geoip-attack-map

最初に

現在、このプロジェクトを維持する時間はあまりありません。私はこの課題をJavaScriptを学び、すでに知っていたPythonを向上させる手段として引き受けました。実装に関しては、もっと別の方法があったはずだと確信しています。私のコードをダウンロードして閲覧してくださった方から建設的な批判をいただいても、気分を害することはありません。この作業を通じて多くのことを学びました。オープンソースコミュニティから今後も多くのことを教えていただけることを願っています。

注記: このプロジェクトを維持していないため、そのままでは動作しない機能がいくつかあります。例えば、正当なMapBox APIキーを支払っていないため、地図はおそらく表示されません。これを修正するには、独自のMapBoxアカウントを作成し、自分のキーを使用する必要があります。

サイバーセキュリティ GeoIP 攻撃マップ可視化

このGeoIP攻撃マップ可視化ツールは、組織に対するネットワーク攻撃をリアルタイムで表示するために開発されました。データサーバーはsyslogファイルを監視し、送信元IP、宛先IP、送信元ポート、宛先ポートを解析します。プロトコルは一般的なポートに基づいて判別され、可視化はプロトコルの種類に応じて色が異なります。デモ動画はこちらをクリックしてください。このプロジェクトは、Sam Cappella氏が2015年のPalmetto Cyber Defense Competition向けに作成したサイバー防御競技ネットワークトラフィック可視化ツールがなければ実現しませんでした。主に彼のコードを参考にしましたが、表示サーバーの作成やWebアプリの視覚的側面において、いくつかの関数をお借りしました。また、実装に関するアドバイスをいただいたDylan Madisetti氏にも特に感謝します。

重要

このプログラムはsyslogに完全に依存しており、すべてのアプライアンスがログを異なる形式で出力するため、ログ解析関数をカスタマイズする必要があります。組織がセキュリティ情報イベント管理システム（SIEM）を使用している場合、ログを正規化して正規表現を書く手間を大幅に省くことができます。

1. すべてのsyslogをSIEMに送信します。
2. SIEMを使用してログを正規化します。
3. 正規化されたログを、このソフトウェアを実行しているマシン（syslog-ngを実行している任意のLinuxマシンで動作します）に送信し、データサーバーが解析できるようにします。

設定

1. /etc/redis/redis.conf で bind 127.0.0.1 を bind 0.0.0.0 に変更してください。DataServerをAttackMapServerとは別のマシンで実行する予定の場合に必要です。
2. /AttackMapServer/index.html 内のWebSocketアドレスが AttackMapServer のIPアドレスを指すようにして、ブラウザがWebSocketのアドレスを認識できるようにしてください。
3. MaxMind GeoLite2データベースをダウンロードし、DataServer.py 内の db_path 変数をデータベースを保存した場所に変更してください。
   • ./db-dl.sh
4. index.html 内の hqLatLng 変数に本部の緯度経度を追加してください。
5. syslog-gen.py または syslog-gen.sh を使用して、ダミートラフィックを「そのまま」シミュレートしてください。
6. 重要: このコードは、パース関数をカスタマイズした後の本番環境でのみ正しく動作することを覚えておいてください。デフォルトのパース関数は、./syslog-gen.sh のトラフィックをパースするためだけに記述されています。

バグ、フィードバック、質問

エラーやバグを見つけた場合は、お知らせください。質問やフィードバックも歓迎します。[email protected] に送信するか、このリポジトリでIssueを開いてください。

デプロイ例

Ubuntu 16.04 LTS で動作確認済み。

• アプリケーションをクローン:

  root@kitploit:~

  git clone https://github.com/matthewclarkmay/geoip-attack-map.git
  

• システム依存関係をインストール:

  root@kitploit:~

  sudo apt install python3-pip redis-server
  
  

• Python要件をインストール:

  root@kitploit:~

  cd geoip-attack-map
  sudo pip3 install -U -r requirements.txt
  
  

• Redisサーバーを起動:

  root@kitploit:~

  redis-server
  
  

• データサーバーDBを設定:

  root@kitploit:~

  cd DataServerDB
  ./db-dl.sh
  cd ..
  
  

• データサーバーを起動:

  root@kitploit:~

  cd DataServer
  sudo python3 DataServer.py
  
  

• Syslog Genスクリプトを起動（DataServerディレクトリ内）:

  • 新しいターミナルタブを開く（UbuntuではCtrl+Shift+T）。

    root@kitploit:~

    ./syslog-gen.py
    ./syslog-gen.sh
    

• 攻撃マップサーバーを設定し、フラグを適切な場所に展開:

  • 新しいターミナルタブを開く（UbuntuではCtrl+Shift+T）。

    root@kitploit:~

    cd AttackMapServer/
    unzip static/flags.zip
    

• 攻撃マップサーバーを起動:

  root@kitploit:~