Блоги

Как видите поддержка существует, есть и работает. Учитывая популярность платформы, разблокировка заняла больше нескольких суток.

Вероятнее всего помогли участники сообщества, которые писали в поддержку.

От канала Aprel Mods за время блокировки отписалось более 5600 участников.
Суммарно с другими заблокированными чатами, каналами более 7400.

Аудитория форума, матрицы, дискорда и чатов, которые удалось разблокировать моментально наоборот пополнилась.

❤️💚

Что такое SIEM, если по-простому

SIEM(Security Information and Event Management) - это система, которая анализирует события на информационных ресурсах компании, смотрит их логи, находит закономерности, выстраивает цепочки, чтобы вовремя обнаружить подозрительную активность и успеть предпринять меры для блокировки атак. Нормально, если вы 3 раза пытаетесь залогиниться в винде, 2 раза из которых забыли сменить раскладку. Нормально, если это происходит в пятый или даже в десятый раз с интервалом в несколько секунд. Но если вы дрочитесь по 30 раз в секунду в попытках залогиниться, на 1001-й раз за минуту в логах отображается успешный вход, это определенно повод поволноваться. Вот как раз SIEM распознает это как подозрительную активность, передаст информацию о том, что происходит с вашим аккаунтом SOC-аналитикам, чтобы они блокнули вашу учетку к херам от греха подальше.

Для справки: SOC (Security Operation Center) - это толпа инженеров разной квалификации, которые надрессированы работать с SIEM-системами и в идеальном случае знают, как реагировать на атаки, как распознавать ложные сработки этой системы и как неистово выебываться в IT-комьюнити.

Злой рок, в конечном счете, привел меня к необходимости самостоятельно разобраться с халявными решениями SIEM. Коммерческие лицензии, надо сказать, стоят просто нереальных денег, я до стольки еще считать не научилась. Не на пустом месте, конечно. Однако, жизненный путь тернист, а судьба неудачника - бесплатный цирк для богов. И вот я знакомлюсь с Wazuh - SIEM-система с открытым исходным кодом.

Вертится она у меня на обычной Ubuntu 24.4.5 TSL - виртуалочке,которая автозапускается вместе с виндой.
Выглядит приятно, а при базовой настройке правил корреляции даже неплохо так отрабатывает. Есть 6 гигов ОЗУ, а на диске надо выделить около 80. За 3 месяца они будут забиты и придется очищать.

Ну, начнем с настройки. Wazuh на сегодняшний день стабильно работает на Ubuntu 24.4.0 версии. На 26-й может отрыгнуть. Так что, я решила не рисковать, нервов и так уже не осталось и поставила эту вундервафлю по гайду от разрабов.

Работаю с Oracle, так что для VMWare-поклонников инструкции будут немного другими.

Важно на виртуалке выделить не менее 6 гигов оперативки (6144 GiB) и не менее 4 ядер процессора.

Я ставлю Wazuh на ноутбук (бегите, я бешеный), потому у меня нет необходимости в доступности SIEM снаружи, зато есть необходимость не дрочиться с постоянным редактированием конфигов из-за динамичного ip. Так что я сразу же даю виртуалке 2 сетевых атаптера. Один NAT, второй "Виртуальный адаптер - VirtualBox Host-Only Ethernet Adapter" и тараканю править конфигурации

Через ip a узнаем имена виртуального адаптера. Там будет, скорее всего enp0s8 без адреса. Пугать это не должно. Адрес назначается легче легкого (если б не нейросеть, то ебалась бы 3 дня в попытке разобраться, какого хера просиходит и почему сраный ip не появляется) .

Создаем файл настроек:

sudo nano /etc/netplan/60-hostonly.yaml

и внутри вводим это:
network:

version: 2

ethernets:

enp0s8:

addresses: [192.168.xx.xx/24] ^*

*Вместо xx поставь че-нибудь свое. По типу 67.67

Важное замечание: Отступы - это не TAB, это строго 2 пробела. Отступы важны. Они должны быть ИМЕННО ТАКИМИ, И НИКАКИМИ ДРУГИМИ.

