Melody

インターネットのバックグラウンドノイズを監視する

Melodyは、脅威インテリジェンスのために構築された透過的なインターネットセンサーであり、検出ルールフレームワークによってサポートされています。これにより、さらなる分析や脅威監視のために興味のあるパケットにタグを付けることができます。

機能

Melodyの主な機能は以下のとおりです：

透過的なキャプチャ
検出ルールを作成し、特定のパケットにタグを付けて大規模に分析
内蔵のHTTP/Sサーバーを使用して脆弱なウェブサイトを模擬
IPv4およびIPv6上の主要なインターネットプロトコルをサポート
ログローテーションを自動処理：Melodyは最小のVPSで永久に実行できるように設計されています
最小限の設定で済む
スタンドアロンモード：CLIのみを使用してMelodyを設定可能
簡単にスケーラブル：
- 静的にコンパイルされたバイナリ
- 最新のDockerイメージ

ウィッシュリスト

現在、他のプロジェクトに集中する必要があるため、Melodyの開発に多くの時間を割くことができません。

しかし、改善の余地は十分にあるため、いつか実装したい機能をいくつか挙げます：

~~専用のヘルパープログラムによるルールの作成、テスト、管理~~ → cmd/meloctlのMelocltを確認してください
集中型ルール管理
ポートごとのモックアプリケーション

ユースケース

インターネット向けセンサー

インターネットのノイズからトレンドやパターンを抽出
悪意のある活動、悪用試行、標的型スキャナーをインデックス化
新興脅威の悪用を監視
特定の脅威を監視

ストリーム分析

バックグラウンドノイズプロファイルを構築し、標的型攻撃を際立たせる
キャプチャを再生して、疑わしいストリーム内の悪意のあるパケットにタグを付ける

プレビュー

クイックスタート

クイックスタートの詳細。

TL;DR

リリース

最新のリリースは https://github.com/ma111e/melody/releases から入手してください。

make install               # デフォルトの外向きインターフェースを設定
make cap                   # 昇格された権限なしでMelodyを起動するためのネットワークケイパビリティを設定
make certs                 # HTTPSファイルサーバー用の自己署名証明書を作成
make enable_all_rules      # デフォルトルールを有効化
make service               # systemdサービスを作成し、プログラムを自動再起動し起動時に起動させる

sudo systemctl stop melody  # 設定中にサービスを停止

filter.bpfファイルを更新して、不要なパケットをフィルタリングします。

sudo systemctl start melody     # Melodyを起動
sudo systemctl status melody    # Melodyが動作していることを確認

ログは /opt/melody/logs/melody.ndjson に蓄積され始めます。

tail -f /opt/melody/logs/melody.ndjson # | jq

ソースから

git clone https://github.com/ma111e/melody /opt/melody
cd /opt/melody
make build

その後、リリースのTL;DRの手順を続けてください。

Docker

make certs                           # HTTPSファイルサーバー用の自己署名証明書を作成
make enable_all_rules                # デフォルトルールを有効化
mkdir -p /opt/melody/logs
cd /opt/melody/

docker pull ma111e/melody:latest

MELODY_CLI="" # CLIオプションをここに記述します。例：export MELODY_CLI="-s -i 'lo' -F 'dst port 5555' -o 'server.http.port: 5555'"

docker run \
    --net=host \
    -e "MELODY_CLI=$MELODY_CLI" \
    --mount type=bind,source="$(pwd)/filter.bpf",target=/app/filter.bpf,readonly \
    --mount type=bind,source="$(pwd)/config.yml",target=/app/config.yml,readonly \
    --mount type=bind,source="$(pwd)/var",target=/app/var,readonly \
    --mount type=bind,source="$(pwd)/rules",target=/app/rules,readonly \
    --mount type=bind,source="$(pwd)/logs",target=/app/logs/ \
    ma111e/melody