https://wiki.itcollege.ee/api.php?action=feedcontributions&feedformat=atom&user=RjuhanniICO wiki - User contributions [en]2026-05-08T13:38:16ZUser contributionsMediaWiki 1.45.1https://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=90343Visualiseerimine - Labor 12015-06-26T13:56:29Z<p>Rjuhanni: /* Labor 1 */</p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
NB! Antud laboris tuleb liides eth2 seadistada valimatusse režiimi. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel otsustatud, kas jääb siia või paigaldatakse eelnevalt. Selgub piloteerimisel. <br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni (hetkel on selleks 1.6.0):<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
Konfigureerime Elasicsearchi. Selleks avame elacticsearchi konfiguratsioonifaili meelepärase tekstiredaktoriga:<br />
nano /etc/elasticsearch/elasticsearch.yml<br />
<br />
Otsime üles koha, kus on network.host ning kommenteerime sisse ning muudame IP:<br />
network.host: 192.168.56.201<br />
<br />
Läheme faili lõppu ning lisame järgneva rea:<br />
http.cors.enabled: true<br />
<br />
Salvestame ning väljune redaktorist.<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpkg -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga.<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=90338Visualiseerimine - Labor 22015-06-18T20:51:08Z<p>Rjuhanni: /* Graafiline visualiseerimine */</p>
<hr />
<div>== Labor 2 ==<br />
Labor 2 tuleb paigaldada Kibana ning koostada visualiseerimisi. Lõpptulemuseks on koondpaneel, mis sisaldab vähemalt kolme visualiseeringut. Enne labor 2 tegemist peab labor 1 tehtud olema, sest muidu ei ole midagi visualiseerida. <br />
<br />
<br />
=== Kibana paigaldamine ===<br />
Laeme alla Kibana:<br />
wget https://download.elastic.co/kibana/kibana/kibana-3.1.2.tar.gz<br />
<br />
Pakime saadud faili lahti /var/www kausta:<br />
tar xzf kibana-3.1.2.tar.gz -C /var/www/html/ --strip 1 <br />
<br />
<br />
<br />
Kui kõik tarkvarad töötavad, siis tuleb minna järgnevale lehele, et näha Kibana veebiliidest:<br />
http://192.168.56.201<br />
<br />
=== Graafiline visualiseerimine ===<br />
<br />
Graafiliste visualiseeringute tegemiseks tuleb avada Kibana veebiliides. (vaata eelmise lõigu viimast punkti)<br />
<br />
Esmakordsel avamisel valida "Sample dashboard". Avanenud vaatest saab aimu, milline näeb Kibana välja. <br />
<br />
Järgnevalt saab luua ise uusi visualiseeringuid ning koondpaneele vastavalt oma soovidele. <br />
<br />
Jälgida tuleb juhiseid veebiliidesest. <br />
<br />
Selleks, et saada punkti visualiseerimise eest, peavad õppurid looma koondpaneeli, mis sisaldaks vähemalt kolme visualiseeringut. <br />
<br />
Kui kõik on valmis, siis õppurid saavad näidata õppejõule ette oma töö, et õppejõud saaks hinnata.<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=90337Visualiseerimine - Labor 22015-06-18T20:48:43Z<p>Rjuhanni: /* Kibana paigaldamine */</p>
<hr />
<div>== Labor 2 ==<br />
Labor 2 tuleb paigaldada Kibana ning koostada visualiseerimisi. Lõpptulemuseks on koondpaneel, mis sisaldab vähemalt kolme visualiseeringut. Enne labor 2 tegemist peab labor 1 tehtud olema, sest muidu ei ole midagi visualiseerida. <br />
<br />
<br />
=== Kibana paigaldamine ===<br />
Laeme alla Kibana:<br />
wget https://download.elastic.co/kibana/kibana/kibana-3.1.2.tar.gz<br />
<br />
Pakime saadud faili lahti /var/www kausta:<br />
tar xzf kibana-3.1.2.tar.gz -C /var/www/html/ --strip 1 <br />
<br />
<br />
<br />
Kui kõik tarkvarad töötavad, siis tuleb minna järgnevale lehele, et näha Kibana veebiliidest:<br />
http://192.168.56.201<br />
<br />
=== Graafiline visualiseerimine ===<br />
<br />
Graafiliste visualiseeringute tegemiseks tuleb avada Kibana veebiliides. (vaata eelmise lõigu viimast punkti)<br />
<br />
Esmakordsel avamisel valida "Sample dashboard". Avanenud vaatest saab aimu, milline näeb Kibana välja. <br />
<br />
Järgnevalt saab luua ise uusi visualiseeringuid ning koondpaneele vastavalt oma soovidele. <br />
<br />
Jälgida tuleb juhiseid veebiliidesest. <br />
<br />
Selleks, et saada punkti visualiseerimise eest, peavad õppurid looma koondpaneeli, mis sisaldaks vähemalt kolme visualiseeringut. <br />
<br />
Kui kõik on valmis, siis õppurid saavad näidata õppejõule ette oma töö, et õppejõud saaks hinnata. <br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=90336Visualiseerimine - Labor 12015-06-18T20:46:04Z<p>Rjuhanni: /* Elasticsearchi paigaldamine */</p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel otsustatud, kas jääb siia või paigaldatakse eelnevalt. Selgub piloteerimisel. <br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni (hetkel on selleks 1.6.0):<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
Konfigureerime Elasicsearchi. Selleks avame elacticsearchi konfiguratsioonifaili meelepärase tekstiredaktoriga:<br />
nano /etc/elasticsearch/elasticsearch.yml<br />
<br />
Otsime üles koha, kus on network.host ning kommenteerime sisse ning muudame IP:<br />
network.host: 192.168.56.201<br />
<br />
Läheme faili lõppu ning lisame järgneva rea:<br />
http.cors.enabled: true<br />
<br />
Salvestame ning väljune redaktorist.<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpkg -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga. <br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=90335Visualiseerimine - Labor 12015-06-18T20:38:12Z<p>Rjuhanni: /* Elasticsearchi paigaldamine */</p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel otsustatud, kas jääb siia või paigaldatakse eelnevalt. Selgub piloteerimisel. <br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni (hetkel on selleks 1.6.0):<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
Konfigureerime Elasicsearchi. Selleks avame elacticsearchi konfiguratsioonifaili meelepärase tekstiredaktoriga:<br />
nano /etc/elasticsearch/elasticsearch.yml<br />
<br />
Otsime üles koha, kus on network.host ning kommenteerime sisse ning muudame IP:<br />
network.host: 192.168.56.201<br />
<br />
Salvestame ning väljune redaktorist.<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpkg -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga. <br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=90334Visualiseerimine - Labor 12015-06-18T20:30:03Z<p>Rjuhanni: /* Logstashi paigaldamine */</p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel otsustatud, kas jääb siia või paigaldatakse eelnevalt. Selgub piloteerimisel. <br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni (hetkel on selleks 1.6.0):<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpkg -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga. <br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=90333Visualiseerimine - Labor 12015-06-18T20:29:50Z<p>Rjuhanni: /* Elasticsearchi paigaldamine */</p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel otsustatud, kas jääb siia või paigaldatakse eelnevalt. Selgub piloteerimisel. <br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni (hetkel on selleks 1.6.0):<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpgk -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga. <br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=89901Visualiseerimine - Labor 12015-06-10T21:01:59Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel otsustatud, kas jääb siia või paigaldatakse eelnevalt. Selgub piloteerimisel. <br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni:<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpgk -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga. <br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=89900Visualiseerimine - Labor 12015-06-10T21:00:35Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel teada, kas jääb siia või on eelnevalt paigaldatud.<br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni:<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpgk -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
<br />
<br />
=== Logide kogumine ===<br />
Käivitage suricata ning koguge 5-10 minutit logisid. <br />
<br />
Kui logid on olemas, siis saab edasi minna labor 2-ga. <br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=89899Visualiseerimine - Labor 22015-06-10T20:53:43Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 2 ==<br />
Labor 2 tuleb paigaldada Kibana ning koostada visualiseerimisi. Lõpptulemuseks on koondpaneel, mis sisaldab vähemalt kolme visualiseeringut. Enne labor 2 tegemist peab labor 1 tehtud olema, sest muidu ei ole midagi visualiseerida. <br />
<br />
<br />
=== Kibana paigaldamine ===<br />
Laeme alla Kibana:<br />
wget https://download.elastic.co/kibana/kibana/kibana-3.1.2.tar.gz<br />
<br />
Pakime saadud faili lahti /var/www kausta:<br />
tar -C /var/www -xzf kibana-3.1.2.tar.gz<br />
<br />
<br />
Et hiljem oleks mugavam Kibana veebiliidest kasutada, siis tasub pordi numbrit muuta. Selleks avage config.js tekstiredaktoriga:<br />
nano /var/www/kibana-3.1.2/config.js<br />
<br />
Otsige ütles elasticsearch ning muutke ära pordi number :80-ks:<br />
elasticsearch: "http://"+window.location.hostname+":80",<br />
<br />
<br />
Kui kõik tarkvarad töötavad, siis tuleb minna järgnevale lehele, et näha Kibana veebiliidest:<br />
http://192.168.56.201/kibana-3.1.2<br />
<br />
<br />
=== Graafiline visualiseerimine ===<br />
<br />