Применяем настроечки:

sudo chmod 600 /etc/netplan/60-hostonly.yaml

sudo netplan apply

Проверяем, что у enp0s8 появился тот адрес, который назначили через ip a

Ну, собственно, теперь ставим wazuh.

Ставится одной командой:

curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh && sudo bash ./wazuh-install.sh -a

В конце будут креды. Че т типа такого:

User: admin

Password: какой-то_длинный_пароль

Их надо сохранить. Это креды от веб-панели.

Если пароль "потеряется", то можно его опять достать:

sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt

В Веб-панель заход стандартный:

https://192.168.xx.xx

Логин-пароль Выше.

Дальше надо будет поставить агента (херню, которая будет собирать все ваши события с тачки)

В менюшке слева ищете Agents Managers -> Summary. Справа "Deploy new agent"

Дальше по форме надо заполнить параметры:

Сгенерируется 2 команды. Нужна та, которая начинается с Invoke-WebRequest (для винды). Для Linux начинается с wget.
Эту команду надо запихнуть в командную строку. В моем случае в PowerShell. Агент утсановится, а дальше для виндв надо прописать:

NET START Wazuh


Это служба только что загруженного агента. Если косяков по пути нигде не было, то в веб-панели появится созданный агент с зеленой лампочкой в состоянии Active

Протестить работу можно, создав и удалив пользователя. В новорожденной SIEM появятся события с уровнем угрозы >7

net user hacker Test12345! /add

net user hacker /delete

Отобразится хрень в Treat Intellegence (левая менюшка) -> Treat Hunting -> Events.

Далее надо очень плотно и потно настраивать эту систему. В целом, она может анализировать любые логи, какие захотите ей кормить в режиме "онлайн". Главное, суметь настроить. Для отслеживания состояния компа лучше сразу качнуть Sysmon (бесплатная утилита Microsoft, которая записывает подробности о том, что происходит в системе: какая программа запустилась, кто её запустил, куда она подключается по сети) и начать кастовать правила. Когда нормально корреляция будет настроена, можно сделать интеграцию с почтой и телегой, что б туда сливались особо серьезные алерты.

В целом, штука классная, потому что бесплатно, без лишней мозгодрочки, помогает отслеживать события в системе, смотреть, когда, где, куда именно и какой именно, был скачан майнер. Также он через Vulnerability Detection помогает отслеживать, какие проги надо обновить и какие уязвимости есть в текущих версиях, ибо в него подружается БД CVE-шек. Также можно найти какой-нибудь опенсурсный WAF, кидануть в него трафик своего сайта и слить логи в этот же Wazuh и даже отслеживать события ИБ на уровне веб-приложения.

Выглядит, опять же, красиво:

Да, конечно, в плане установки на ноутбук сразу возникает вопрос: а почему не обычное АВПО? Не касперский, не тот же защитник виндовс?

Потому что пошли они нахуй, вот почему. Потому что в АВПО свои правила, свои сценарии, и они самовольно удаляют или блокируют файлы. А в SIEM можно посмотреть самостоятельно и самолично принять решение, надо там что-то удалять или нет. Можно написать свои правила о том, что считать угрозой, а что нет. А еще это бесплатно и без геморройных подписок, рекламы и т.д. и т.п.

Ссылка на оф документацию: https://documentation.wazuh.com/

Всем six seven

Модеры, пожалуйста, одобрите клуб

Роскомнадзор заблокировал сайты, использующие технологию Encrypted Client Hello (ECH). Недавно сервис активировал для всех своих пользователей шифрование заголовка SNI (Server Name Indication), что делает невозможным определение конкретного сайта при подключении по протоколу HTTPS. Это позволило сделать доступными многие сайты, ранее заблокированные, например, Рутрекер.



