💡 Atualização: tshark-opensearch

Uma aplicação mais recente tshark-opensearch está agora disponível.

Você pode encontrá-la no repositório https://github.com/h21-lab/apps-collection-info. 👉 Obter Acesso

Aparelho VM tshark ELK

Este projeto constrói uma máquina virtual que pode ser usada para análise da saída tshark -T ek (ndjson). O aparelho virtual é construído usando Vagrant, que cria um Debian com o stack ELK pré-instalado e pré-configurado.

Depois que a VM estiver ativa, o processo é simples:

pcaps decodificados (saída tshark -T ek / ndjson) são enviados via TCP/17570 para a VM
o stack ELK na VM processará e indexará os dados
o Kibana está em execução na VM e pode ser acessado em http://127.0.0.1:15601/app/kibana#/dashboards

Instruções para construir a VM a partir do Ubuntu desktop

Clonar o código-fonte

git clone https://github.com/H21lab/tsharkVM.git

Construir a VM tshark

sudo apt update
sudo apt install tshark virtualbox vagrant
vagrant plugin install vagrant-disksize
vagrant plugin install vagrant-scp
bash ./build.sh

Enviar pcaps para a VM

# copie seus pcaps para ./Trace

# envie os pcaps (com nomes de arquivo)
bash upload_pcaps_with_filenames.sh

# ou use vagrant scp para copiar os arquivos ndjson para /home/vagrant/input

# ou envie os pcaps (sem nomes de arquivo)
bash upload_pcaps.sh

# ou use tshark diretamente para 127.0.0.1 17570/tcp
tshark -r trace.pcapng -x -T ek > /dev/tcp/localhost/17570

Abrir o Kibana com o navegador

firefox http://127.0.0.1:15601/app/kibana#/dashboards

Abra o Painel Principal e aumente o intervalo de tempo, por exemplo, para os últimos 100 anos, para ver lá os pcaps de exemplo.

SSH para a VM

cd ./VM
vagrant ssh

Excluir a VM

cd ./VM
vagrant destroy default

Iniciar a VM

cd ./VM
vagrant up

Parar a VM

cd ./VM
vagrant halt

SSH para a VM e verificar se o ELK está funcionando corretamente

cd ./VM
vagrant ssh
sudo systemctl status kibana.service
sudo systemctl status elasticsearch.service
sudo systemctl status logstash.service

Template de mapeamento do Elasticsearch

No projeto está incluído um template de mapeamento simples do Elasticsearch gerado para os protocolos frame,eth,ip,udp,tcp,dhcp. Para lidar com protocolos adicionais de forma eficiente, pode ser necessário atualizar o template de mapeamento da seguinte forma:

# 1. Criar um mapeamento personalizado, selecionando os protocolos necessários
tshark -G elastic-mapping --elastic-mapping-filter frame,eth,ip,udp,tcp,dns > ./Kibana/custom_tshark_mapping.json

# 2. Deduplicar e pós-processar o mapeamento para se adequar à versão atual do Elasticsearch
ruby ./Public/process_tshark_mapping_json.rb

# 3. Enviar o arquivo para a VM Vagrant
cd VM
vagrant upload ../Kibana/custom_tshark_mapping_deduplicated.json /home/vagrant/tsharkVM/Kibana/custom_tshark_mapping_deduplicated.json
cd ..

# 4. Conectar-se à VM e enviar o template para o Elasticsearch
cd VM
vagrant ssh
cd tsharkVM/Kibana
curl -X PUT "localhost:9200/_index_template/packets_template" -H 'Content-Type: application/json' -d@custom_tshark_mapping_deduplicated.json

Uma alternativa pode ser usar o mapeamento dinâmico. Veja o template ./Kibana/template_tshark_mapping_dynamic.json. E considere definir o parâmetro numeric_detection como true/false dependendo dos requisitos de mapeamento e dos pcaps usados. Envie o template para o Elasticsearch de forma semelhante à descrita acima.

Limitações

O mapeamento tshark -G elastic-mapping --elastic-mapping-filter pode estar desatualizado, não acompanhando adequadamente as mudanças do Elasticsearch, e a saída pode ser duplicada. É necessária configuração manual e pós-processamento do template de mapeamento.

O programa é distribuído na esperança de que seja útil, mas SEM NENHUMA GARANTIA.

Licença

A licença padrão dos códigos-fonte fornecidos neste projeto é a Apache License v2.0.

O simple-NIDS é licenciado sob a AGPLv3 (Free Open Source GNU Affero GPL v3.0).

Adicionalmente, consulte as licenças individuais e os termos de uso do software instalado (veja licenças para Wireshark, Elastic e outros).

Atribuição

Agradecimentos especiais às pessoas que ajudaram no desenvolvimento do Wireshark ou contribuíram de outra forma para este trabalho:

Anders Broman
Alexis La Goutte
Christoph Wurm
Dario Lombardo
Vic Hargrave

O pcap de exemplo na subpasta ./Traces foi baixado de https://wiki.wireshark.org/SampleCaptures

Criado por Martin Kacer

tsharkVM

Mais Populares