Graafiliste visualiseeringute tegemiseks tuleb avada Kibana veebiliides. (vaata eelmise lõigu viimast punkti)<br />
<br />
Esmakordsel avamisel valida "Sample dashboard". Avanenud vaatest saab aimu, milline näeb Kibana välja. <br />
<br />
Järgnevalt saab luua ise uusi visualiseeringuid ning koondpaneele vastavalt oma soovidele. <br />
<br />
Jälgida tuleb juhiseid veebiliidesest. <br />
<br />
Selleks, et saada punkti visualiseerimise eest, peavad õppurid looma koondpaneeli, mis sisaldaks vähemalt kolme visualiseeringut. <br />
<br />
Kui kõik on valmis, siis õppurid saavad näidata õppejõule ette oma töö, et õppejõud saaks hinnata. <br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=89898Visualiseerimine - Labor 22015-06-10T20:42:58Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 2 ==<br />
Labor 2 tuleb paigaldada Kibana ning koostada visualiseerimisi. Lõpptulemuseks on koondpaneel, mis sisaldab vähemalt kolme visualiseeringut. Enne labor 2 tegemist peab labor 1 tehtud olema, sest muidu ei ole midagi visualiseerida. <br />
<br />
<br />
=== Kibana paigaldamine ===<br />
Laeme alla Kibana:<br />
wget https://download.elastic.co/kibana/kibana/kibana-3.1.2.tar.gz<br />
<br />
Pakime saadud faili lahti /var/www kausta:<br />
tar -C /var/www -xzf kibana-3.1.2.tar.gz<br />
<br />
<br />
Et hiljem oleks mugavam Kibana veebiliidest kasutada, siis tasub pordi numbrit muuta. Selleks avage config.js tekstiredaktoriga:<br />
nano /var/www/kibana-3.1.2/config.js<br />
<br />
Otsige ütles elasticsearch ning muutke ära pordi number :80-ks:<br />
elasticsearch: "http://"+window.location.hostname+":80",<br />
<br />
<br />
Kui kõik tarkvarad töötavad, siis tuleb minna järgnevale lehele, et näha Kibana veebiliidest:<br />
http://192.168.56.201/kibana-3.1.2<br />
<br />
Graafiliste visualiseeringute tegemiseks tuleb järgida juhiseid ekraanilt. <br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=89897Visualiseerimine - Labor 22015-06-10T20:33:32Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 2 ==<br />
Labor 2 tuleb paigaldada Kibana ning koostada visualiseerimisi. Lõpptulemuseks on koondpaneel, mis sisaldab vähemalt kolme visualiseeringut. Enne labor 2 tegemist peab labor 1 tehtud olema, sest muidu ei ole midagi visualiseerida. <br />
<br />
<br />
=== Kibana paigaldamine ===<br />
Laeme alla Kibana:<br />
wget https://download.elastic.co/kibana/kibana/kibana-3.1.2.tar.gz<br />
<br />
Pakime saadud faili lahti /var/www kausta:<br />
tar -C /var/www -xzf kibana-3.1.2.tar.gz<br />
<br />
<br />
Et hiljem oleks mugavam Kibana veebiliidest kasutada, siis tasub pordi numbrit muuta. Selleks avage config.js tekstiredaktoriga:<br />
nano /var/www/kibana-3.1.2/config.js<br />
<br />
Otsige ütles elasticsearch ning muutke ära pordi number :80-ks:<br />
elasticsearch: "http://"+window.location.hostname+":80",<br />
<br />
<br />
Kui kõik tarkvarad töötavad, siis tuleb minna järgnevale lehele, et näha Kibana veebiliidest:<br />
http://192.168.56.201/kibana-3.1.2<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=89894Visualiseerimine - Labor 22015-06-10T19:49:54Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 2 ==<br />
Labor 2 tuleb paigaldada Kibana ning koostada visualiseerimisi. Lõpptulemuseks on koondpaneel, mis sisaldab vähemalt kolme visualiseeringut. Enne labor 2 tegemist peab labor 1 tehtud olema, sest muidu ei ole midagi visualiseerida. <br />
<br />
<br />
=== Kibana paigaldamine ===<br />
Laeme alla Kibana:<br />
wget https://download.elastic.co/kibana/kibana/kibana-3.1.2.tar.gz<br />
<br />
Pakime saadud faili lahti /var/www kausta:<br />
tar -C /var/www -xzf kibana-3.1.2.tar.gz<br />
<br />
Kui kõik tarkvarad töötavad, siis tuleb minna järgnevale lehele, et näha Kibana veebiliidest:<br />
http://192.168.56.201/kibana-3.1.2<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_loeng&diff=89893Visualiseerimine loeng2015-06-10T19:37:55Z<p>Rjuhanni: </p>
<hr />
<div>== Sissejuhatus ==<br />
<br />
Antud materjal on loodud täiendamaks kursust „Sissetungi tuvastuse süsteemid“. Hetkel on sissetungi tuvastuse süsteemides olemas materjalid sissetungituvastuse jaoks, kuid kõik teated jäävad logidesse. Arvestades tänapäeva taristute suurusi, siis administraatorid ning teised IT spetsialistid ei suuda logisid vaadates kindlaks teha, millal korraldatakse rünnet nende taristu pihta. Graafilise visualiseeringuga on koheselt näha, millal on tavapärasest rohkem tegevust. <br />
<br />
Eelnevalt peab olema läbi töötatud: https://wiki.itcollege.ee/index.php/Sissetungi_tuvastuse_systeemid ning peab tundma Linuxi käsurida ning arvutivõrkudest. Lisaks omama ka baasteadmisi rünnetest.<br />
<br />
<br />
<br />
<br />
== Mida annab visualiseerimine? ==<br />
<br />
Visualiseerimine võimaldab administraatorite ning teiste IT spetsialistide elu lihtsamaks muuta. Kuidas täpsemalt? Väga lihtsalt, kui on kasutatud visualiseerimisi, siis kõik logiteated tulevad koondpaneeli erinevate graafikute ning diagrammidena. Graafikute pealt on lihtne näha, millal on tavapärasest rohkem teateid ning vastavalt sellele saab vastumeetmeid kasutada. Graafikute pealt saab lähemalt uurida ka logiteateid. Nii hoiab ka aega kokku, mis kulub õigete logiteadete leidmiseks. Sellega vähendatakse reageerimisaega ning muudetakse töö efektiivsemaks.<br />
<br />
<br />
== Milliseid erinevaid visualiseeringuid on olemas? ==<br />
<br />
*Graafikud- Graafik on arvsuuruste vahelise sõltuvuse visuaalne esitamise viis. <br><br />
*Kihtdiagrammid – Kihtdiagrammid rõhuvad aja jooksul toimunud muudatuste suurusjärku ning neid saab kasutada juhtimaks tähelepanu kogusummade trendile. <br><br />
*Tulpdiagrammid – Tulpdiagrammid sobivad mingi perioodi jooksul andmetes toimunud muudatuse näitamiseks või üksuste võrdluse illustreerimiseks.<br> <br />
*Geograafilised kaartid – Geograafilised kaardid võimaldavad jälgida, kust tuleb liiklus. <br><br />
*Joondiagrammid – Joondiagrammidel kuvatakse ajaliselt järjestikused andmed ühisel skaalal, seega sobivad need hästi andmete trendi näitamiseks võrdsete ajavahemike tagant. <br><br />
*Sektordiagramm – Sektordiagrammidel kuvatakse ühe andmesarja elementide maht kõigi elementide kogusumma suhtes. Sektordiagrammidel kuvatakse andmepunktid protsentidena tervikust. <br><br />
*Lintdiagrammid – Lintdiagrammid sobivad üksikute elementide võrdluste illustreerimiseks.<br><br />
<br />
<br />
== Logide visualiseerimise tarkvarad: ==<br />
<br />
=== ELK – Elasticsearch, Logstash, Kibana ===<br />
<br />
Elasticsearch on andmebaas, kuhu salvestatakse kõik teated ning kust tehakse päringuid. Logstash on logide normaliseerija, et logid oleksid loetavad ka inimsilmale. Kibana on visualiseerimistarkvara. <br />
Kibana võimaldab teha eraldiseisvaid visualiseerimisi ning ka ühendada erinevad visualiseeringud üheks koondpaneeliks. Visualiseerimisvõimalusi, mida Kibana pakub on mitmeid: kihtdiagramm andmete tabel, joondiagrammid, markdowni vidin, mõõdustik, rõngasdiagrammid, geograafiline kaart ja vertikaalsed tulpdiagrammid.<br />
Kibana pakub ka visualiseerimise redaktorit, mis lubab kasutajatel konfigureerida ning muuta visualiseerimist. Visualiseerimise redaktoril on kolm elementi: tööriistariba, aggregatsiooni ehitaja ning eelvaate lõuend. <br />
*Tööriistaribal on otsinguväli interaktiivseteks andmete otsinguteks ning ka komponendid, millega hallata visualiseeringute salvestamisi ning laadimisi. Komponentide hulka kuuluvad nupud loomaks uut visualiseeringut, salvestamaks olemasolevat visualiseeringut, jagada või manustada visualiseeringut ja värskendada andmeid visualiseeringus. <br />
*Aggregatsiooni ehitajat saab kasutada, et seadistada mõõdustikku ja kimpu, mida kasutatakse aggregatsiooniks. Kimbud on analoogsed SQL „GROUP BY“ lausele. Mõõdustikke kasutatakse tulp- ja joondiagrammides x-telgedel ning kimpe y-telgedel. Rõngasdiagrammidel mõõdustik on sektorite suurus ning kimp sektorite arv. Mõõdustikel saab kasutada aggregatsioone nagu loenda, minimaalne, maksimaalne, keskmine, summa ning kardinaalsust. Tavalised kimpude aggregatsioonid hõlmavad kuupäeva ajadiagrammi, vahemikku, tingimusi ning filtreid. Lisaks on võimalik määrata, mis järjekorras kimpe täidetakse. <br />
*Eelvaate lõuend pakub võimalust vaadata, milline näeb aggregatsiooni ehitajaga tehtud visualiseering välja.<br />
<br />
Kõiki neid tarkvarasid jagatakse Apache v2.0 litsentsi all. <br />
<br />
Hetkel üks turu võimekamaid tooteid. Me kasutamegi ELK lahendust, sest seda on lihtne paigaldada, vaadete tegemine on lihtne ning on mugav õppurile.<br />
<br />
=== Alienvault OSSIM ===<br />
OSSIM pakub kõiki vahendeid, mida turbeeksperdid vajavad SIEM-ilt (Security Information and Event Management) sündmuste kogumiseks, normaliseerimiseks ja korreleerimiseks. OSSIM on avatud lähtekoodiga tasuta tarkvara, mida levitatakse GNU GPL v3 litsentsi all ning millel on kogukond, kes jagavad ohtude teavet. Lisaks veel OSSIM-il on limiteeritud logide kogumine ning logide säilitamine SIEM sündmustele (See on selleks, et rohkem kliente kasutaks AlienVaulti Unified Security Management-i, mis on kommertstoode). OSSIM pakub kolme kõrgtasemelist raporteerimismalli mille tarkvara saab rakendada ühe serveriga lahendustele. Lisaks ühe serveri lahendustele saab OSSIM-is olla ainult üks kasutaja, kellel on lubatud muudatusi läbi viia. <br />