Информация для тех, кто пользуется Cloudflare. Сегодня Роскомнадзор начал блокировать сайты с TLS 1.3 от Cloudflare. Для того, чтобы восстановить доступность сайта достаточно отключить ECH или TLS 1.3.

Если у вас платный тариф, то шаги следующие:

1. Выбрать сайт, где требуется изменить настройки.
2. Перейти в раздел SSL/TLS.
3. Найти вкладку Edge Certificates.
4. Найдите Encrypted ClientHello (ECH) и выключите.

Для бесплатных тарифов есть два варианта. Самый простой это отключить TLS 1.3. Вместе с ним отключится и ECH. Это также можно сделать из панели управления. Шаги такие же как для платного тарифа, только в 4 шаге вместо ЕСH вы находите TLS 1.3 и выключаете.

Но самый оптимальный вариант это все-таки отключить только ECH, оставив при этом TLS 1.3. Для этого в бесплатном тарифе придется использовать API.

Запрос для глобального API ключа:

curl -X PATCH "https://api.cloudflare.com/client/v4/zones/{ID_ZONE}/settings/ech" \ -H "X-Auth-Email: {ACCOUNT_EMAIL}" \ -H "X-Auth-Key: {GLOBAL_API_KEY}" \ -H "Content-Type:application/json" --data '{"id":"ech","value":"off"}'

{ID_ZONE}, {ACCOUNT_EMAIL} и {GLOBAL_API_KEY} нужно заменить на свои значения.

Либо запрос для API токена:

curl -X PATCH "https://api.cloudflare.com/client/v4/zones/{ID_ZONE}/settings/ech" \ -H "Authorization: Bearer {API_KEY}" \ -H "Content-Type:application/json" --data '{"id":"ech","value":"off"}'

{ID_ZONE} и {API_KEY} нужно заменить на свои значения.

Создать API токен или посмотреть свой глобальный API ключ можно нажав справа сверху на иконку профиля и выбрав там My Profile.

Если вы не знаете как запускать данные команды, можете использовать для этого онлайн сервис запуска curl команд https://reqbin.com/curl . Но в таком случае очень важно использовать именно API токен и после использования сразу его удалить.

АНАЛОГИ

1. StormWall: Специализируется на защите от DDoS-атак и предлагает комплексные решения для безопасности веб-приложений.
2. Serverspace: Предоставляет услуги хостинга, облачных вычислений и CDN, с акцентом на высокую производительность и надежность.
3. G-Core Labs: Облачный провайдер с широким спектром услуг, включая CDN, DDoS-защиту, балансировку нагрузки и многое другое.
4. Cdnnow!: Предлагает CDN-услуги с фокусом на оптимизацию доставки контента и повышение скорости загрузки веб-сайтов.
5. NGenix: Специализируется на высокопроизводительных решениях для доставки контента, включая CDN, балансировку нагрузки и оптимизацию веб-приложений.
6. Akamai: Один из крупнейших поставщиков CDN-услуг в мире, известный своей глобальной сетью доставки контента и широким спектром функций.
7. CDN video: Специализируется на оптимизации доставки видеоконтента, предлагая решения для стриминга, транскодирования и доставки видео.
8. CDN77: Предоставляет CDN-услуги с акцентом на доступность, надежность и высокую производительность.
9. Bunny cdn: Известен своей доступной ценой и простым в использовании интерфейсом, предлагая CDN-услуги для различных типов контента.
10. Fastly: Предлагает CDN-услуги с фокусом на высокую производительность, безопасность и масштабируемость.

Помимо перечисленных, в реальном времени доступны и другие аналоги Cloudflare, такие как Yandex Cloud, AdGuard, Google Cloud Platform, Timeweb Cloud, DDoS-Guard, Selectel, VDS Selectel.
Я пробежался по списку лично. По сравнению с Cloudflare все эти сервисы полнейшая хуйня, чаще багованая, а ещё чаще полностью платная и багованая. Делайте выбор сами.

ОБСУЖДЕНИЕ