SECMON - Ferramenta de Monitoramento de Segurança da Informação

Descrição

SECMON é uma ferramenta baseada em web para automação de monitoramento de segurança da informação e gerenciamento de vulnerabilidades com uma interface web.

Uma demo está disponível aqui. Um canal no Discord está disponível aqui

Funcionalidades

• Alerta por e-mail quando um novo CVE é publicado e que diz respeito à sua lista de produtos
• Alerta por e-mail quando notícias de "cibersegurança" são publicadas: novas ameaças, ataques recentes, eventos, etc.
• Visualize os produtos de alto risco de segurança presentes em sua infraestrutura de TI
• Baixe relatório Excel de CVEs por intervalo de datas
• Exibir principais assuntos de cibersegurança (Panorama cibernético leve)
• Logs fáceis de integrar em um SIEM (verificado no Splunk e Graylog)
• Visualizar os últimos CVEs e últimas notícias relacionadas à cibersegurança publicadas
• Atribuir um buffer de status de gerenciamento de um CVE
• Pesquisar todos os detalhes de um CVE
• Verificar se existe um exploit no Github ou Exploit-DB relacionado a um CVE
• Pesquisar por vulnerabilidades para um produto especificado
• Gerenciar sua lista de produtos: pesquisar/adicionar/excluir um produto, exibir sua lista de produtos referenciados
• Monitorar as fontes usadas pelos coletores

Alertas por e-mail podem ser enviados em inglês ou francês. A interface web do SECMON agora suporta conta multi-usuário.

Os CVEs são coletados usando dois métodos de coleta/correspondência:

• Baseado em palavras-chave: permite que você seja proativo na recuperação de CVEs deixando um pouco de precisão (sem verificação de versão, apenas correspondência de palavras) nos produtos afetados (ex: "VMWare", "Apache").
• Baseado em CPE (Common Platform Enumeration): permite a recuperação de CVEs que concernem apenas a versão do produto inserida (ex: "Windows 10 1909", "Apache 2.4.38")

Requisitos

SECMON requer registro na API do Github para recuperação de exploits. Também requer:

• SO: sistema baseado em Linux (testado no Debian 10)
• Ambiente: Python 3 (testado no Python 3.9 e Python 3.8)
• Uma chave de API do Github válida

AVISO: As credenciais da interface web são hashadas (SHA512 com salt), por outro lado, as credenciais de conexão da API do Github e a chave de sessão do aplicativo não são criptografadas nem hashadas. Todos os dados são armazenados em um banco de dados sqlite não criptografado. Alguns conselhos:

• Permita acesso a esta máquina apenas para pessoas autorizadas.
• Isole a máquina host do restante.
• Use um servidor dedicado/VM ou contêiner Docker.

Algumas capturas de tela

Exemplo de alertas por e-mail (CVE e RSS)

Página de gerenciamento de vulnerabilidades

Detalhes do CVE

Pesquisa de exploits

Principais ameaças cibernéticas

Pesquisa de produtos

Lista de produtos

Instalação

Leia a documentação

Agradecimentos

Agradecimentos a @andreafioraldi pelo módulo Python cve_searchsploit.

Agradecimentos a @konsav pelo modelo de e-mail HTML/CSS.

Agradecimentos a @rodolfo-mendes pelo modelo sbadmin2 (Bootstrap) adaptado ao Flask.

Agradecimentos a Florent Chatain pela primeira auditoria de segurança web.

Licença

SECMON (por Aubin Custodio - Guezone) é licenciado sob CC BY-NC-SA 4.0.

Esta licença permite que você use o SECMON, aprimore-o e o mantenha ativo mencionando o autor, mas sem usá-lo para fins comerciais. Como o processo de monitoramento de segurança da informação é bastante difícil e demorado, ele deve ser usado apenas para ajudar empresas e/ou usuários a proteger sua infraestrutura de TI e a conhecer o mundo atual da cibersegurança.

Histórico de alterações

2.0 :

• Modificação do formato de log
• Método de relatório (geração por datas)
• Interface web - novo template boostrap
• Trabalho na parte de automação do Docker

2.1 :

• Adicionei suporte multi-usuário na interface web
• Melhorias na configuração automática do Docker (para melhorar atualizações com git e volume)
• Adicionada uma seção Ameaças Cibernéticas que destaca os principais tópicos cibernéticos relatados no módulo RSS
• Atualização do README e DOCS (parte do Docker, atualização e capturas de tela)
• Priorização do método de coleta baseado em CPE sobre o método de palavras-chave

Roteiro

Funcionalidades

• Automatizar a implantação com Docker
• Primeira auditoria de segurança (apenas front-end)
• Escrever os logs em um formato padrão e planejar enviá-los para um terceiro do tipo SIEM.
• Escrever documentação do usuário para a interface web
• Criar script para permitir varredura de CPE em sistemas baseados em Windows e Linux
• Adicionar novas fontes de notícias cibernéticas
• Criar uma API REST para chamada em outros aplicativos
• Enviar relatório de atualização diária de CVEs (novo produto de alto risco, mudanças de CVSS, mudanças de produtos afetados, novo CVE explorável)
• SECMON-Open-API (API gratuita e aberta para obter notícias de 0-day, vulnerabilidades virais e violações de dados)
• Coleta de outros bancos de dados de vulnerabilidades

Melhoria de confiabilidade

• Gerenciamento completo da taxa da API NIST (correção parcial)
• Unificação de produtos (produto = CPE + Palavra-chave)
• Gerenciamento de palavras-chave para ser insensível a maiúsculas/minúsculas