Активность

Что такое SIEM, если по-простому SIEM(Security Information and Event Management) - это система, которая анализирует события на информационных ресурсах компании, смотрит их логи, находит закономерности, выстраивает цепочки, чтобы вовремя обнаружить подозрительную активность и успеть предпринять меры для блокировки атак. Нормально, если вы 3 раза пытаетесь залогиниться в винде, 2 раза из которых забыли сменить раскладку. Нормально, если это происходит в пятый или даже в десятый раз с интервалом в несколько секунд. Но если вы дрочитесь по 30 раз в секунду в попытках залогиниться, на 1001-й раз за минуту в логах отображается успешный вход, это определенно повод поволноваться. Вот как раз SIEM распознает это как подозрительную активность, передаст информацию о том, что происходит с вашим аккаунтом SOC-аналитикам, чтобы они блокнули вашу учетку к херам от греха подальше. Для справки: SOC (Security Operation Center) - это толпа инженеров разной квалификации, которые надрессированы работать с SIEM-системами и в идеальном случае знают, как реагировать на атаки, как распознавать ложные сработки этой системы и как неистово выебываться в IT-комьюнити. Злой рок, в конечном счете, привел меня к необходимости самостоятельно разобраться с халявными решениями SIEM. Коммерческие лицензии, надо сказать, стоят просто нереальных денег, я до стольки еще считать не научилась. Не на пустом месте, конечно. Однако, жизненный путь тернист, а судьба неудачника - бесплатный цирк для богов. И вот я знакомлюсь с Wazuh - SIEM-система с открытым исходным кодом. Вертится она у меня на обычной Ubuntu 24.4.5 TSL - виртуалочке,которая автозапускается вместе с виндой. Выглядит приятно, а при базовой настройке правил корреляции даже неплохо так отрабатывает. Есть 6 гигов ОЗУ, а на диске надо выделить около 80. За 3 месяца они будут забиты и придется очищать. Ну, начнем с настройки. Wazuh на сегодняшний день стабильно работает на Ubuntu 24.4.0 версии. На 26-й может отрыгнуть. Так что, я решила не рисковать, нервов и так уже не осталось и поставила эту вундервафлю по гайду от разрабов. Работаю с Oracle, так что для VMWare-поклонников инструкции будут немного другими. Важно на виртуалке выделить не менее 6 гигов оперативки (6144 GiB) и не менее 4 ядер процессора. Я ставлю Wazuh на ноутбук (бегите, я бешеный), потому у меня нет необходимости в доступности SIEM снаружи, зато есть необходимость не дрочиться с постоянным редактированием конфигов из-за динамичного ip. Так что я сразу же даю виртуалке 2 сетевых атаптера. Один NAT, второй "Виртуальный адаптер - VirtualBox Host-Only Ethernet Adapter" и тараканю править конфигурации Через ip a узнаем имена виртуального адаптера. Там будет, скорее всего enp0s8 без адреса. Пугать это не должно. Адрес назначается легче легкого (если б не нейросеть, то ебалась бы 3 дня в попытке разобраться, какого хера просиходит и почему сраный ip не появляется) . Создаем файл настроек: sudo nano /etc/netplan/60-hostonly.yaml и внутри вводим это: network: version: 2 ethernets: enp0s8: addresses: [192.168.xx.xx/24] * *Вместо xx поставь че-нибудь свое. По типу 67.67 Важное замечание: Отступы - это не TAB, это строго 2 пробела. Отступы важны. Они должны быть ИМЕННО ТАКИМИ, И НИКАКИМИ ДРУГИМИ. Применяем настроечки: sudo chmod 600 /etc/netplan/60-hostonly.yaml sudo netplan apply Проверяем, что у enp0s8 появился тот адрес, который назначили через ip a Ну, собственно, теперь ставим wazuh. Ставится одной командой: curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh && sudo bash ./wazuh-install.sh -a В конце будут креды. Че т типа такого: User: admin Password: какой-то_длинный_пароль Их надо сохранить. Это креды от веб-панели. Если пароль "потеряется", то можно его опять достать: sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt В Веб-панель заход стандартный: https://192.168.xx.xx Логин-пароль Выше. Дальше надо будет поставить агента (херню, которая будет собирать все ваши события с тачки) В менюшке слева ищете Agents Managers -> Summary. Справа "Deploy new agent" Дальше по форме надо заполнить параметры: Deploy new agent Select the package: Windows, MSI 32/64 bits (если винда, а так там 3 варианта ОС) Server address: 192.168.xx.xx; Agent name (в дополнительных настройках): любое имя латиницей без пробелов; группа default. Сгенерируется 2 команды. Нужна та, которая начинается с Invoke-WebRequest (для винды). Для Linux начинается с wget. Эту команду надо запихнуть в командную строку. В моем случае в PowerShell. Агент утсановится, а дальше для виндв надо прописать: NET START Wazuh Это служба только что загруженного агента. Если косяков по пути нигде не было, то в веб-панели появится созданный агент с зеленой лампочкой в состоянии Active Протестить работу можно, создав и удалив пользователя. В новорожденной SIEM появятся события с уровнем угрозы >7 net user hacker Test12345! /add net user hacker /delete Отобразится хрень в Treat Intellegence (левая менюшка) -> Treat Hunting -> Events. Далее надо очень плотно и потно настраивать эту систему. В целом, она может анализировать любые логи, какие захотите ей кормить в режиме "онлайн". Главное, суметь настроить. Для отслеживания состояния компа лучше сразу качнуть Sysmon (бесплатная утилита Microsoft, которая записывает подробности о том, что происходит в системе: какая программа запустилась, кто её запустил, куда она подключается по сети) и начать кастовать правила. Когда нормально корреляция будет настроена, можно сделать интеграцию с почтой и телегой, что б туда сливались особо серьезные алерты. В целом, штука классная, потому что бесплатно, без лишней мозгодрочки, помогает отслеживать события в системе, смотреть, когда, где, куда именно и какой именно, был скачан майнер. Также он через Vulnerability Detection помогает отслеживать, какие проги надо обновить и какие уязвимости есть в текущих версиях, ибо в него подружается БД CVE-шек. Также можно найти какой-нибудь опенсурсный WAF, кидануть в него трафик своего сайта и слить логи в этот же Wazuh и даже отслеживать события ИБ на уровне веб-приложения. Выглядит, опять же, красиво: Да, конечно, в плане установки на ноутбук сразу возникает вопрос: а почему не обычное АВПО? Не касперский, не тот же защитник виндовс? Потому что пошли они нахуй, вот почему. Потому что в АВПО свои правила, свои сценарии, и они самовольно удаляют или блокируют файлы. А в SIEM можно посмотреть самостоятельно и самолично принять решение, надо там что-то удалять или нет. Можно написать свои правила о том, что считать угрозой, а что нет. А еще это бесплатно и без геморройных подписок, рекламы и т.д. и т.п. Ссылка на оф документацию: https://documentation.wazuh.com/ Всем six seven