Lisaks pakub OSSIM ainult individuaalset komponentide haldamist. Kuna OSSIM on vabavaraline tarkvara, siis on tagatud ainult kommuunipoolne tugi. <br />
Kuid milliseid baasoperatsioone OSSIM pakub? OSSIMi baasoperatsioonide juurde kuuluvad: <br />
* Väliste sündmuste vastuvõtt <br />
* Rakendused, mis tulid AlienVault-iga väljastavad teateid sündmustest <br />
* Sündmused kogutakse kokku ning normaliseeritakse enne kesksesse serverisse saatmist <br />
* AlienVaulti server teeb riski kaalutlemist, korrelatsiooni ning talletab sündmused SQL andmebaasi <br />
* Veebiliides pakub raporteerimissüsteemi, mõõdustikku, raportite koondpaneeli, piletite süsteemi, haldussüsteemi ja reaalajas võrguinformatsiooni. <br />
<br />
OSSIM-i korrelatsioon on üks põhi erisustest, mis defineerib OSSIM-i kui intelligentse turbesündmuste haldusplatvormina ning eristab seda teistest ründetuvastuse süsteemidest. <br />
<br />
See aitab vähendada väärtuvastusi muutes mitmete sündmuste sisendid ning teated rohkem usaldusväärsemaks väljundiks, et oleks hallatav arv sündmusi, millele on vaja tähelepanu pöörata. Teiseks OSSIMi põhi erisuseks on korrelatsioonide direktiivid. OSSIM tuleb 200 korrelatsiooni direktiiviga, mis on kirjutatud XMLil baseeruval süntaksil. Direktiivide põhieesmärk on analüüsida mitmeid sündmusi ning otsustada, kas väljastada hoiatus vastavalt direktiivi reeglitele. See erisus suudab ära hoida nullpäevaründeid või tundmatuid nõrkusi, sest väljastab teateid vastavalt reeglitele, mitte ei kontrolli sündmust tuntud nõrkuste nimekirjast.<br />
<br />
OSSIM on päris mahukas tarkvara, mis sisaldab peale vajaminevate visualiseerimiste ka muud tarkvara. Ressursside kokkuhoiu mõttes ei valitud OSSIM-it antud laborites kasutamiseks. Kui kellelgi on huvi, siis võib ise installeerida virtuaalmasinasse ning proovida samu laboreid teha. <br />
<br />
<br />
=== Security Onion ===<br />
Security onion on Linuxi distro, mis on mõeldud sissetungi tuvastuseks, võrgu turvalisuse monitooringuks ning logide haldamiseks. Security onion baseerub Ubuntul ning sisaldab snorti, suricatat, brod, OSSEC, sguil, squert, snorby, ELSA, xplico, networkminer ja palju teisi turvalisusega seotud tööriistu. <br />
Security Onion-i ühendab kolm põhikomponenti: täispaketi püüdmine, võrgupõhised ja hostipõhised sissetungituvastussüsteemid ja võimekas analüüsi tööriist. <br />
Täispaketi püüdmine saavutatakse netsniff-ng-ga. Netsniff-ng püüab kinni kogu liikluse, mida security onioni sensorid näevad ning talletab niipalju, kui andmesalvestid suudavad mahutada (Security onion-il on sisseehitatud mehhanism, mis kustutab jäädavalt vanad andmed enne kui ketaste vaba ruum otsa saab). Täispaketi püük on nagu videokaamera võrgu jaoks, kuid parem, sest lisaks sellele, et näidata, kes tuli ja läks, suudab ta täpsustada kuhu keegi läks ning mida nad võtsid kaasa või tõid juurde (e-kirjade õngitsemine jne). <br />
Võrgupõhised ja hostipõhised sissetungituvastussüsteemid analüüsivad võrguliiklust või host süsteeme korduvalt ning tagavad logide ja teadete andmed kustutatud sündmustele ja tegevustele. Võrgupõhised sissetungituvastussüsteemid pakuvad reeglitega määratud sissetungituvastust, kus Security Onion laseb valida Snorti või Suricata reeglite vahel. Reeglitega määratud sissetungituvastuse süsteemid analüüsivad võrguliiklust ning üritavad tuvastada pahatahtlikku liiklust või anomaaliaid. Teise võimalusena pakuvad võrgupõhised sissetungituvastusesüsteemid analüüsiga juhitud sissetungiavastust. Analüüsiga juhitud sissetungiavastuse poolest pakub Security Onion Bro võrgu turvalisuse monitooringut, mida tuntakse ka Bro IDS nime all. Bro monitoorib võrguliiklust ning logib kõiki ühendusi, DNS päringuid, avastatud võrguteenuseid ning tarkvara, SSL sertifikaate, HTTP, FTP, IRC, SMTP, SSH, SSL ning syslog-i tegevusi, mida näeb. Seeläbi pakkudes põhjalikku infot, mis võrgus toimub. Veel pakub Bro analüsaatoreid mitmetele enamlevinud protokollidele ning vaikimisi võimalust teha MD5 kontrollsumma kõikidele HTTPs allalaetud failidele kontrollimaks neid Cymru pahavara räsifunktsiooni projekti registritest. Hostipõhised sissetungituvastussüsteemid pakuvad OSSECit. OSSEC teeb logide analüüsi, failide terviklikkuse kontrolli, poliitikate monitooringut, juurkrattide avastamist, reaalajas teateid ning aktiivset vastust. Täispaketi püüdmisega, IDS logidega ning Bro andmetega on hirmuäratavalt palju andmeid vaja analüüsida. Õnneks on vajalikud tööriistad integreeritud security onionisse. <br />
<br />
*Esimeseks tööriistaks on sguil. Sguil pakub üksikut graafilist kasutajaliidest, millega uurida snorti või suricata logisid, OSSEC alerte, Bro HTTP sündmusi ja passiivset reaalajas vara avastamise süsteemi PRADS (Passive Real-Time Asset Detection System) alerte. Squil lubab kasutajatel otse alerdi juurest avada paketi püüdur ning vaadada teavet sessiooni kohta, mis tekitas alerdi. Selle asemel, et üksiku teate peale pead murda, saab nii kohe näha kogu liiklust, mis selle alerdi genereeris. Lisaks veel squil lubab teha päringuid kõikidest pakettidest, mis püütud. Nii saab korreleerida liiklust, mis pole veel teateid tekitanud, kuid võib sisaldada midagi kahtlast. Squil pakub ka võimalust teha teadetega seotud IP aadresside pöördlahendust. <br />
<br />
*Teiseks tööriistaks on squert. Squert on veebiliides sguil andmebaasile. Squert pole mõeldud reaalajas liideseks ega squili asenduseks. Squert pakub lihtsalt võimalust mugavalt teha päringuid squil-i andmebaasist ning pakub mitmeid visualiseerimislahendusi päringutulemustele. <br />
<br />
*Kolmandaks tööriistaks on snorby. Snorby on veebirakenduse liides, mis võimaldab vaadata, otsida ning klassifitseerida snordi ja suricata alerte ning genereerida erinevaid tüüpe raporteid. CapME! pistikmoodul võimaldab uurida lähemalt sessiooni kohta, mis alerte tekitas. Sarnane nagu sguil-il.<br />
<br />
*Neljandaks analüüsi tööriistaks on ELSA. ELSA pakub täis asünkroonset veebipõhist päringute liidest, mis normaliseerib logisid ning muudab miljardidest logidest juhuslike sõnade otsimise sama lihtsaks ja kiireks kui veebist otsimise. ELSA pakub ka tööriista, millega saab määrata õiguseid logide vaatamistele. ELSA kasutab visualiseerimiseks google visualiseerimise rakendusliidest. <br />
<br />
Security Onioni miinus on samas, mis OSSIM-il. See on väga mahukas ning ressursside kokkuhoidmise eesmärgil me antud laborisüsteemis ei kasuta seda. Kui õppuritel on soov ise virtuaalmasinas proovida, siis soovitan.<br />
<br />
<br />
=== Graylog ===<br />
Graylog (endise nimega Graylog2) on täisintegreeritud avatud lähtekoodiga tasuta tarkvara platvorm kogumaks, indekseerimaks ja analüüsimaks nii struktureeritud kui ka struktureerimata andmeid peaaegu igast algallikast. Graylog-i jagatakse GNU GPLv3 litsentsiga.<br />
Graylog kasutab teiste autorite poolt loodud MongoDB metaandmete jaoks ning Elasticsearchi logifailide säilitamisteks ning tekstidest otsimisteks. <br />
Graylogi funktsioonid: <br />
* Sisendid paindlikuks logide püüdmiseks – Paindlikud sisenditüübid võimaldavad erinevaid logitüüpe püüda kaasaarvatud syslogi ning avateksti. Graylog kasutab ka GELF formaati, mis on Graylogi enda logide formaat, mis võimaldab teateid enne saatmist eelnevalt struktureerida. <br />
* Vood ja mustad nimekirjad intelligentseks töötluseks ja õigusteks – Vood rakendavad reegleid leidmaks spetsiifilisi sõnumi tingimusi või jagama andmeid riistvara või tarkvara tüübi põhjal, rakenduse pinu, asukoha või mõne muu tingimuse järgi, mis teeb otsimise lihtsaks. Vood lubavad piirata ligipääsu kasutajagruppidele. <br />
* REST rakendusliides ja väljundi marsruutimine andmete jaotamiseks – Sama REST rakendusliidest, mida kasutatakse Graylogi veebiliideses saab kasutada ka loomaks enda monitooringu-, raporteerimis- või automatiseeritud süsteemi Graylogis. <br />
* Ekstraktorid parsimaks struktureerimata andmed struktureeritud andmeteks – Võimaldab parsida struktureerimata andmed struktureerituks. Kui ei leita sobivat süntaksianalüsaatorit, siis võib ise luua ning jagada Graylogi kommuuniga. Nii täiendatakse süntaksianalüsaatorite nimekirja pidevalt. <br />
* Graylogi koondpaneelid ja teated – Iga analüüsi või otsingutulemuse saab vidinatena koondpaneelile lisada. Koondpaneelidele saab ise valida, mida näha soovitakse ning kus andmeid pidevalt uuendatakse. Teated on seadistatavad. Nii saab ise määrata, mil moel kasutajat teavitatakse erinevat tüüpi teadetega. <br />
* Graylog on valmis kasutatamaks ettevõtetes – Graylog pakub kataloogipöörduse kergprotokolli integratsiooni, kasutajate õiguste haldust, kogu kommunikatsioon käib läbi REST rakendusliidese ning andmeid saab välja otsida ja muuta ainult autentitud kasutajate poolt. Lisaks veel Elasticsearch on isoleeritud Graylogist, et lubada võrgupõhist pääsu reguleerimist. <br />
<br />
Turbehalduse poole pealt Graylog võimaldab automaatset logide kogumist, koondamist ning normaliseerimist üle terve taristu. Graylog aitab säilitada andmeid logidest, et olla kooskõlas tänapäeva valitsusregulatsioonidega. <br />
<br />
<br><br />
Antud hetkel sai tehtud valik ELK kasuks litsentside põhjal. Lisaks veel Graylog toimib ainult Linuxites. Teoorias peaks töötama ka linuxi virtuaalmasinas windowsi hostil. Kuna paljudes ettevõtetes kasutatakse just Windows-i tööjaamu, siis antud laborite jaoks kasutatakse ELK.<br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_hindamisjuhend&diff=89892Visualiseerimine - hindamisjuhend2015-06-10T19:37:37Z<p>Rjuhanni: </p>
