SECMON - 보안 정보 관찰 도구

설명

SECMON은 웹 인터페이스를 통해 정보 보안 관찰 및 취약점 관리를 자동화하는 웹 기반 도구입니다.

데모는 여기에서 확인할 수 있습니다. Discord 채널은 여기에서 이용 가능합니다.

기능

• 메일 알림: 제품 목록과 관련된 새 CVE가 게시될 때
• 메일 알림: "사이버 보안" 뉴스(새로운 위협, 최근 공격, 이벤트 등)가 게시될 때
• IT 인프라에 존재하는 보안 위험이 높은 제품 시각화
• 날짜 범위별 CVE Excel 보고서 다운로드
• 최고 사이버 보안 주제 표시 (간략 사이버 현황)
• SIEM에 쉽게 통합 가능한 로그 (Splunk 및 Graylog에서 확인됨)
• 최신 CVE 및 사이버 보안 관련 최신 뉴스 조회
• CVE의 관리 상태 버퍼 할당
• CVE의 모든 세부 정보 검색
• CVE와 관련된 Github 또는 Exploit-DB의 익스플로잇 확인
• 지정된 제품에 대한 취약점 검색
• 제품 목록 관리: 제품 검색/추가/삭제, 참조된 제품 목록 표시
• 폴러가 사용하는 소스 모니터링

이메일 알림은 영어 또는 프랑스어로 발송할 수 있습니다. SECMON 웹 UI는 이제 다중 사용자 계정을 지원합니다.

CVE는 두 가지 수집/대응 방법을 사용하여 폴링됩니다:

• 키워드 기반: 영향을 받는 제품(예: "VMWare", "Apache")에 대해 정밀도를 약간 낮춰(버전 확인 없이 단어 매칭만) CVE 검색에 적극적으로 대응할 수 있습니다.
• CPE 기반 (Common Platform Enumeration): 입력된 제품 버전(예: "Windows 10 1909", "Apache 2.4.38")에만 관련된 CVE를 검색할 수 있습니다.

요구 사항

SECMON은 익스플로잇 검색을 위해 Github API 등록이 필요합니다. 또한 다음이 필요합니다:

• OS : Linux 기반 시스템 (Debian 10에서 테스트됨)
• 환경 : Python 3 (Python 3.9 및 Python 3.8에서 테스트됨)
• 유효한 Github API 키

경고 : 웹 UI 자격 증명은 해시(SHA512 with salt)되지만, Github API 연결 자격 증명과 애플리케이션 세션 키는 암호화되거나 해시되지 않습니다. 모든 데이터는 암호화되지 않은 sqlite 데이터베이스에 저장됩니다. 몇 가지 조언 :

• 이 머신에 대한 접근은 승인된 사람에게만 허용하십시오.
• 호스트 머신을 나머지와 격리하십시오.
• 전용 서버/VM 또는 Docker 컨테이너를 사용하십시오.

스크린샷들

이메일 알림 예시 (CVE 및 RSS)

취약점 관리 페이지

CVE 세부 정보

익스플로잇 검색

사이버 위협 주요 주제

제품 검색

제품 목록

설치

문서 보기

감사의 말

@andreafioraldi님의 cve_searchsploit Python 모듈에 감사드립니다.

@konsav님의 HTML/CSS 이메일 템플릿에 감사드립니다.

@rodolfo-mendes님의 Flask에 맞게 조정된 sbadmin2 (Bootstrap) 템플릿에 감사드립니다.

Florent Chatain님의 첫 번째 웹 보안 감사에 감사드립니다.

라이선스

SECMON (Aubin Custodio - Guezone)은 CC BY-NC-SA 4.0에 따라 라이선스가 부여됩니다.

이 라이선스는 저자를 명시하고 상업적 목적으로 사용하지 않는 조건으로 SECMON을 사용하고, 개선하며, 운영할 수 있도록 허용합니다. 정보 보안 관찰 프로세스는 상당히 어렵고 시간이 많이 소요되므로, 이 도구는 기업 및/또는 사용자가 IT 인프라를 보호하고 현재 사이버 보안 세계를 이해하는 데 도움을 주기 위해서만 사용되어야 합니다.

변경 내역

2.0 :

• 로그 형식 수정
• 보고 방법 (날짜를 통한 생성)
• 웹 UI - 새로운 부트스트랩 템플릿
• Docker 자동화 작업

2.1 :

• 웹 UI에 다중 사용자 지원 추가
• 자동 Docker 구성 개선 (git 및 볼륨을 통한 업데이트 개선)
• RSS 모듈에서 보고된 주요 사이버 주제를 강조하는 Cyber Threats 섹션 추가
• README 및 DOCS 업데이트 (docker, 업데이트 및 스크린샷 부분)
• 키워드 방법보다 CPE 폴링 방법 우선 순위 지정

로드맵

기능

• Docker를 사용한 배포 자동화
• 첫 번째 보안 감사 (프론트엔드만)
• 표준 형식으로 로그 작성 및 SIEM 유형의 타사로 전송 계획
• 웹 UI 사용자 문서 작성
• Windows 및 Linux 기반 시스템에서 CPE 스캔을 허용하는 스크립트 생성
• 새로운 사이버 뉴스 소스 추가
• 다른 애플리케이션에서 호출할 REST API 생성
• CVE 일일 업데이트 보고서 전송 (새로운 고위험 제품, CVSS 변경, 영향받는 제품 변경, 새로운 익스플로잇 가능 CVE)
• SECMON-Open-API (0-day, 유행 취약점 및 데이터 침해 뉴스를 얻기 위한 무료 공개 API)
• 기타 취약점 데이터베이스 폴링

신뢰성 개선

• NIST API 비율 완전 관리 (부분 수정)
• 제품 통합 (제품 = CPE + 키워드)
• 대소문자 구분 없는 키워드 관리