• Pode ser configurada para coletar pacotes de uma interface e encaminhar aqueles que correspondem a uma lista de endereços configurável. A lista de endereços pode ser endereços IP individuais, intervalos CIDR ou tarefa de coleta total (‘0.0.0.0/0’).
• Pode ser configurada para receber alertas do Snort. Nesta configuração, quando um alerta é recebido do Snort, o endereço IP de origem associado ao alerta é direcionado dinamicamente por um período de tempo configurável. Isso é útil, por exemplo, para coletar dados de qualquer ator de rede que acione uma regra do Snort e seja assim identificado como um potencial atacante.
• Pode opcionalmente oferecer uma API de gerenciamento que permite a consulta remota do estado e a alteração da configuração. Isso permite a alteração dinâmica do mapa de direcionamento e integração com outros sistemas.
• Pode ser configurada para entregar em um dos dois protocolos de fluxo padrão.
• Pode inserir uma linha de atraso na coleta de pacotes de duração configurável. Isso pode ser útil, por exemplo, com acionamento de alerta do Snort para garantir que todos os pacotes que acionam um alerta sejam coletados.

Cybermon

A ferramenta de monitoramento, cybermon, possui as seguintes funcionalidades:

• Analisa pacotes entregues no protocolo de fluxo ETSI de uma ou mais instâncias do cyberprobe.
• Decodifica vários protocolos de pacotes para detectar eventos de rede, que são entregues à sua configuração em tempo quase real.
• As informações decodificadas são disponibilizadas para lógica configurável pelo usuário (escrita em Lua) para definir como os dados decodificados são tratados. São fornecidos arquivos de configuração de exemplo para entrega ao RabbitMQ em JSON, um endpoint gRPC e entrega a uma fila Redis.
• Técnicas de falsificação de pacotes estão incluídas, que permitem redefinir conexões TCP e falsificar respostas DNS. Isso pode ser invocado a partir da sua configuração Lua.
• Suporta IP, TCP, UDP, ICMP, HTTP, DNS, SMTP, FTP, TLS e mais. O código é direcionado para a plataforma Linux, embora seja genérico o suficiente para ser aplicável a outras plataformas similares ao UN*X.

Assinantes

O fluxo de eventos do cybermon pode ser apresentado ao RabbitMQ em formato JSON, que pode então ser entregue a análises adicionais:

• evs-alert relata acertos de indicadores em eventos para a saída padrão.
• evs-cassandra carrega eventos no Cassandra.
• evs-detector estuda eventos quanto à presença de indicadores. Os eventos são anotados com acertos de indicadores, se algum for observado.
• evs-dump exibe o JSON bruto do evento na saída padrão.
• evs-elasticsearch carrega eventos no ElasticSearch.
• evs-gaffer carrega informações de rede no Gaffer (um banco de dados de grafo).
• evs-geoip consulta endereços IP no GeoIP e anota eventos com informações de localização.
• evs-monitor exibe informações de eventos na saída padrão.

Escalonamento

A arquitetura possui suporte para AWS Traffic Mirroring e suporta implantações em escala de nuvem:

• Múltiplas instâncias do cyberprobe podem compartilhar carga entre várias instâncias do cybermon atrás de um balanceador de carga.
• O fluxo de eventos do cybermon pode ser entregue a um sistema pub/sub para distribuir a carga e permitir escalabilidade.

Mais informações

A maneira mais fácil de aprender sobre o software é seguir nosso tutorial Quick Start.

• Manual do Cyberprobe
  • Tutorial de início rápido
  • Instalação
  • Integração com Endace DAG
  • Execução em contêineres
  • Integração com AWS Traffic Mirroring