Implante sua própria inteligência de ameaças em menos de 10 minutos!

PARTE UM : Armazenamento de back -end

PARTE DOIS : Log Ingestão

PARTE TRÊS: Análise de Log

PARTE QUATRO: Instalação do Wazuh Agent

PARTE CINCO: Log SIEM Inteligente

PARTE SEIS: Melhores painéis SIEM de código aberto

PARTE SETE: Coleta de logs de firewall facilitada

PARTE OITO: Firewall ameaça Intel com GreyNoise

PARTE NOVE: Log Normalização

Introdução

Além de apenas ingerir e analisar nossos logs, precisamos de uma maneira de enriquecê-los com inteligência para ajudar nosso analista a detectar rapidamente possíveis atividades maliciosas. Por exemplo, esse endereço IP que vejo interagindo com meu site é malicioso ou não? Precisamos de uma solução que possa:

• Enrich recebeu logs com informações sobre ameaças coletadas de vários fornecedores.
• Analise e armazene as respostas selecionadas para que apenas os dados cruciais sejam armazenados.
• Automatizado para que seus analistas de SOC não precisem tentar enriquecer manualmente os logs recebidos.

O que é MISP ?

MISP Threat Sharing é uma plataforma de inteligência de ameaças de código aberto. O projeto desenvolve utilitários e documentação para inteligência de ameaças mais eficaz, compartilhando indicadores de comprometimento

O MISP permite não só armazenar, compartilhar, colaborar em indicadores de segurança cibernética, análise de malware, mas também usar os IoCs e informações para detectar e prevenir ataques, fraudes ou ameaças contra infraestruturas de TIC, organizações ou pessoas.

Alguns dos recursos incluídos são:

• Um banco de dados eficiente de IoC e indicadores que permite armazenar informações técnicas e não técnicas sobre amostras de malware, incidentes, invasores e inteligência.
• Correlação automática encontrando relacionamentos entre atributos e indicadores de malware, campanhas de ataques ou análises.
• Modelo de dados flexível onde objetos complexos podem ser expressos e vinculados para expressar inteligência de ameaças, incidentes ou elementos conectados.
• Funcionalidade de compartilhamento integrada. MISP pode sincronizar automaticamente eventos e atributos entre diferentes MISP. Funcionalidades avançadas de filtragem podem ser usadas para atender a cada política de compartilhamento da organização, incluindo uma capacidade de grupo de compartilhamento flexível e um mecanismo de distribuição em nível de atributo.
• Interface de usuário intuitiva para usuários finais criarem, atualizarem e colaborarem em eventos e atributos/indicadores.
• Ferramenta flexível de importação de texto livre para facilitar a integração de relatórios não estruturados no MISP.
• API flexível para integrar MISP com suas próprias soluções. O MISP é fornecido com o PyMISP, que é uma biblioteca Python flexível para buscar, adicionar ou atualizar atributos de eventos, manipular amostras de malware ou pesquisar atributos.
• Suporte STIX: exporte dados no formato STIX (XML e JSON), incluindo exportação/importação no formato STIX 2.0.

O MISP pode ser instalado na maioria das distribuições Linux e a comunidade MISP reuniu scripts de instalação que podem ser facilmente executados.

• https://www.misp-project.org/download/
• https://misp.github.io/MISP/

• Linux para o sistema operacional
• Um Servidor Pache HTTP
• M ySQL para o sistema de gerenciamento de banco de dados relacional
• Linguagem de programação P HP , Perl ou Python

Um contêiner docker para MISP é mantido por Xavier Mertens. Usando esta configuração do docker, poderemos executar nossa instância MISP em minutos!

Estou usando um servidor Debian 11 para minha compilação, mas a beleza do Docker significa que podemos implantar em qualquer sistema operacional base que possa executar o Docker e o Docker Compose.

Instalar o Docker e o Docker Compose

Plataformas suportadas

1. Atualize o aptíndice do pacote e instale os pacotes para permitir apto uso de um repositório por HTTPS:

sudo apt-get update
sudo apt-get install \
    ca-certificates \
    curl \
    gnupg \
    lsb-release

sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/debian \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-compose-plugin
sudo docker run hello-world

2. Obtenha o repositório MISP-Docker:

$ git clone https://github.com/MISP/misp-docker
$ cd misp-docker

nano .env

MYSQL_HOST=misp_db
MYSQL_DATABASE=misp
MYSQL_USER=misp
MYSQL_PASSWORD=misp
MYSQL_ROOT_PASSWORD=misp

[email protected]
MISP_ADMIN_PASSPHRASE=admin
MISP_BASEURL=https://localhost

POSTFIX_RELAY_HOST=relay.fqdn
TIMEZONE=Europe/Brussels

DATA_DIR=./data

docker-compose build
or
docker compose build

docker-compose up -d
or
docker compose up -d

Feeds são o que o MISP usa para baixar relatórios de ameaças, IoCs, etc. Esses feeds contêm todos os dados que o MISP armazena. Por padrão, o MISP não vem configurado com feeds ativados. Devemos importar e habilitar nossos feeds para uso.

ARQUIVO JSON FEEDS

Ative seus feeds

Buscar dados do feed

Explorar eventos

Configure o Cronjob para baixar novos feeds diariamente:

# Sync MISP feed daily
0 1 * * * /usr/bin/curl -XPOST --insecure --header "Authorization: **YOUR_API_KEY**" --header "Accept: application/json" --header "Content-Type: application/json" https://**YOUR_MISP_ADDRESS**/feeds/fetchFromAllFeeds

Ao longo desta postagem do blog, discutimos o que é MISP e instalamos o MISP usando o Docker. Em seguida, preenchemos o MISP com IoCs e detalhamos como automatizar esse processo para que seus IoCs estejam sempre atualizados. Comece hoje mesmo com sua própria plataforma Threat Intel usando o MISP! Boa defesa .

Preciso de ajuda?

A funcionalidade discutida neste post, e muito mais, está disponível através dos Serviços Profissionais do SOCFortress. Deixe o SOCFortress ajudar você e sua equipe a manter sua infraestrutura segura.

Local na rede Internet:https://www.socfortress.co/

Serviços profissionais:https://www.socfortress.co/ps.html