<hr />
<div>== Laborid ==<br />
'''LABOR 1'''<br />
*Õppur suudab paigaldada Logstash-i ja Elasticsearch-i ning need ära seadistada. (1 punkt)<br />
*Õppur suudab koguda logisid ning suunata need andmebaasi. (1 punkt)<br />
<br />
'''LABOR 2'''<br />
*Kibana paigaldamine ning seadmistamine. (1 punkt)<br />
*Õppuri poolt loodav koondpaneel, mis sisaldab vähemalt kolme erinevat visualiseeringut. (1 punkt)<br />
<br />
<br />
<br />
== Kursuse läbimine ==<br />
Laboritega on võimalik saada kuni neli punkti. Selleks, et lugeda e-õppematerjal omandatuks peab õppur saama vähemalt kolm punkti. Võimalik teenida lisapunkte, kui teha eriti huvitav koondpaneel ning näidata seda kursuse läbiviijale.<br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_paigaldusjuhend&diff=89891Visualiseerimine - paigaldusjuhend2015-06-10T19:37:25Z<p>Rjuhanni: </p>
<hr />
<div>== Labori keskkonna paigaldusjuhend ==<br />
Labori keskkonnas on kasutusel viis virtuaalmasinat, millest kolmele saab õppur ligi. <br />
*Klient - Masin, mida kasutatakse graafilise liidese, veebibrauseri ja SSH ühenduste jaoks. Selles masinas saab vaadata juhendeid, graafikuid ning üle SSH kontrollida teisi masinaid. <br><br />
*Veebiserver - Masin, kus on teenused. Sinna masinasse tuleb liiklust. <br><br />
*IDS - Masin, kuhu kogutakse veebiserveri logid ning paigaldatakse visualiseerimiseks vajalikud tarkvarad. <br><br />
*Liiklust genereeriv server - Genereerib tavapärast liiklust veebiserverisse. Õppur ligi ei saa. <br><br />
*Liiklust genereeriv server - Genereerib "halba liiklust" ehk küberründeid. Õppur ligi ei saa <br><br />
<br />
<br />
== Klient ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 1024 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides teistesse masinatesse SSH-ga ühendamiseks. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit Desktop. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.100<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== Veebiserver ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 512 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides sisevõrgu ühenduste jaoks. <br><br />
Võrguliides 3: "Internal network" tüüpi liides. Võtab vastu liiklust, mida tekitavad kaks serverit. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.200<br><br />
eth2: Staatiline sisevõrgu IP. Antud labori juhendi järgi 10.10.10.10<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
Apache veebiserver <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== IDS ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 512 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides sisevõrgu ühenduste jaoks. <br><br />
Võrguliides 3: "Internal network" tüüpi liides. Võtab vastu liiklust, mida tekitavad kaks serverit. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.201<br><br />
eth2: Staatiline sisevõrgu IP. Antud labori juhendi järgi 10.10.10.1<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== Liiklust genereerivad serverid ==<br />
Liikluse genereerimiseks kasutavad botte. <br />
Serverite IP koostatakse tudengite kasutajanimedest Hash-to-IP abil.<br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_opijuhis&diff=89890Visualiseerimine - opijuhis2015-06-10T19:37:05Z<p>Rjuhanni: </p>
<hr />
<div>== Kursuse ülesehitus ==<br />
Kursuse avalehel on lingid loengule, praktikumidele, hindamisjuhendile, paigaldusjuhendile ning õpijuhis (kus hetkel viibite).<br />
<br />
Esmalt tuleks läbi töötada loengumaterjal. Kui loengumaterjal on läbi töötatud, siis saab hakata tegelema praktiliste ülesannetega. <br />
<br />
Eesti Infotehnoloogia Kolledži tudengid saavad praktikume teha [https://elab.itcollege.ee/users/sign_in kaugtöölaborite keskkonnas]. <br />
<br />
Kursuse maht selgub täpsemalt piloteerimisel. <br />
<br />
<br />
<br />
== Kursuse moodulid: ==<br />
'''Loeng:''' <br><br />
*Loengus võetakse läbi, mis on visualiseerimine, miks on see vajalik, mida see annab jne. <br><br />
<br />
'''Laborid:''' <br><br />
*Esimeses laboris tuleb paigaldada Logstash ning Elasticsearch. Kui vajalikud tarkvarad on paigalgatud, siis tuleb koguda logisid ning suunata need andmebaasi. <br><br />
*Teises laboris tuleb paigaldada Kibana ning visualiseerida esimeses laboris kogutud logisid. Laborid on seotud seega ei saa teha teist laborit enne esimese lõpetamist.<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=89889Visualiseerimine - Labor 12015-06-10T19:36:33Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel teada, kas jääb siia või on eelnevalt paigaldatud.<br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni:<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpgk -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
<br />
<br />
== Tagasi avalehele ==<br />
[[Visualiseerimise_materjalid]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=89780Visualiseerimine - Labor 12015-06-10T11:16:18Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel teada, kas jääb siia või on eelnevalt paigaldatud.<br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer<br />
<br />
<br />
=== Elasticsearchi paigaldamine ===<br />
Alguses läheme rootkausta, kui seda pole varem teinud. <br />
cd<br />
<br />
Laadime alla Elasticsearchi uusima versiooni:<br />
wget https://download.elastic.co/elasticsearch/elasticsearch/elasticsearch-1.6.0.deb<br />
<br />
Paigaldame Elasticsearchi:<br />
dpkg -i elasticsearch-1.6.0.deb<br />
<br />
<br />
=== Logstashi paigaldamine ===<br />
Laadime alla Logstashi uusima versiooni:<br />
wget http://download.elastic.co/logstash/logstash/packages/debian/logstash_1.5.0-1_all.deb<br />
<br />
Paigaldame Logstashi:<br />
dpgk -i logstash_1.5.0-1_all.deb<br />
<br />
Logstashi konfigureerimiseks loome uue faili logstash.conf<br />
touch /etc/logstash/conf.d/logstash.conf<br />
<br />
Avame uue loodud faili sobiva tekstiredaktoriga. Näiteks on kasutatud nano<br />
nano /etc/logstash/conf.d/logstash.conf<br />
<br />
Lisame järgneva konfiguratsiooni:<br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
sincedb_path => ["/var/lib/logstash/"]<br />
codec => json <br />
type => "SuricataIDPS" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
ruby {<br />
code => "if event['event_type'] == 'fileinfo'; event['fileinfo']['type']=event['fileinfo']['magic'].to_s.split(',')[0]; end;" <br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
if ![geoip.ip] {<br />
if [dest_ip] {<br />
geoip {<br />
source => "dest_ip" <br />
target => "geoip" <br />
#database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
#protocol => http<br />
}<br />
}<br />
<br />
<br />
Konfigureerime automaatselt käivituma:<br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
Taaskäivitame teenused:<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=89770Visualiseerimine - Labor 12015-06-10T10:56:01Z<p>Rjuhanni: </p>
<hr />
<div>== Labor 1 ==<br />
<br />
Esimeses laboris paigaldatakse IDS serverile ründetuvastussüsteem Suricata, kasutades juhendit [[IDS_Systeemid_-_Labor_1]]. <br />
<br />
<br />
=== Veebiserveri ettevalmistus* ===<br />
Veebiserverile tuleb paigaldada DVWA, kuhu tehakse ründeid. DVWA paigaldusjuhendi leiab [[DVWA]].<br />
<br />
"*" - Ei ole veel teada, kas jääb siia või on eelnevalt paigaldatud.<br />
<br />
<br />
=== Ettevalmistused antud laborite jaoks ===<br />
Kuna Elasticsearch ning Logstalgia nõuavad Java 7 olemasolu, siis tuleb tuleb see paigaldada.<br />
<br />
NB! Kõik käsud tehakse root õigustes. Selleks, et root õigustesse minna saab kasutada käsku:<br />
sudo -i<br />
ning sisestage parool. <br />
<br />
Esiteks lisame ppa apt-i repositooriumi:<br />
add-apt-repository -y ppa:webupd8team/java<br />
<br />
Nüüd uuendame repositooriumi:<br />
apt-get update<br />
<br />
Paigaldame stabiilse java versiooni. Kui küsitakse litsentsi nõusolekut, siis tuleb nõustuda. <br />
apt-get install oracle-java7-installer</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89696Visualiseerimise materjalid2015-06-09T16:57:28Z<p>Rjuhanni: /* Loeng */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhend: [[Visualiseerimine - paigaldusjuhend]]<br><br />
Hindamisjuhend: [[Visualiseerimine - hindamisjuhend]]<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
<br />
== Loeng ==<br />
Loeng: [[visualiseerimine loeng]]<br><br />
<br />
== Praktilised ülesanded ==<br />
[[Visualiseerimine - Labor 1]] <br><br />
[[Visualiseerimine - Labor 2]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89695Visualiseerimise materjalid2015-06-09T16:57:10Z<p>Rjuhanni: </p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhend: [[Visualiseerimine - paigaldusjuhend]]<br><br />
Hindamisjuhend: [[Visualiseerimine - hindamisjuhend]]<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
<br />
== Loeng ==<br />
Loeng: [[visualiseerimine - loeng]]<br><br />
<br />
== Praktilised ülesanded ==<br />
[[Visualiseerimine - Labor 1]] <br><br />
[[Visualiseerimine - Labor 2]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89694Visualiseerimise materjalid2015-06-09T16:55:52Z<p>Rjuhanni: </p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhend: [[Visualiseerimine - paigaldusjuhend]]<br><br />
Hindamisjuhend: [[Visualiseerimine - hindamisjuhend]]<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
<br />
== Loeng ==<br />
