geoip-attack-map

Primeiro e Acima de Tudo

Não tenho muito tempo na minha vida agora para manter este projeto. Aceitei este desafio como uma forma de aprender JavaScript e melhorar o Python que já conhecia. Tenho certeza de que há várias coisas que poderia ter feito de forma diferente na minha implementação, e não me ofenderei se receber críticas construtivas de alguém que baixar e visualizar meu código. Sei que aprendi muito ao trabalhar nisso e espero que a comunidade de código aberto continue me ensinando coisas :)

NOTA: Como não mantenho este projeto, alguns recursos provavelmente não funcionam de imediato. Por exemplo, o mapa provavelmente não será exibido porque não pago por uma chave legítima da API MapBox. Para corrigir isso, provavelmente terá que criar sua própria conta MapBox e usar sua própria chave.

Visualização do Mapa de Ataques GeoIP de Segurança Cibernética

Este visualizador de mapa de ataques geoip foi desenvolvido para exibir ataques de rede à sua organização em tempo real. O servidor de dados monitora um arquivo syslog e extrai IP de origem, IP de destino, porta de origem e porta de destino. Os protocolos são determinados por portas comuns e as visualizações variam em cor com base no tipo de protocolo. CLIQUE AQUI para um vídeo de demonstração. Este projeto não seria possível sem Sam Cappella, que criou um visualizador de tráfego de rede para competição de defesa cibernética na Palmetto Cyber Defense Competition de 2015. Usei principalmente seu código como referência, mas peguei emprestadas algumas funções ao criar o servidor de exibição e os aspectos visuais do webapp. Gostaria também de agradecer especialmente a Dylan Madisetti pelos conselhos sobre certos aspectos da minha implementação.

Importante

Este programa depende inteiramente de syslog, e como todos os appliances formatam logs de forma diferente, você precisará personalizar a(s) função(ões) de análise de log. Se sua organização usa um sistema de gerenciamento de eventos e informações de segurança (SIEM), ele provavelmente pode normalizar logs para economizar muito tempo escrevendo regex.

1. Envie todos os syslog para o SIEM.
2. Use o SIEM para normalizar os logs.
3. Envie os logs normalizados para a máquina (qualquer máquina Linux rodando syslog-ng funcionará) que executa este software para que o servidor de dados possa analisá-los.

Configs

1. Certifique-se de que em /etc/redis/redis.conf alterou bind 127.0.0.1 para bind 0.0.0.0 se planeja executar o DataServer em uma máquina diferente do AttackMapServer.
2. Certifique-se de que o endereço WebSocket em /AttackMapServer/index.html aponte de volta para o endereço IP do AttackMapServer para que o navegador saiba o endereço do WebSocket.
3. Baixe o banco de dados MaxMind GeoLite2 e altere a variável db_path em DataServer.py para onde você armazenar o banco de dados.
   • ./db-dl.sh
4. Adicione a latitude/longitude da sede à variável hqLatLng em index.html
5. Use syslog-gen.py ou syslog-gen.sh para simular tráfego falso "pronto para uso."
6. IMPORTANTE: Lembre-se, este código só funcionará corretamente em um ambiente de produção após personalizar as funções de análise. A função de análise padrão foi escrita apenas para analisar o tráfego de ./syslog-gen.sh.

Erros, Feedback e Perguntas

Se encontrar algum erro ou bug, por favor me avise. Perguntas e feedback também são bem-vindos, e podem ser enviados para [email protected], ou abra uma issue neste repositório.

Exemplo de Implantação

Testado no Ubuntu 16.04 LTS.

• Clone o aplicativo:

  root@kitploit:~

  git clone https://github.com/matthewclarkmay/geoip-attack-map.git
  

• Instale as dependências do sistema:

  root@kitploit:~

  sudo apt install python3-pip redis-server
  
  

• Instale os requisitos Python:

  root@kitploit:~

  cd geoip-attack-map
  sudo pip3 install -U -r requirements.txt
  
  

• Inicie o Servidor Redis:

  root@kitploit:~

  redis-server
  
  

• Configure o Banco de Dados do Servidor de Dados:

  root@kitploit:~

  cd DataServerDB
  ./db-dl.sh
  cd ..
  
  

• Inicie o Servidor de Dados:

  root@kitploit:~

  cd DataServer
  sudo python3 DataServer.py
  
  

• Inicie o Script Gerador de Syslog, dentro do diretório DataServer:

  • Abra uma nova aba do terminal (Ctrl+Shift+T, no Ubuntu).

    root@kitploit:~

    ./syslog-gen.py
    ./syslog-gen.sh
    

• Configure o Servidor de Mapa de Ataques, extraia os flags para o local correto:

  • Abra uma nova aba do terminal (Ctrl+Shift+T, no Ubuntu).

    root@kitploit:~

    cd AttackMapServer/
    unzip static/flags.zip