misp-dashboard

Um painel que mostra dados ao vivo e estatísticas dos feeds ZMQ de uma ou mais instâncias MISP. O painel pode ser usado como uma ferramenta de consciencialização situacional em tempo real para recolher informações sobre ameaças. O misp-dashboard inclui uma ferramenta de gamificação para mostrar as contribuições de cada organização e como são classificadas ao longo do tempo. O painel pode ser usado por SOCs (Centros de Operações de Segurança), equipas de segurança ou durante exercícios cibernéticos para acompanhar o que está a ser processado nas suas várias instâncias MISP.

Funcionalidades

Painel ao Vivo

• Possibilidade de subscrever vários feeds ZMQ de diferentes instâncias MISP
• Mostra contribuições imediatas feitas por organizações
• Exibe geolocalizações postadas e resolvíveis em tempo real

Painel de Geolocalização

• Fornece informações geolocalizadas históricas para apoiar equipas de segurança, CSIRTs ou SOCs na identificação de ameaças dentro da sua circunscrição
• Possibilidade de obter informações geoespaciais de regiões específicas

Painel de Contribuidores

Mostra:

• A classificação mensal de todas as organizações
• A última organização que contribuiu (atualizações dinâmicas)
• O nível de contribuição de todas as organizações
• Cada categoria de contribuições por organização
• A classificação atual da organização selecionada (atualizações dinâmicas)

Inclui:

• Gamificação da plataforma:
  • Dois níveis diferentes de classificação com ícones exclusivos
  • Distintivos exclusivos obteníveis para contribuidores de código-fonte e doadores

Painel de Utilizadores

• Mostra quando e como a plataforma é usada:
  • Cartão de ponto de login e contribuições ao longo do tempo
  • Contribuição vs login

Painel de Tendências

• Fornece informações em tempo real para apoiar equipas de segurança, CSIRTs ou SOCs mostrando ameaças e atividade atuais
  • Mostra os eventos, categorias e tags mais ativos
  • Mostra observações e discussões ao longo do tempo

Instalação

Antes de instalar, considere que os únicos sistemas suportados são sistemas operativos open source do tipo Unix, como Linux e outros.

1. Necessitará de criar uma conta gratuita no MaxMind.
2. Defina a sua palavra-passe e crie uma chave de licença 2.1 Anote a sua Chave de Licença, é necessária durante a instalação.

• Execute ./install_dependencies.sh a partir do diretório MISP-Dashboard (idempotente-ish)
• Atualize o ficheiro de configuração config.cfg para que corresponda ao seu sistema
  • Campos que pode alterar:
    • RedisGlobal -> host
    • RedisGlobal -> port
    • RedisGlobal -> zmq_url
    • RedisGlobal -> misp_web_url
    • RedisMap -> pathMaxMindDB

Atualização via pull

• Re-execute ./install_dependencies.sh para obter novas dependências necessárias
• Re-atualize o seu ficheiro de configuração config.cfg comparando eventuais alterações em config.cfg.default

⚠️ Certifique-se de que nenhum script zmq python3 está em execução. Eles bloqueiam a atualização.

+ virtualenv -p python3 DASHENV
Already using interpreter /usr/bin/python3
Using base prefix '/usr'
New python executable in /home/steve/code/misp-dashboard/DASHENV/bin/python3
Traceback (most recent call last):
  File "/usr/bin/virtualenv", line 9, in <module>
    load_entry_point('virtualenv==15.0.1', 'console_scripts', 'virtualenv')()
  File "/usr/lib/python3/dist-packages/virtualenv.py", line 719, in main
    symlink=options.symlink)
  File "/usr/lib/python3/dist-packages/virtualenv.py", line 942, in create_environment
    site_packages=site_packages, clear=clear, symlink=symlink))
  File "/usr/lib/python3/dist-packages/virtualenv.py", line 1261, in install_python
    shutil.copyfile(executable, py_executable)
  File "/usr/lib/python3.5/shutil.py", line 115, in copyfile
    with open(dst, 'wb') as fdst:
OSError: [Errno 26] Text file busy: '/home/steve/code/misp-dashboard/DASHENV/bin/python3'

• Reinicie o Sistema: ./start_all.sh OU ./start_zmq.sh e ./server.py &

Iniciar o Sistema

⚠️ Não deve executá-lo como root. Privilégios normais são suficientes.

• Certifique-se de ter um servidor redis em execução
  • e.g. redis-server --port 6250
• Ative o seu virtualenv . ./DASHENV/bin/activate
• Escute o feed MISP iniciando o zmq_subscriber ./zmq_subscriber.py &
• Inicie o dispatcher para processar mensagens recebidas ./zmq_dispatcher.py &
• Inicie o servidor Flask ./server.py &
• Aceda à interface em http://localhost:8001/

Alternativamente, pode executar o script start_all.sh para executar os comandos descritos acima.

Autenticação

A autenticação pode ser ativada em config/config.cfg definindo auth_enabled = True. Os utilizadores terão de fazer login no MISP e poderão prosseguir se tiverem a Definição de Utilizador dashboard_access definida como 1 para a conta de utilizador do MISP.

Depuração

A depuração é divertida e dá-lhe mais detalhes sobre o que está a acontecer quando as coisas falham. Tenha em mente que executar Flask em modo de depuração NÃO é adequado para produção, pois irá abrir uma shell Python se ativado, para investigação adicional.

Antes de executar ./server.py faça:

export FLASK_DEBUG=1
export FLASK_APP=server.py
flask run --host=0.0.0.0 --port=8001 # <- Cuidado aqui, isto expõe em TODOS os endereços IP. Idealmente, se executar localmente --host=127.0.0.1

OU, simplesmente altere a flag de depuração em start_all.sh ou config.cfg.

Boas hackeamentos ;)

Reiniciar do zero

Para reiniciar do zero e esvaziar todos os dados do seu painel, pode usar o script de limpeza dedicado clean.py

Clean data stored in the redis server specified in the configuration file

optional arguments:
  -h, --help    show this help message and exit
  -b, --brutal  Perfom a FLUSHALL on the redis database. If not set, will use
                a soft method to delete only keys used by MISP-Dashboard.

Notas sobre ZMQ

O misp-dashboard sendo sem estado em relação ao MISP, só pode processar dados que recebeu. Isto significa que se o seu MISP não estiver a publicar todas as notificações no seu ZMQ, o misp-dashboard não as terá.

O exemplo mais relevante pode ser o cartão de ponto de login do utilizador. Se o seu MISP não tiver a opção Plugin.ZeroMQ_audit_notifications_enable definida como true, o cartão de ponto estará vazio.

Painel não mostra resultados - No module named zmq

Quando o misp-dashboard não mostra resultados, verifique primeiro se o módulo zmq dentro do MISP está instalado corretamente.