Loeng: [[Visualiseerimine - loeng]]<br><br />
<br />
== Praktilised ülesanded ==<br />
[[Visualiseerimine - Labor 1]] <br><br />
[[Visualiseerimine - Labor 2]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_loeng&diff=89693Visualiseerimine loeng2015-06-09T16:34:30Z<p>Rjuhanni: /* ELK – Elasticsearch, Logstash, Kibana */</p>
<hr />
<div>== Sissejuhatus ==<br />
<br />
Antud materjal on loodud täiendamaks kursust „Sissetungi tuvastuse süsteemid“. Hetkel on sissetungi tuvastuse süsteemides olemas materjalid sissetungituvastuse jaoks, kuid kõik teated jäävad logidesse. Arvestades tänapäeva taristute suurusi, siis administraatorid ning teised IT spetsialistid ei suuda logisid vaadates kindlaks teha, millal korraldatakse rünnet nende taristu pihta. Graafilise visualiseeringuga on koheselt näha, millal on tavapärasest rohkem tegevust. <br />
<br />
Eelnevalt peab olema läbi töötatud: https://wiki.itcollege.ee/index.php/Sissetungi_tuvastuse_systeemid ning peab tundma Linuxi käsurida ning arvutivõrkudest. Lisaks omama ka baasteadmisi rünnetest.<br />
<br />
<br />
<br />
<br />
== Mida annab visualiseerimine? ==<br />
<br />
Visualiseerimine võimaldab administraatorite ning teiste IT spetsialistide elu lihtsamaks muuta. Kuidas täpsemalt? Väga lihtsalt, kui on kasutatud visualiseerimisi, siis kõik logiteated tulevad koondpaneeli erinevate graafikute ning diagrammidena. Graafikute pealt on lihtne näha, millal on tavapärasest rohkem teateid ning vastavalt sellele saab vastumeetmeid kasutada. Graafikute pealt saab lähemalt uurida ka logiteateid. Nii hoiab ka aega kokku, mis kulub õigete logiteadete leidmiseks. Sellega vähendatakse reageerimisaega ning muudetakse töö efektiivsemaks.<br />
<br />
<br />
== Milliseid erinevaid visualiseeringuid on olemas? ==<br />
<br />
*Graafikud- Graafik on arvsuuruste vahelise sõltuvuse visuaalne esitamise viis. <br><br />
*Kihtdiagrammid – Kihtdiagrammid rõhuvad aja jooksul toimunud muudatuste suurusjärku ning neid saab kasutada juhtimaks tähelepanu kogusummade trendile. <br><br />
*Tulpdiagrammid – Tulpdiagrammid sobivad mingi perioodi jooksul andmetes toimunud muudatuse näitamiseks või üksuste võrdluse illustreerimiseks.<br> <br />
*Geograafilised kaartid – Geograafilised kaardid võimaldavad jälgida, kust tuleb liiklus. <br><br />
*Joondiagrammid – Joondiagrammidel kuvatakse ajaliselt järjestikused andmed ühisel skaalal, seega sobivad need hästi andmete trendi näitamiseks võrdsete ajavahemike tagant. <br><br />
*Sektordiagramm – Sektordiagrammidel kuvatakse ühe andmesarja elementide maht kõigi elementide kogusumma suhtes. Sektordiagrammidel kuvatakse andmepunktid protsentidena tervikust. <br><br />
*Lintdiagrammid – Lintdiagrammid sobivad üksikute elementide võrdluste illustreerimiseks.<br><br />
<br />
<br />
== Logide visualiseerimise tarkvarad: ==<br />
<br />
=== ELK – Elasticsearch, Logstash, Kibana ===<br />
<br />
Elasticsearch on andmebaas, kuhu salvestatakse kõik teated ning kust tehakse päringuid. Logstash on logide normaliseerija, et logid oleksid loetavad ka inimsilmale. Kibana on visualiseerimistarkvara. <br />
Kibana võimaldab teha eraldiseisvaid visualiseerimisi ning ka ühendada erinevad visualiseeringud üheks koondpaneeliks. Visualiseerimisvõimalusi, mida Kibana pakub on mitmeid: kihtdiagramm andmete tabel, joondiagrammid, markdowni vidin, mõõdustik, rõngasdiagrammid, geograafiline kaart ja vertikaalsed tulpdiagrammid.<br />
Kibana pakub ka visualiseerimise redaktorit, mis lubab kasutajatel konfigureerida ning muuta visualiseerimist. Visualiseerimise redaktoril on kolm elementi: tööriistariba, aggregatsiooni ehitaja ning eelvaate lõuend. <br />
*Tööriistaribal on otsinguväli interaktiivseteks andmete otsinguteks ning ka komponendid, millega hallata visualiseeringute salvestamisi ning laadimisi. Komponentide hulka kuuluvad nupud loomaks uut visualiseeringut, salvestamaks olemasolevat visualiseeringut, jagada või manustada visualiseeringut ja värskendada andmeid visualiseeringus. <br />
*Aggregatsiooni ehitajat saab kasutada, et seadistada mõõdustikku ja kimpu, mida kasutatakse aggregatsiooniks. Kimbud on analoogsed SQL „GROUP BY“ lausele. Mõõdustikke kasutatakse tulp- ja joondiagrammides x-telgedel ning kimpe y-telgedel. Rõngasdiagrammidel mõõdustik on sektorite suurus ning kimp sektorite arv. Mõõdustikel saab kasutada aggregatsioone nagu loenda, minimaalne, maksimaalne, keskmine, summa ning kardinaalsust. Tavalised kimpude aggregatsioonid hõlmavad kuupäeva ajadiagrammi, vahemikku, tingimusi ning filtreid. Lisaks on võimalik määrata, mis järjekorras kimpe täidetakse. <br />
*Eelvaate lõuend pakub võimalust vaadata, milline näeb aggregatsiooni ehitajaga tehtud visualiseering välja.<br />
<br />
Kõiki neid tarkvarasid jagatakse Apache v2.0 litsentsi all. <br />
<br />
Hetkel üks turu võimekamaid tooteid. Me kasutamegi ELK lahendust, sest seda on lihtne paigaldada, vaadete tegemine on lihtne ning on mugav õppurile.<br />
<br />
=== Alienvault OSSIM ===<br />
OSSIM pakub kõiki vahendeid, mida turbeeksperdid vajavad SIEM-ilt (Security Information and Event Management) sündmuste kogumiseks, normaliseerimiseks ja korreleerimiseks. OSSIM on avatud lähtekoodiga tasuta tarkvara, mida levitatakse GNU GPL v3 litsentsi all ning millel on kogukond, kes jagavad ohtude teavet. Lisaks veel OSSIM-il on limiteeritud logide kogumine ning logide säilitamine SIEM sündmustele (See on selleks, et rohkem kliente kasutaks AlienVaulti Unified Security Management-i, mis on kommertstoode). OSSIM pakub kolme kõrgtasemelist raporteerimismalli mille tarkvara saab rakendada ühe serveriga lahendustele. Lisaks ühe serveri lahendustele saab OSSIM-is olla ainult üks kasutaja, kellel on lubatud muudatusi läbi viia. <br />
Lisaks pakub OSSIM ainult individuaalset komponentide haldamist. Kuna OSSIM on vabavaraline tarkvara, siis on tagatud ainult kommuunipoolne tugi. <br />
Kuid milliseid baasoperatsioone OSSIM pakub? OSSIMi baasoperatsioonide juurde kuuluvad: <br />
* Väliste sündmuste vastuvõtt <br />
* Rakendused, mis tulid AlienVault-iga väljastavad teateid sündmustest <br />
* Sündmused kogutakse kokku ning normaliseeritakse enne kesksesse serverisse saatmist <br />
* AlienVaulti server teeb riski kaalutlemist, korrelatsiooni ning talletab sündmused SQL andmebaasi <br />
* Veebiliides pakub raporteerimissüsteemi, mõõdustikku, raportite koondpaneeli, piletite süsteemi, haldussüsteemi ja reaalajas võrguinformatsiooni. <br />
<br />
OSSIM-i korrelatsioon on üks põhi erisustest, mis defineerib OSSIM-i kui intelligentse turbesündmuste haldusplatvormina ning eristab seda teistest ründetuvastuse süsteemidest. <br />
<br />
See aitab vähendada väärtuvastusi muutes mitmete sündmuste sisendid ning teated rohkem usaldusväärsemaks väljundiks, et oleks hallatav arv sündmusi, millele on vaja tähelepanu pöörata. Teiseks OSSIMi põhi erisuseks on korrelatsioonide direktiivid. OSSIM tuleb 200 korrelatsiooni direktiiviga, mis on kirjutatud XMLil baseeruval süntaksil. Direktiivide põhieesmärk on analüüsida mitmeid sündmusi ning otsustada, kas väljastada hoiatus vastavalt direktiivi reeglitele. See erisus suudab ära hoida nullpäevaründeid või tundmatuid nõrkusi, sest väljastab teateid vastavalt reeglitele, mitte ei kontrolli sündmust tuntud nõrkuste nimekirjast.<br />
<br />
OSSIM on päris mahukas tarkvara, mis sisaldab peale vajaminevate visualiseerimiste ka muud tarkvara. Ressursside kokkuhoiu mõttes ei valitud OSSIM-it antud laborites kasutamiseks. Kui kellelgi on huvi, siis võib ise installeerida virtuaalmasinasse ning proovida samu laboreid teha. <br />
<br />
<br />
=== Security Onion ===<br />
Security onion on Linuxi distro, mis on mõeldud sissetungi tuvastuseks, võrgu turvalisuse monitooringuks ning logide haldamiseks. Security onion baseerub Ubuntul ning sisaldab snorti, suricatat, brod, OSSEC, sguil, squert, snorby, ELSA, xplico, networkminer ja palju teisi turvalisusega seotud tööriistu. <br />
Security Onion-i ühendab kolm põhikomponenti: täispaketi püüdmine, võrgupõhised ja hostipõhised sissetungituvastussüsteemid ja võimekas analüüsi tööriist. <br />
Täispaketi püüdmine saavutatakse netsniff-ng-ga. Netsniff-ng püüab kinni kogu liikluse, mida security onioni sensorid näevad ning talletab niipalju, kui andmesalvestid suudavad mahutada (Security onion-il on sisseehitatud mehhanism, mis kustutab jäädavalt vanad andmed enne kui ketaste vaba ruum otsa saab). Täispaketi püük on nagu videokaamera võrgu jaoks, kuid parem, sest lisaks sellele, et näidata, kes tuli ja läks, suudab ta täpsustada kuhu keegi läks ning mida nad võtsid kaasa või tõid juurde (e-kirjade õngitsemine jne). <br />
