misp-dashboard

Панель управления, отображающая живые данные и статистику из ZMQ-каналов одного или нескольких экземпляров MISP.
Эта панель может использоваться как инструмент осведомленности о ситуации в реальном времени для сбора информации об угрозах.
misp-dashboard включает инструмент геймификации для отображения вклада каждой организации и их рейтинга с течением времени.
Панель может использоваться SOC (Центрами управления безопасностью), командами безопасности или во время киберучений для отслеживания того, что обрабатывается на ваших различных экземплярах MISP.

Возможности

Панель управления в реальном времени

• Возможность подписки на несколько ZMQ-каналов из разных экземпляров MISP
• Отображает немедленные вклады, сделанные организациями
• Показывает разрешаемые в реальном времени географические местоположения

Панель управления геолокацией

• Предоставляет историческую геолокационную информацию для поддержки команд безопасности, CSIRT или SOC в поиске угроз в пределах их зоны ответственности
• Возможность получения геопространственной информации по конкретным регионам

Панель управления участниками

Показывает:

• Месячный рейтинг всех организаций
• Последнюю организацию, внесшую вклад (динамические обновления)
• Уровень вклада всех организаций
• Каждую категорию вкладов по организациям
• Текущий рейтинг выбранной организации (динамические обновления)

Включает:

• Геймификация платформы:
  • Два разных уровня рейтинга с уникальными значками
  • Эксклюзивные достижимые значки для участников исходного кода и донаторов

Панель управления пользователями

• Показывает, когда и как используется платформа:
  • Карточка входа и вклады с течением времени
  • Вклад против входа

Панель управления трендами

• Предоставляет информацию в реальном времени для поддержки команд безопасности, CSIRT или SOC, показывая текущие угрозы и активность
  • Показывает наиболее активные события, категории и теги
  • Показывает наблюдения и обсуждения с течением времени

Установка

Перед установкой учтите, что поддерживаются только открытые Unix-подобные операционные системы, такие как Linux и другие.

1. Вам необходимо создать бесплатную учетную запись MaxMind.
2. Установите пароль и создайте лицензионный ключ 2.1 Запомните ваш лицензионный ключ, он понадобится во время установки.

• Запустите ./install_dependencies.sh из директории MISP-Dashboard (идемпотентно-ish)
• Обновите файл конфигурации config.cfg, чтобы он соответствовал вашей системе
  • Поля, которые вы можете изменить:
    • RedisGlobal -> host
    • RedisGlobal -> port
    • RedisGlobal -> zmq_url
    • RedisGlobal -> misp_web_url
    • RedisMap -> pathMaxMindDB

Обновление через pull

• Повторно запустите ./install_dependencies.sh для загрузки новых необходимых зависимостей
• Повторно обновите файл конфигурации config.cfg, сравнив возможные изменения в config.cfg.default

⚠️ Убедитесь, что не запущены скрипты zmq python3. Они блокируют обновление.

+ virtualenv -p python3 DASHENV
Already using interpreter /usr/bin/python3
Using base prefix '/usr'
New python executable in /home/steve/code/misp-dashboard/DASHENV/bin/python3
Traceback (most recent call last):
  File "/usr/bin/virtualenv", line 9, in <module>
    load_entry_point('virtualenv==15.0.1', 'console_scripts', 'virtualenv')()
  File "/usr/lib/python3/dist-packages/virtualenv.py", line 719, in main
    symlink=options.symlink)
  File "/usr/lib/python3/dist-packages/virtualenv.py", line 942, in create_environment
    site_packages=site_packages, clear=clear, symlink=symlink))
  File "/usr/lib/python3/dist-packages/virtualenv.py", line 1261, in install_python
    shutil.copyfile(executable, py_executable)
  File "/usr/lib/python3.5/shutil.py", line 115, in copyfile
    with open(dst, 'wb') as fdst:
OSError: [Errno 26] Text file busy: '/home/steve/code/misp-dashboard/DASHENV/bin/python3'

• Перезапустите систему: ./start_all.sh ИЛИ ./start_zmq.sh и ./server.py &

Запуск системы

⚠️ Не запускайте от root. Обычных прав достаточно.

• Убедитесь, что запущен redis сервер
  • например, redis-server --port 6250
• Активируйте ваше виртуальное окружение . ./DASHENV/bin/activate
• Слушайте канал MISP, запустив zmq_subscriber ./zmq_subscriber.py &
• Запустите диспетчер для обработки полученных сообщений ./zmq_dispatcher.py &
• Запустите Flask сервер ./server.py &
• Получите доступ к интерфейсу по адресу http://localhost:8001/

В качестве альтернативы вы можете запустить скрипт start_all.sh для выполнения описанных выше команд.

Аутентификация

Аутентификация может быть включена в config/config.cfg установкой auth_enabled = True. Пользователи должны будут войти в MISP и получат доступ, если в Настройках пользователя dashboard_access установлено в 1 для учетной записи пользователя MISP.

Отладка

Отладка — это весело и дает больше подробностей о том, что происходит при сбоях. Имейте в виду, что запуск Flask в режиме отладки НЕ подходит для продакшена, он перебросит вас в оболочку Python, если включен, для дальнейшего изучения.

Перед запуском ./server.py выполните:

export FLASK_DEBUG=1
export FLASK_APP=server.py
flask run --host=0.0.0.0 --port=8001 # <- Be careful here, this exposes it on ALL ip addresses. Ideally if run locally --host=127.0.0.1

ИЛИ просто переключите флаг отладки в start_all.sh или config.cfg.

Счастливого хака ;)

Перезапуск с нуля

Чтобы перезапустить с нуля и очистить все данные с панели, вы можете использовать специальный скрипт очистки clean.py

Clean data stored in the redis server specified in the configuration file

optional arguments:
  -h, --help    show this help message and exit
  -b, --brutal  Perfom a FLUSHALL on the redis database. If not set, will use
                a soft method to delete only keys used by MISP-Dashboard.

Примечания о ZMQ

misp-dashboard не имеет состояния относительно MISP, он может обрабатывать только полученные данные. Это означает, что если ваш MISP не публикует все уведомления в свой ZMQ, misp-dashboard их не получит.

Наиболее ярким примером может быть карточка входа пользователя. Если в вашем MISP не установлена опция Plugin.ZeroMQ_audit_notifications_enable в true, карточка будет пустой.

Панель не показывает результаты - Нет модуля zmq

Когда misp-dashboard не показывает результаты, сначала проверьте, правильно ли установлен модуль zmq в MISP.

В Администрирование, Настройки плагинов, ZeroMQ проверьте, что Plugin.ZeroMQ_enable установлено в True.