¡Implemente su propia información sobre amenazas en menos de 10 minutos!

PRIMERA PARTE : Almacenamiento backend

SEGUNDA PARTE : Ingestión de registros

PARTE TRES: Análisis de registro

CUARTA PARTE: Instalación del agente de Wazuh

PARTE CINCO: Registro SIEM inteligente

SEXTA PARTE: Los mejores paneles SIEM de código abierto

SÉPTIMA PARTE: Recopilación de registros de cortafuegos simplificada

PARTE OCHO: Firewall Amenaza a Intel con GreyNoise

PARTE NOVENA: Normalización de registros

Introducción

Además de ingerir y analizar nuestros registros, necesitamos una forma de enriquecer nuestros registros con inteligencia para ayudar a nuestro analista a detectar rápidamente posibles actividades maliciosas. Por ejemplo, ¿esta dirección IP que veo interactuando con mi sitio web es maliciosa o no? Necesitamos una solución que pueda:

• Enrich recibió registros con inteligencia de amenazas recopilada de varios proveedores.
• Analice y almacene las respuestas seleccionadas para que solo se almacenen los datos cruciales.
• Automatizado para que sus analistas de SOC no tengan que intentar manualmente enriquecer los registros recibidos.

¿Qué es MISP ?

MISP Threat Sharing es una plataforma de inteligencia de amenazas de código abierto. El proyecto desarrolla utilidades y documentación para una inteligencia de amenazas más efectiva, compartiendo indicadores de compromiso.

MISP permite no solo almacenar, compartir, colaborar en indicadores de ciberseguridad, análisis de malware, sino también utilizar los IoC y la información para detectar y prevenir ataques, fraudes o amenazas contra infraestructuras TIC, organizaciones o personas.

Algunas de las características incluidas son:

• Una base de datos de IoC e indicadores eficiente que permite almacenar información técnica y no técnica sobre muestras de malware, incidentes, atacantes e inteligencia.
• Correlación automática encontrando relaciones entre atributos e indicadores de malware, campañas de ataques o análisis.
• Modelo de datos flexible donde los objetos complejos se pueden expresar y vincular para expresar inteligencia de amenazas, incidentes o elementos conectados.
• Funcionalidad integrada para compartir. MISP puede sincronizar automáticamente eventos y atributos entre diferentes MISP. Las funcionalidades de filtrado avanzado se pueden utilizar para cumplir con la política de uso compartido de cada organización, incluida una capacidad de grupo de uso compartido flexible y un mecanismo de distribución de nivel de atributo.
• Interfaz de usuario intuitiva para que los usuarios finales creen, actualicen y colaboren en eventos y atributos/indicadores.
• Herramienta flexible de importación de texto libre para facilitar la integración de informes no estructurados en MISP.
• API flexible para integrar MISP con sus propias soluciones. MISP se incluye con PyMISP, que es una biblioteca de Python flexible para obtener, agregar o actualizar atributos de eventos, manejar muestras de malware o buscar atributos.
• Compatibilidad con STIX: exporte datos en formato STIX (XML y JSON), incluida la exportación/importación en formato STIX 2.0.

MISP se puede instalar en la mayoría de las distribuciones de Linux y la comunidad MISP ha creado scripts de instalación que se pueden ejecutar fácilmente.

• https://www.misp-project.org/download/
• https://misp.github.io/MISP/

• L inux para el sistema operativo
• Un servidor HTTP pache
• M ySQL para el sistema de gestión de bases de datos relacionales
• Lenguaje de programación PHP , Perl o Python

Xavier Mertens mantiene un contenedor docker para MISP . ¡Usando esta configuración de ventana acoplable, podremos comenzar a ejecutar nuestra instancia MISP en minutos!

Estoy usando un servidor Debian 11 para mi compilación, pero la belleza de Docker significa que podemos implementarlo en cualquier sistema operativo base que pueda ejecutar Docker y Docker Compose.

Instalar Docker y Docker Compose

Plataformas compatibles

1. Actualice el aptíndice de paquetes e instale paquetes para permitir aptel uso de un repositorio a través de HTTPS:

sudo apt-get update
sudo apt-get install \
    ca-certificates \
    curl \
    gnupg \
    lsb-release

sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/debian \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-compose-plugin
sudo docker run hello-world

2. Obtenga el repositorio MISP-Docker:

$ git clone https://github.com/MISP/misp-docker
$ cd misp-docker

nano .env

MYSQL_HOST=misp_db
MYSQL_DATABASE=misp
MYSQL_USER=misp
MYSQL_PASSWORD=misp
MYSQL_ROOT_PASSWORD=misp

[email protected]
MISP_ADMIN_PASSPHRASE=admin
MISP_BASEURL=https://localhost

POSTFIX_RELAY_HOST=relay.fqdn
TIMEZONE=Europe/Brussels

DATA_DIR=./data

docker-compose build
or
docker compose build

docker-compose up -d
or
docker compose up -d

Las fuentes son lo que utiliza MISP para descargar informes de amenazas, IoC, etc. Estas fuentes contienen todos los datos que almacena MISP. Por defecto, MISP no viene configurado con fuentes habilitadas. Debemos importar y habilitar nuestros feeds para su uso.

ARCHIVO DE ALIMENTOS JSON

Habilite sus fuentes

Obtener datos de alimentación

Explorar eventos

Configure Cronjob para descargar nuevos feeds diariamente:

# Sync MISP feed daily
0 1 * * * /usr/bin/curl -XPOST --insecure --header "Authorization: **YOUR_API_KEY**" --header "Accept: application/json" --header "Content-Type: application/json" https://**YOUR_MISP_ADDRESS**/feeds/fetchFromAllFeeds

A lo largo de esta publicación de blog, discutimos qué es MISP e instalamos MISP usando Docker. Luego completamos MISP con IoC y detallamos cómo automatizar ese proceso para que sus IoC estén siempre actualizados. ¡Comience hoy mismo con su propia plataforma Threat Intel usando MISP! Feliz defendiendo .

¿Necesitas ayuda?

La funcionalidad discutida en esta publicación, y mucho más, está disponible a través de los Servicios Profesionales de SOCFortress. Deje que SOCFortress lo ayude a usted y a su equipo a mantener su infraestructura segura.

Sitio web:https://www.socfortress.co/

Servicios profesionales:https://www.socfortress.co/ps.html