Võrgupõhised ja hostipõhised sissetungituvastussüsteemid analüüsivad võrguliiklust või host süsteeme korduvalt ning tagavad logide ja teadete andmed kustutatud sündmustele ja tegevustele. Võrgupõhised sissetungituvastussüsteemid pakuvad reeglitega määratud sissetungituvastust, kus Security Onion laseb valida Snorti või Suricata reeglite vahel. Reeglitega määratud sissetungituvastuse süsteemid analüüsivad võrguliiklust ning üritavad tuvastada pahatahtlikku liiklust või anomaaliaid. Teise võimalusena pakuvad võrgupõhised sissetungituvastusesüsteemid analüüsiga juhitud sissetungiavastust. Analüüsiga juhitud sissetungiavastuse poolest pakub Security Onion Bro võrgu turvalisuse monitooringut, mida tuntakse ka Bro IDS nime all. Bro monitoorib võrguliiklust ning logib kõiki ühendusi, DNS päringuid, avastatud võrguteenuseid ning tarkvara, SSL sertifikaate, HTTP, FTP, IRC, SMTP, SSH, SSL ning syslog-i tegevusi, mida näeb. Seeläbi pakkudes põhjalikku infot, mis võrgus toimub. Veel pakub Bro analüsaatoreid mitmetele enamlevinud protokollidele ning vaikimisi võimalust teha MD5 kontrollsumma kõikidele HTTPs allalaetud failidele kontrollimaks neid Cymru pahavara räsifunktsiooni projekti registritest. Hostipõhised sissetungituvastussüsteemid pakuvad OSSECit. OSSEC teeb logide analüüsi, failide terviklikkuse kontrolli, poliitikate monitooringut, juurkrattide avastamist, reaalajas teateid ning aktiivset vastust. Täispaketi püüdmisega, IDS logidega ning Bro andmetega on hirmuäratavalt palju andmeid vaja analüüsida. Õnneks on vajalikud tööriistad integreeritud security onionisse. <br />
<br />
*Esimeseks tööriistaks on sguil. Sguil pakub üksikut graafilist kasutajaliidest, millega uurida snorti või suricata logisid, OSSEC alerte, Bro HTTP sündmusi ja passiivset reaalajas vara avastamise süsteemi PRADS (Passive Real-Time Asset Detection System) alerte. Squil lubab kasutajatel otse alerdi juurest avada paketi püüdur ning vaadada teavet sessiooni kohta, mis tekitas alerdi. Selle asemel, et üksiku teate peale pead murda, saab nii kohe näha kogu liiklust, mis selle alerdi genereeris. Lisaks veel squil lubab teha päringuid kõikidest pakettidest, mis püütud. Nii saab korreleerida liiklust, mis pole veel teateid tekitanud, kuid võib sisaldada midagi kahtlast. Squil pakub ka võimalust teha teadetega seotud IP aadresside pöördlahendust. <br />
<br />
*Teiseks tööriistaks on squert. Squert on veebiliides sguil andmebaasile. Squert pole mõeldud reaalajas liideseks ega squili asenduseks. Squert pakub lihtsalt võimalust mugavalt teha päringuid squil-i andmebaasist ning pakub mitmeid visualiseerimislahendusi päringutulemustele. <br />
<br />
*Kolmandaks tööriistaks on snorby. Snorby on veebirakenduse liides, mis võimaldab vaadata, otsida ning klassifitseerida snordi ja suricata alerte ning genereerida erinevaid tüüpe raporteid. CapME! pistikmoodul võimaldab uurida lähemalt sessiooni kohta, mis alerte tekitas. Sarnane nagu sguil-il.<br />
<br />
*Neljandaks analüüsi tööriistaks on ELSA. ELSA pakub täis asünkroonset veebipõhist päringute liidest, mis normaliseerib logisid ning muudab miljardidest logidest juhuslike sõnade otsimise sama lihtsaks ja kiireks kui veebist otsimise. ELSA pakub ka tööriista, millega saab määrata õiguseid logide vaatamistele. ELSA kasutab visualiseerimiseks google visualiseerimise rakendusliidest. <br />
<br />
Security Onioni miinus on samas, mis OSSIM-il. See on väga mahukas ning ressursside kokkuhoidmise eesmärgil me antud laborisüsteemis ei kasuta seda. Kui õppuritel on soov ise virtuaalmasinas proovida, siis soovitan.<br />
<br />
<br />
=== Graylog ===<br />
Graylog (endise nimega Graylog2) on täisintegreeritud avatud lähtekoodiga tasuta tarkvara platvorm kogumaks, indekseerimaks ja analüüsimaks nii struktureeritud kui ka struktureerimata andmeid peaaegu igast algallikast. Graylog-i jagatakse GNU GPLv3 litsentsiga.<br />
Graylog kasutab teiste autorite poolt loodud MongoDB metaandmete jaoks ning Elasticsearchi logifailide säilitamisteks ning tekstidest otsimisteks. <br />
Graylogi funktsioonid: <br />
* Sisendid paindlikuks logide püüdmiseks – Paindlikud sisenditüübid võimaldavad erinevaid logitüüpe püüda kaasaarvatud syslogi ning avateksti. Graylog kasutab ka GELF formaati, mis on Graylogi enda logide formaat, mis võimaldab teateid enne saatmist eelnevalt struktureerida. <br />
* Vood ja mustad nimekirjad intelligentseks töötluseks ja õigusteks – Vood rakendavad reegleid leidmaks spetsiifilisi sõnumi tingimusi või jagama andmeid riistvara või tarkvara tüübi põhjal, rakenduse pinu, asukoha või mõne muu tingimuse järgi, mis teeb otsimise lihtsaks. Vood lubavad piirata ligipääsu kasutajagruppidele. <br />
* REST rakendusliides ja väljundi marsruutimine andmete jaotamiseks – Sama REST rakendusliidest, mida kasutatakse Graylogi veebiliideses saab kasutada ka loomaks enda monitooringu-, raporteerimis- või automatiseeritud süsteemi Graylogis. <br />
* Ekstraktorid parsimaks struktureerimata andmed struktureeritud andmeteks – Võimaldab parsida struktureerimata andmed struktureerituks. Kui ei leita sobivat süntaksianalüsaatorit, siis võib ise luua ning jagada Graylogi kommuuniga. Nii täiendatakse süntaksianalüsaatorite nimekirja pidevalt. <br />
* Graylogi koondpaneelid ja teated – Iga analüüsi või otsingutulemuse saab vidinatena koondpaneelile lisada. Koondpaneelidele saab ise valida, mida näha soovitakse ning kus andmeid pidevalt uuendatakse. Teated on seadistatavad. Nii saab ise määrata, mil moel kasutajat teavitatakse erinevat tüüpi teadetega. <br />
* Graylog on valmis kasutatamaks ettevõtetes – Graylog pakub kataloogipöörduse kergprotokolli integratsiooni, kasutajate õiguste haldust, kogu kommunikatsioon käib läbi REST rakendusliidese ning andmeid saab välja otsida ja muuta ainult autentitud kasutajate poolt. Lisaks veel Elasticsearch on isoleeritud Graylogist, et lubada võrgupõhist pääsu reguleerimist. <br />
<br />
Turbehalduse poole pealt Graylog võimaldab automaatset logide kogumist, koondamist ning normaliseerimist üle terve taristu. Graylog aitab säilitada andmeid logidest, et olla kooskõlas tänapäeva valitsusregulatsioonidega. <br />
<br />
<br><br />
Antud hetkel sai tehtud valik ELK kasuks litsentside põhjal. Lisaks veel Graylog toimib ainult Linuxites. Teoorias peaks töötama ka linuxi virtuaalmasinas windowsi hostil. Kuna paljudes ettevõtetes kasutatakse just Windows-i tööjaamu, siis antud laborite jaoks kasutatakse ELK.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_loeng&diff=89692Visualiseerimine loeng2015-06-09T16:32:08Z<p>Rjuhanni: /* Logide visualiseerimise tarkvarad: */</p>
<hr />
<div>== Sissejuhatus ==<br />
<br />
Antud materjal on loodud täiendamaks kursust „Sissetungi tuvastuse süsteemid“. Hetkel on sissetungi tuvastuse süsteemides olemas materjalid sissetungituvastuse jaoks, kuid kõik teated jäävad logidesse. Arvestades tänapäeva taristute suurusi, siis administraatorid ning teised IT spetsialistid ei suuda logisid vaadates kindlaks teha, millal korraldatakse rünnet nende taristu pihta. Graafilise visualiseeringuga on koheselt näha, millal on tavapärasest rohkem tegevust. <br />
<br />
Eelnevalt peab olema läbi töötatud: https://wiki.itcollege.ee/index.php/Sissetungi_tuvastuse_systeemid ning peab tundma Linuxi käsurida ning arvutivõrkudest. Lisaks omama ka baasteadmisi rünnetest.<br />
<br />
<br />
<br />
<br />
== Mida annab visualiseerimine? ==<br />
<br />
Visualiseerimine võimaldab administraatorite ning teiste IT spetsialistide elu lihtsamaks muuta. Kuidas täpsemalt? Väga lihtsalt, kui on kasutatud visualiseerimisi, siis kõik logiteated tulevad koondpaneeli erinevate graafikute ning diagrammidena. Graafikute pealt on lihtne näha, millal on tavapärasest rohkem teateid ning vastavalt sellele saab vastumeetmeid kasutada. Graafikute pealt saab lähemalt uurida ka logiteateid. Nii hoiab ka aega kokku, mis kulub õigete logiteadete leidmiseks. Sellega vähendatakse reageerimisaega ning muudetakse töö efektiivsemaks.<br />
<br />
<br />
== Milliseid erinevaid visualiseeringuid on olemas? ==<br />
<br />
*Graafikud- Graafik on arvsuuruste vahelise sõltuvuse visuaalne esitamise viis. <br><br />
*Kihtdiagrammid – Kihtdiagrammid rõhuvad aja jooksul toimunud muudatuste suurusjärku ning neid saab kasutada juhtimaks tähelepanu kogusummade trendile. <br><br />
*Tulpdiagrammid – Tulpdiagrammid sobivad mingi perioodi jooksul andmetes toimunud muudatuse näitamiseks või üksuste võrdluse illustreerimiseks.<br> <br />
*Geograafilised kaartid – Geograafilised kaardid võimaldavad jälgida, kust tuleb liiklus. <br><br />
*Joondiagrammid – Joondiagrammidel kuvatakse ajaliselt järjestikused andmed ühisel skaalal, seega sobivad need hästi andmete trendi näitamiseks võrdsete ajavahemike tagant. <br><br />
*Sektordiagramm – Sektordiagrammidel kuvatakse ühe andmesarja elementide maht kõigi elementide kogusumma suhtes. Sektordiagrammidel kuvatakse andmepunktid protsentidena tervikust. <br><br />
*Lintdiagrammid – Lintdiagrammid sobivad üksikute elementide võrdluste illustreerimiseks.<br><br />
<br />
<br />
== Logide visualiseerimise tarkvarad: ==<br />
<br />
=== ELK – Elasticsearch, Logstash, Kibana ===<br />
<br />
Elasticsearch on andmebaas, kuhu salvestatakse kõik teated ning kust tehakse päringuid. Logstash on logide normaliseerija, et logid oleksid loetavad ka inimsilmale. Kibana on visualiseerimistarkvara. <br />
Kibana võimaldab teha eraldiseisvaid visualiseerimisi ning ka ühendada erinevad visualiseeringud üheks koondpaneeliks. <br />
Kibana pakub ka visualiseerimise redaktorit, mis lubab kasutajatel konfigureerida ning muuta visualiseerimist. Visualiseerimise redaktoril on kolm elementi: tööriistariba, aggregatsiooni ehitaja ning eelvaate lõuend. <br />
*Tööriistaribal on otsinguväli interaktiivseteks andmete otsinguteks ning ka komponendid, millega hallata visualiseeringute salvestamisi ning laadimisi. Komponentide hulka kuuluvad nupud loomaks uut visualiseeringut, salvestamaks olemasolevat visualiseeringut, jagada või manustada visualiseeringut ja värskendada andmeid visualiseeringus. <br />
