのログ記述とSIEMタイプの第三者への送信計画
• Web UIのユーザードキュメントの作成
• WindowsおよびLinuxベースのシステムでCPEスキャンを可能にするスクリプトの作成
• サイバーニュースの新たなソースの追加
• 他のアプリケーションから呼び出すためのREST APIの作成
• CVE日次更新レポートの送信（新たな高リスク製品、CVSS変更、影響を受ける製品の変更、新たな悪用可能なCVE）
• SECMON-Open-API（0-day、ウイルス性脆弱性、データ漏洩ニュースを取得する無料オープンAPI）
• その他の脆弱性データベースのポーリング

信頼性の向上

• NIST APIレートの完全管理（部分的な修正）
• 製品の統合（製品 = CPE + キーワード）
• キーワード管理の大文字小文字を区別しないようにする