Melody

인터넷의 배경 소음을 모니터링하세요

Melody는 위협 인텔리전스를 위해 설계된 투명한 인터넷 센서로, 관심 있는 패킷에 태그를 지정하여 추가 분석 및 위협 모니터링을 가능하게 하는 탐지 규칙 프레임워크를 지원합니다.

기능

Melody의 주요 기능은 다음과 같습니다:

투명한 캡처
탐지 규칙을 작성하고 특정 패킷에 태그를 지정하여 대규모로 분석
내장 HTTP/S 서버를 사용하여 취약한 웹사이트 모방
IPv4 및 IPv6를 통한 주요 인터넷 프로토콜 지원
로그 로테이션 자동 처리: Melody는 가장 작은 VPS에서 영원히 실행되도록 설계됨
최소한의 구성 필요
독립 실행형 모드: CLI만 사용하여 Melody 구성
손쉽게 확장 가능:
- 정적으로 컴파일된 바이너리
- 최신 Docker 이미지

위시리스트

지금은 다른 프로젝트에 집중해야 하기 때문에 Melody 개발에 많은 시간을 할애할 수 없습니다.

그러나 개선의 여지가 많으므로, 언젠가 구현하고 싶은 기능은 다음과 같습니다:

~~규칙 생성, 테스트 및 관리를 위한 전용 도우미 프로그램~~ -> cmd/meloctl에서 Meloctl 확인
중앙 집중식 규칙 관리
포트별 모의 애플리케이션

사용 사례

인터넷 직면 센서

인터넷 소음에서 트렌드 및 패턴 추출
악성 활동, 익스플로잇 시도 및 대상 스캐너 인덱싱
신흥 위협 악용 모니터링
특정 위협 주시

스트림 분석

배경 소음 프로필을 구축하여 표적 공격을 눈에 띄게 만듦
캡처를 재생하여 의심스러운 스트림에서 악성 패킷 태그 지정

미리보기

빠른 시작

빠른 시작 세부 정보.

요약

릴리스

최신 릴리스를 https://github.com/ma111e/melody/releases에서 받으세요.

make install               # 기본 외부 인터페이스 설정
make cap                   # Melody를 높은 권한 없이 실행할 수 있도록 네트워크 기능 설정
make certs                 # HTTPS 파일 서버용 자체 서명 인증서 생성
make enable_all_rules      # 기본 규칙 활성화
make service               # systemd 서비스를 생성하여 프로그램을 자동으로 재시작하고 시작 시 실행하도록 설정

sudo systemctl stop melody  # 구성하는 동안 서비스 중지

filter.bpf 파일을 업데이트하여 원하지 않는 패킷을 필터링하세요.

sudo systemctl start melody     # Melody 시작
sudo systemctl status melody    # Melody가 실행 중인지 확인

로그는 /opt/melody/logs/melody.ndjson에 쌓이기 시작합니다.

tail -f /opt/melody/logs/melody.ndjson # | jq

소스에서

git clone https://github.com/ma111e/melody /opt/melody
cd /opt/melody
make build

그런 다음 릴리스 요약의 단계를 계속 진행하세요.

Docker

make certs                           # HTTPS 파일 서버용 자체 서명 인증서 생성
make enable_all_rules                # 기본 규칙 활성화
mkdir -p /opt/melody/logs
cd /opt/melody/

docker pull ma111e/melody:latest

MELODY_CLI="" # 여기에 CLI 옵션을 입력하세요. 예: export MELODY_CLI="-s -i 'lo' -F 'dst port 5555' -o 'server.http.port: 5555'"

docker run \
    --net=host \
    -e "MELODY_CLI=$MELODY_CLI" \
    --mount type=bind,source="$(pwd)/filter.bpf",target=/app/filter.bpf,readonly \
    --mount type=bind,source="$(pwd)/config.yml",target=/app/config.yml,readonly \
    --mount type=bind,source="$(pwd)/var",target=/app/var,readonly \
    --mount type=bind,source="$(pwd)/rules",target=/app/rules,readonly \
    --mount type=bind,source="$(pwd)/logs",target=/app/logs/ \
    ma111e/melody

로그는 /opt/melody/logs/melody.ndjson에 쌓이기 시작합니다.

규칙

규칙 구문 세부 정보.

예시

CVE-2020-14882 Oracle WebLogic Server RCE:
  layer: http
  meta:
    id: 3e1d86d8-fba6-4e15-8c74-941c3375fd3e
    version: 1.0
    author: BonjourMalware
    status: stable
    created: 2020/11/07
    modified: 2020/20/07
    description: "CVE-2020-14882 확인 또는 악용 시도"
    references:
      - "https://nvd.nist.gov/vuln/detail/CVE-2020-14882"
  match:
    http.uri:
      startswith|any|nocase:
        - "/console/css/"
        - "/console/images"
      contains|any|nocase:
        - "console.portal"
        - "consolejndi.portal?test_handle="
  tags:
    cve: "cve-2020-14882"
    vendor: "oracle"
    product: "weblogic"
    impact: "rce"

로그

로그 내용 세부 정보.

예시

IPv4를 통한 Netcat TCP 패킷:

{
  "tcp": {
    "window": 512,
    "seq": 1906765553,
    "ack": 2514263732,
    "data_offset": 8,
    "flags": "PA",
    "urgent": 0,
    "payload": {
      "content": "I made a discovery today. I found a computer.\n",
      "base64": "SSBtYWRlIGEgZGlzY292ZXJ5IHRvZGF5LiAgSSBmb3VuZCBhIGNvbXB1dGVyLgo=",
      "truncated": false
    }
  },
  "ip": {
    "version": 4,
    "ihl": 5,
    "tos": 0,
    "length": 99,
    "id": 39114,
    "fragbits": "DF",
    "frag_offset": 0,
    "ttl": 64,
    "protocol": 6
  },
  "timestamp": "2020-11-16T15:50:01.277828+01:00",
  "session": "bup9368o4skolf20rt8g",
  "type": "tcp",
  "src_ip": "127.0.0.1",
  "dst_port": 1234,
  "matches": {},
  "inline_matches": [],
  "embedded": {}
}

melody

인기