*Aggregatsiooni ehitajat saab kasutada, et seadistada mõõdustikku ja kimpu, mida kasutatakse aggregatsiooniks. Kimbud on analoogsed SQL „GROUP BY“ lausele. Mõõdustikke kasutatakse tulp- ja joondiagrammides x-telgedel ning kimpe y-telgedel. Rõngasdiagrammidel mõõdustik on sektorite suurus ning kimp sektorite arv. Mõõdustikel saab kasutada aggregatsioone nagu loenda, minimaalne, maksimaalne, keskmine, summa ning kardinaalsust. Tavalised kimpude aggregatsioonid hõlmavad kuupäeva ajadiagrammi, vahemikku, tingimusi ning filtreid. Lisaks on võimalik määrata, mis järjekorras kimpe täidetakse. <br />
*Eelvaate lõuend pakub võimalust vaadata, milline näeb aggregatsiooni ehitajaga tehtud visualiseering välja.<br />
<br />
Hetkel üks turu võimekamaid tooteid. Me kasutamegi ELK lahendust, sest seda on lihtne paigaldada, vaadete tegemine on lihtne ning on mugav õppurile. <br />
<br />
=== Alienvault OSSIM ===<br />
OSSIM pakub kõiki vahendeid, mida turbeeksperdid vajavad SIEM-ilt (Security Information and Event Management) sündmuste kogumiseks, normaliseerimiseks ja korreleerimiseks. OSSIM on avatud lähtekoodiga tasuta tarkvara, mida levitatakse GNU GPL v3 litsentsi all ning millel on kogukond, kes jagavad ohtude teavet. Lisaks veel OSSIM-il on limiteeritud logide kogumine ning logide säilitamine SIEM sündmustele (See on selleks, et rohkem kliente kasutaks AlienVaulti Unified Security Management-i, mis on kommertstoode). OSSIM pakub kolme kõrgtasemelist raporteerimismalli mille tarkvara saab rakendada ühe serveriga lahendustele. Lisaks ühe serveri lahendustele saab OSSIM-is olla ainult üks kasutaja, kellel on lubatud muudatusi läbi viia. <br />
Lisaks pakub OSSIM ainult individuaalset komponentide haldamist. Kuna OSSIM on vabavaraline tarkvara, siis on tagatud ainult kommuunipoolne tugi. <br />
Kuid milliseid baasoperatsioone OSSIM pakub? OSSIMi baasoperatsioonide juurde kuuluvad: <br />
* Väliste sündmuste vastuvõtt <br />
* Rakendused, mis tulid AlienVault-iga väljastavad teateid sündmustest <br />
* Sündmused kogutakse kokku ning normaliseeritakse enne kesksesse serverisse saatmist <br />
* AlienVaulti server teeb riski kaalutlemist, korrelatsiooni ning talletab sündmused SQL andmebaasi <br />
* Veebiliides pakub raporteerimissüsteemi, mõõdustikku, raportite koondpaneeli, piletite süsteemi, haldussüsteemi ja reaalajas võrguinformatsiooni. <br />
<br />
OSSIM-i korrelatsioon on üks põhi erisustest, mis defineerib OSSIM-i kui intelligentse turbesündmuste haldusplatvormina ning eristab seda teistest ründetuvastuse süsteemidest. <br />
<br />
See aitab vähendada väärtuvastusi muutes mitmete sündmuste sisendid ning teated rohkem usaldusväärsemaks väljundiks, et oleks hallatav arv sündmusi, millele on vaja tähelepanu pöörata. Teiseks OSSIMi põhi erisuseks on korrelatsioonide direktiivid. OSSIM tuleb 200 korrelatsiooni direktiiviga, mis on kirjutatud XMLil baseeruval süntaksil. Direktiivide põhieesmärk on analüüsida mitmeid sündmusi ning otsustada, kas väljastada hoiatus vastavalt direktiivi reeglitele. See erisus suudab ära hoida nullpäevaründeid või tundmatuid nõrkusi, sest väljastab teateid vastavalt reeglitele, mitte ei kontrolli sündmust tuntud nõrkuste nimekirjast.<br />
<br />
OSSIM on päris mahukas tarkvara, mis sisaldab peale vajaminevate visualiseerimiste ka muud tarkvara. Ressursside kokkuhoiu mõttes ei valitud OSSIM-it antud laborites kasutamiseks. Kui kellelgi on huvi, siis võib ise installeerida virtuaalmasinasse ning proovida samu laboreid teha. <br />
<br />
<br />
=== Security Onion ===<br />
Security onion on Linuxi distro, mis on mõeldud sissetungi tuvastuseks, võrgu turvalisuse monitooringuks ning logide haldamiseks. Security onion baseerub Ubuntul ning sisaldab snorti, suricatat, brod, OSSEC, sguil, squert, snorby, ELSA, xplico, networkminer ja palju teisi turvalisusega seotud tööriistu. <br />
Security Onion-i ühendab kolm põhikomponenti: täispaketi püüdmine, võrgupõhised ja hostipõhised sissetungituvastussüsteemid ja võimekas analüüsi tööriist. <br />
Täispaketi püüdmine saavutatakse netsniff-ng-ga. Netsniff-ng püüab kinni kogu liikluse, mida security onioni sensorid näevad ning talletab niipalju, kui andmesalvestid suudavad mahutada (Security onion-il on sisseehitatud mehhanism, mis kustutab jäädavalt vanad andmed enne kui ketaste vaba ruum otsa saab). Täispaketi püük on nagu videokaamera võrgu jaoks, kuid parem, sest lisaks sellele, et näidata, kes tuli ja läks, suudab ta täpsustada kuhu keegi läks ning mida nad võtsid kaasa või tõid juurde (e-kirjade õngitsemine jne). <br />
Võrgupõhised ja hostipõhised sissetungituvastussüsteemid analüüsivad võrguliiklust või host süsteeme korduvalt ning tagavad logide ja teadete andmed kustutatud sündmustele ja tegevustele. Võrgupõhised sissetungituvastussüsteemid pakuvad reeglitega määratud sissetungituvastust, kus Security Onion laseb valida Snorti või Suricata reeglite vahel. Reeglitega määratud sissetungituvastuse süsteemid analüüsivad võrguliiklust ning üritavad tuvastada pahatahtlikku liiklust või anomaaliaid. Teise võimalusena pakuvad võrgupõhised sissetungituvastusesüsteemid analüüsiga juhitud sissetungiavastust. Analüüsiga juhitud sissetungiavastuse poolest pakub Security Onion Bro võrgu turvalisuse monitooringut, mida tuntakse ka Bro IDS nime all. Bro monitoorib võrguliiklust ning logib kõiki ühendusi, DNS päringuid, avastatud võrguteenuseid ning tarkvara, SSL sertifikaate, HTTP, FTP, IRC, SMTP, SSH, SSL ning syslog-i tegevusi, mida näeb. Seeläbi pakkudes põhjalikku infot, mis võrgus toimub. Veel pakub Bro analüsaatoreid mitmetele enamlevinud protokollidele ning vaikimisi võimalust teha MD5 kontrollsumma kõikidele HTTPs allalaetud failidele kontrollimaks neid Cymru pahavara räsifunktsiooni projekti registritest. Hostipõhised sissetungituvastussüsteemid pakuvad OSSECit. OSSEC teeb logide analüüsi, failide terviklikkuse kontrolli, poliitikate monitooringut, juurkrattide avastamist, reaalajas teateid ning aktiivset vastust. Täispaketi püüdmisega, IDS logidega ning Bro andmetega on hirmuäratavalt palju andmeid vaja analüüsida. Õnneks on vajalikud tööriistad integreeritud security onionisse. <br />
<br />
*Esimeseks tööriistaks on sguil. Sguil pakub üksikut graafilist kasutajaliidest, millega uurida snorti või suricata logisid, OSSEC alerte, Bro HTTP sündmusi ja passiivset reaalajas vara avastamise süsteemi PRADS (Passive Real-Time Asset Detection System) alerte. Squil lubab kasutajatel otse alerdi juurest avada paketi püüdur ning vaadada teavet sessiooni kohta, mis tekitas alerdi. Selle asemel, et üksiku teate peale pead murda, saab nii kohe näha kogu liiklust, mis selle alerdi genereeris. Lisaks veel squil lubab teha päringuid kõikidest pakettidest, mis püütud. Nii saab korreleerida liiklust, mis pole veel teateid tekitanud, kuid võib sisaldada midagi kahtlast. Squil pakub ka võimalust teha teadetega seotud IP aadresside pöördlahendust. <br />
<br />
*Teiseks tööriistaks on squert. Squert on veebiliides sguil andmebaasile. Squert pole mõeldud reaalajas liideseks ega squili asenduseks. Squert pakub lihtsalt võimalust mugavalt teha päringuid squil-i andmebaasist ning pakub mitmeid visualiseerimislahendusi päringutulemustele. <br />
<br />
*Kolmandaks tööriistaks on snorby. Snorby on veebirakenduse liides, mis võimaldab vaadata, otsida ning klassifitseerida snordi ja suricata alerte ning genereerida erinevaid tüüpe raporteid. CapME! pistikmoodul võimaldab uurida lähemalt sessiooni kohta, mis alerte tekitas. Sarnane nagu sguil-il.<br />
<br />
*Neljandaks analüüsi tööriistaks on ELSA. ELSA pakub täis asünkroonset veebipõhist päringute liidest, mis normaliseerib logisid ning muudab miljardidest logidest juhuslike sõnade otsimise sama lihtsaks ja kiireks kui veebist otsimise. ELSA pakub ka tööriista, millega saab määrata õiguseid logide vaatamistele. ELSA kasutab visualiseerimiseks google visualiseerimise rakendusliidest. <br />
<br />
Security Onioni miinus on samas, mis OSSIM-il. See on väga mahukas ning ressursside kokkuhoidmise eesmärgil me antud laborisüsteemis ei kasuta seda. Kui õppuritel on soov ise virtuaalmasinas proovida, siis soovitan.<br />
<br />
<br />
=== Graylog ===<br />
Graylog (endise nimega Graylog2) on täisintegreeritud avatud lähtekoodiga tasuta tarkvara platvorm kogumaks, indekseerimaks ja analüüsimaks nii struktureeritud kui ka struktureerimata andmeid peaaegu igast algallikast. Graylog-i jagatakse GNU GPLv3 litsentsiga.<br />
Graylog kasutab teiste autorite poolt loodud MongoDB metaandmete jaoks ning Elasticsearchi logifailide säilitamisteks ning tekstidest otsimisteks. <br />
Graylogi funktsioonid: <br />
* Sisendid paindlikuks logide püüdmiseks – Paindlikud sisenditüübid võimaldavad erinevaid logitüüpe püüda kaasaarvatud syslogi ning avateksti. Graylog kasutab ka GELF formaati, mis on Graylogi enda logide formaat, mis võimaldab teateid enne saatmist eelnevalt struktureerida. <br />
* Vood ja mustad nimekirjad intelligentseks töötluseks ja õigusteks – Vood rakendavad reegleid leidmaks spetsiifilisi sõnumi tingimusi või jagama andmeid riistvara või tarkvara tüübi põhjal, rakenduse pinu, asukoha või mõne muu tingimuse järgi, mis teeb otsimise lihtsaks. Vood lubavad piirata ligipääsu kasutajagruppidele. <br />
