Distribuisci le tue informazioni sulle minacce in meno di 10 minuti!

PARTE UNO : Archiviazione back -end

PARTE SECONDA : Log Ingestion

PARTE TERZA: Log Analysis

PARTE QUARTA: Installazione dell'agente Wazuh

PARTE CINQUE: Registrazione SIEM intelligente

PARTE SESTA: Migliori Dashboard SIEM Open Source

PARTE SETTIMA: Raccolta dei log del firewall semplificata

PARTE OTTAVA: Firewall minaccia Intel con GreyNoise

PARTE NONA: Log normalizzazione

Introduzione

Oltre a importare e analizzare i nostri log, abbiamo bisogno di un modo per arricchire i nostri log con informazioni per aiutare il nostro analista a individuare rapidamente potenziali attività dannose. Ad esempio, questo indirizzo IP che vedo interagire con il mio sito Web è dannoso o no? Abbiamo bisogno di una soluzione che possa:

• Enrich ha ricevuto registri con informazioni sulle minacce raccolte da vari provider.
• Analizza e archivia le risposte selezionate in modo da archiviare solo i dati cruciali.
• Automatizzato in modo che i tuoi analisti SOC non debbano tentare manualmente di arricchire i log ricevuti.

Cos'è MISP ?

MISP Threat Sharing è una piattaforma di intelligence sulle minacce open source. Il progetto sviluppa utilità e documentazione per informazioni sulle minacce più efficaci, condividendo indicatori di compromissione

MISP consente non solo di archiviare, condividere, collaborare su indicatori di sicurezza informatica, analisi di malware, ma anche di utilizzare gli IoC e le informazioni per rilevare e prevenire attacchi, frodi o minacce contro infrastrutture ICT, organizzazioni o persone.

Alcune delle funzionalità incluse sono:

• Un efficiente database IoC e indicatori che consente di archiviare informazioni tecniche e non tecniche su campioni di malware, incidenti, aggressori e intelligence.
• Correlazione automatica che trova relazioni tra attributi e indicatori da malware, campagne di attacchi o analisi.
• Modello di dati flessibile in cui oggetti complessi possono essere espressi e collegati tra loro per esprimere intelligence sulle minacce, incidenti o elementi connessi.
• Funzionalità di condivisione integrata. MISP può sincronizzare automaticamente eventi e attributi tra diversi MISP. È possibile utilizzare funzionalità di filtraggio avanzate per soddisfare i criteri di condivisione di ogni organizzazione, inclusa una capacità di gruppo di condivisione flessibile e un meccanismo di distribuzione a livello di attributi.
• Interfaccia utente intuitiva per gli utenti finali per creare, aggiornare e collaborare su eventi e attributi/indicatori.
• Strumento flessibile di importazione di testo libero per facilitare l'integrazione di report non strutturati in MISP.
• API flessibile per integrare MISP con le tue soluzioni. MISP è fornito in bundle con PyMISP, una libreria Python flessibile per recuperare, aggiungere o aggiornare attributi di eventi, gestire campioni di malware o cercare attributi.
• Supporto STIX: esporta i dati nel formato STIX (XML e JSON) inclusa l'esportazione/importazione nel formato STIX 2.0.

MISP può essere installato sulla maggior parte delle distribuzioni Linux e la comunità MISP ha messo insieme script di installazione che possono essere facilmente eseguiti.

• https://www.misp-project.org/download/
• https://misp.github.io/MISP/

• Linux per il sistema operativo
• Un server HTTP pache
• M ySQL per il sistema di gestione di database relazionali
• P Linguaggio di programmazione HP , Perl o Python

Un contenitore docker per MISP è gestito da Xavier Mertens. Utilizzando questa configurazione docker saremo in grado di eseguire la nostra istanza MISP in pochi minuti!

Sto usando un server Debian 11 per la mia build, ma la bellezza di Docker significa che possiamo distribuire su qualsiasi sistema operativo di base in grado di eseguire Docker e Docker Compose.

Installa Docker e Docker Compose

Piattaforme supportate

1. Aggiorna l' aptindice dei pacchetti e installa i pacchetti per consentire aptl'utilizzo di un repository su HTTPS:

sudo apt-get update
sudo apt-get install \
    ca-certificates \
    curl \
    gnupg \
    lsb-release

sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/debian \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-compose-plugin
sudo docker run hello-world

2. Recupera il repository MISP-Docker:

$ git clone https://github.com/MISP/misp-docker
$ cd misp-docker

nano .env

MYSQL_HOST=misp_db
MYSQL_DATABASE=misp
MYSQL_USER=misp
MYSQL_PASSWORD=misp
MYSQL_ROOT_PASSWORD=misp

[email protected]
MISP_ADMIN_PASSPHRASE=admin
MISP_BASEURL=https://localhost

POSTFIX_RELAY_HOST=relay.fqdn
TIMEZONE=Europe/Brussels

DATA_DIR=./data

docker-compose build
or
docker compose build

docker-compose up -d
or
docker compose up -d

I feed sono ciò che MISP utilizza per scaricare rapporti sulle minacce, IoC, ecc. Questi feed contengono tutti i dati archiviati da MISP. Per impostazione predefinita MISP non viene configurato con i feed abilitati. Dobbiamo importare e abilitare i nostri feed per l'uso.

FILE DEI FEED JSON

Abilita i tuoi feed

Recupera i dati del feed

Esplora Eventi

Imposta Cronjob per scaricare nuovi feed ogni giorno:

# Sync MISP feed daily
0 1 * * * /usr/bin/curl -XPOST --insecure --header "Authorization: **YOUR_API_KEY**" --header "Accept: application/json" --header "Content-Type: application/json" https://**YOUR_MISP_ADDRESS**/feeds/fetchFromAllFeeds

In questo post del blog abbiamo discusso cos'è MISP e installato MISP utilizzando Docker. Abbiamo quindi popolato MISP con IoC e descritto in dettaglio come automatizzare tale processo in modo che i tuoi IoC siano sempre aggiornati. Inizia subito con la tua Threat Intel Platform utilizzando MISP! Buona difesa .

Ho bisogno di aiuto?

Le funzionalità discusse in questo post, e molto altro ancora, sono disponibili tramite i servizi professionali di SOCFortress. Lascia che SOCFortress aiuti te e il tuo team a proteggere la vostra infrastruttura.

Sito web:https://www.socfortress.co/

Servizi professionali:https://www.socfortress.co/ps.html