* REST rakendusliides ja väljundi marsruutimine andmete jaotamiseks – Sama REST rakendusliidest, mida kasutatakse Graylogi veebiliideses saab kasutada ka loomaks enda monitooringu-, raporteerimis- või automatiseeritud süsteemi Graylogis. <br />
* Ekstraktorid parsimaks struktureerimata andmed struktureeritud andmeteks – Võimaldab parsida struktureerimata andmed struktureerituks. Kui ei leita sobivat süntaksianalüsaatorit, siis võib ise luua ning jagada Graylogi kommuuniga. Nii täiendatakse süntaksianalüsaatorite nimekirja pidevalt. <br />
* Graylogi koondpaneelid ja teated – Iga analüüsi või otsingutulemuse saab vidinatena koondpaneelile lisada. Koondpaneelidele saab ise valida, mida näha soovitakse ning kus andmeid pidevalt uuendatakse. Teated on seadistatavad. Nii saab ise määrata, mil moel kasutajat teavitatakse erinevat tüüpi teadetega. <br />
* Graylog on valmis kasutatamaks ettevõtetes – Graylog pakub kataloogipöörduse kergprotokolli integratsiooni, kasutajate õiguste haldust, kogu kommunikatsioon käib läbi REST rakendusliidese ning andmeid saab välja otsida ja muuta ainult autentitud kasutajate poolt. Lisaks veel Elasticsearch on isoleeritud Graylogist, et lubada võrgupõhist pääsu reguleerimist. <br />
<br />
Turbehalduse poole pealt Graylog võimaldab automaatset logide kogumist, koondamist ning normaliseerimist üle terve taristu. Graylog aitab säilitada andmeid logidest, et olla kooskõlas tänapäeva valitsusregulatsioonidega. <br />
<br />
<br><br />
Antud hetkel sai tehtud valik ELK kasuks litsentside põhjal. Lisaks veel Graylog toimib ainult Linuxites. Teoorias peaks töötama ka linuxi virtuaalmasinas windowsi hostil. Kuna paljudes ettevõtetes kasutatakse just Windows-i tööjaamu, siis antud laborite jaoks kasutatakse ELK.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_loeng&diff=89691Visualiseerimine loeng2015-06-09T16:30:06Z<p>Rjuhanni: Created page with "== Sissejuhatus == Antud materjal on loodud täiendamaks kursust „Sissetungi tuvastuse süsteemid“. Hetkel on sissetungi tuvastuse süsteemides olemas materjalid sissetungit…"</p>
<hr />
<div>== Sissejuhatus ==<br />
<br />
Antud materjal on loodud täiendamaks kursust „Sissetungi tuvastuse süsteemid“. Hetkel on sissetungi tuvastuse süsteemides olemas materjalid sissetungituvastuse jaoks, kuid kõik teated jäävad logidesse. Arvestades tänapäeva taristute suurusi, siis administraatorid ning teised IT spetsialistid ei suuda logisid vaadates kindlaks teha, millal korraldatakse rünnet nende taristu pihta. Graafilise visualiseeringuga on koheselt näha, millal on tavapärasest rohkem tegevust. <br />
<br />
Eelnevalt peab olema läbi töötatud: https://wiki.itcollege.ee/index.php/Sissetungi_tuvastuse_systeemid ning peab tundma Linuxi käsurida ning arvutivõrkudest. Lisaks omama ka baasteadmisi rünnetest.<br />
<br />
<br />
<br />
<br />
== Mida annab visualiseerimine? ==<br />
<br />
Visualiseerimine võimaldab administraatorite ning teiste IT spetsialistide elu lihtsamaks muuta. Kuidas täpsemalt? Väga lihtsalt, kui on kasutatud visualiseerimisi, siis kõik logiteated tulevad koondpaneeli erinevate graafikute ning diagrammidena. Graafikute pealt on lihtne näha, millal on tavapärasest rohkem teateid ning vastavalt sellele saab vastumeetmeid kasutada. Graafikute pealt saab lähemalt uurida ka logiteateid. Nii hoiab ka aega kokku, mis kulub õigete logiteadete leidmiseks. Sellega vähendatakse reageerimisaega ning muudetakse töö efektiivsemaks.<br />
<br />
<br />
== Milliseid erinevaid visualiseeringuid on olemas? ==<br />
<br />
*Graafikud- Graafik on arvsuuruste vahelise sõltuvuse visuaalne esitamise viis. <br><br />
*Kihtdiagrammid – Kihtdiagrammid rõhuvad aja jooksul toimunud muudatuste suurusjärku ning neid saab kasutada juhtimaks tähelepanu kogusummade trendile. <br><br />
*Tulpdiagrammid – Tulpdiagrammid sobivad mingi perioodi jooksul andmetes toimunud muudatuse näitamiseks või üksuste võrdluse illustreerimiseks.<br> <br />
*Geograafilised kaartid – Geograafilised kaardid võimaldavad jälgida, kust tuleb liiklus. <br><br />
*Joondiagrammid – Joondiagrammidel kuvatakse ajaliselt järjestikused andmed ühisel skaalal, seega sobivad need hästi andmete trendi näitamiseks võrdsete ajavahemike tagant. <br><br />
*Sektordiagramm – Sektordiagrammidel kuvatakse ühe andmesarja elementide maht kõigi elementide kogusumma suhtes. Sektordiagrammidel kuvatakse andmepunktid protsentidena tervikust. <br><br />
*Lintdiagrammid – Lintdiagrammid sobivad üksikute elementide võrdluste illustreerimiseks.<br><br />
<br />
<br />
== Logide visualiseerimise tarkvarad: ==<br />
<br />
=== ELK – Elasticsearch, Logstash, Kibana ===<br />
Hetkel üks turu võimekamaid tooteid ning on ka tasuta avatud lähtekoodiga. Kõik see muudab ELK lahenduse väga heaks lahenduseks antud töös. Me kasutamegi ELK lahendust, sest seda on lihtne paigaldada, vaadete tegemine on lihtne ning on mugav õppurile. <br />
Elasticsearch on andmebaas, kuhu salvestatakse kõik teated ning kust tehakse päringuid. Logstash on logide normaliseerija, et logid oleksid loetavad ka inimsilmale. Kibana on visualiseerimistarkvara. <br />
Kibana võimaldab teha eraldiseisvaid visualiseerimisi ning ka ühendada erinevad visualiseeringud üheks koonpaneeliks. <br />
Kibana pakub ka visualiseerimise redaktorit, mis lubab kasutajatel konfigureerida ning muuta visualiseerimist. Visualiseerimise redaktoril on kolm elementi: tööriistariba, aggregatsiooni ehitaja ning eelvaate lõuend. <br />
Tööriistaribal on otsinguväli interaktiivseteks andmete otsinguteks ning ka komponendid, millega hallata visualiseeringute salvestamisi ning laadimisi. Komponentide hulka kuuluvad nupud loomaks uut visualiseeringut, salvestamaks olemasolevat visualiseeringut, jagada või manustada visualiseeringut ja värskendada andmeid visualiseeringus. <br />
Aggregatsiooni ehitajat saab kasutada, et seadistada mõõdustikku ja kimpu, mida kasutatakse aggregatsiooniks. Kimbud on analoogsed SQL „GROUP BY“ lausele. Mõõdustikke kasutatakse tulp- ja joondiagrammides x-telgedel ning kimpe y-telgedel. Rõngasdiagrammidel mõõdustik on sektorite suurus ning kimp sektorite arv. Mõõdustikel saab kasutada aggregatsioone nagu loenda, minimaalne, maksimaalne, keskmine, summa ning kardinaalsust. Tavalised kimpude aggregatsioonid hõlmavad kuupäeva ajadiagrammi, vahemikku, tingimusi ning filtreid. Lisaks on võimalik määrata, mis järjekorras kimpe täidetakse. <br />
Eelvaate lõuend pakub võimalust vaadata, milline näeb aggregatsiooni ehitajaga tehtud visualiseering välja.<br />
<br />
<br />
=== Alienvault OSSIM ===<br />
OSSIM pakub kõiki vahendeid, mida turbeeksperdid vajavad SIEM-ilt (Security Information and Event Management) sündmuste kogumiseks, normaliseerimiseks ja korreleerimiseks. OSSIM on avatud lähtekoodiga tasuta tarkvara, mida levitatakse GNU GPL v3 litsentsi all ning millel on kogukond, kes jagavad ohtude teavet. Lisaks veel OSSIM-il on limiteeritud logide kogumine ning logide säilitamine SIEM sündmustele (See on selleks, et rohkem kliente kasutaks AlienVaulti Unified Security Management-i, mis on kommertstoode). OSSIM pakub kolme kõrgtasemelist raporteerimismalli mille tarkvara saab rakendada ühe serveriga lahendustele. Lisaks ühe serveri lahendustele saab OSSIM-is olla ainult üks kasutaja, kellel on lubatud muudatusi läbi viia. <br />
Lisaks pakub OSSIM ainult individuaalset komponentide haldamist. Kuna OSSIM on vabavaraline tarkvara, siis on tagatud ainult kommuunipoolne tugi. <br />
Kuid milliseid baasoperatsioone OSSIM pakub? OSSIMi baasoperatsioonide juurde kuuluvad: <br />
* Väliste sündmuste vastuvõtt <br />
* Rakendused, mis tulid AlienVault-iga väljastavad teateid sündmustest <br />
* Sündmused kogutakse kokku ning normaliseeritakse enne kesksesse serverisse saatmist <br />
* AlienVaulti server teeb riski kaalutlemist, korrelatsiooni ning talletab sündmused SQL andmebaasi <br />
* Veebiliides pakub raporteerimissüsteemi, mõõdustikku, raportite koondpaneeli, piletite süsteemi, haldussüsteemi ja reaalajas võrguinformatsiooni. <br />
<br />
OSSIM-i korrelatsioon on üks põhi erisustest, mis defineerib OSSIM-i kui intelligentse turbesündmuste haldusplatvormina ning eristab seda teistest ründetuvastuse süsteemidest. <br />
<br />
See aitab vähendada väärtuvastusi muutes mitmete sündmuste sisendid ning teated rohkem usaldusväärsemaks väljundiks, et oleks hallatav arv sündmusi, millele on vaja tähelepanu pöörata. Teiseks OSSIMi põhi erisuseks on korrelatsioonide direktiivid. OSSIM tuleb 200 korrelatsiooni direktiiviga, mis on kirjutatud XMLil baseeruval süntaksil. Direktiivide põhieesmärk on analüüsida mitmeid sündmusi ning otsustada, kas väljastada hoiatus vastavalt direktiivi reeglitele. See erisus suudab ära hoida nullpäevaründeid või tundmatuid nõrkusi, sest väljastab teateid vastavalt reeglitele, mitte ei kontrolli sündmust tuntud nõrkuste nimekirjast.<br />
<br />
OSSIM on päris mahukas tarkvara, mis sisaldab peale vajaminevate visualiseerimiste ka muud tarkvara. Ressursside kokkuhoiu mõttes ei valitud OSSIM-it antud laborites kasutamiseks. Kui kellelgi on huvi, siis võib ise installeerida virtuaalmasinasse ning proovida samu laboreid teha. <br />
<br />
<br />
=== Security Onion ===<br />
Security onion on Linuxi distro, mis on mõeldud sissetungi tuvastuseks, võrgu turvalisuse monitooringuks ning logide haldamiseks. Security onion baseerub Ubuntul ning sisaldab snorti, suricatat, brod, OSSEC, sguil, squert, snorby, ELSA, xplico, networkminer ja palju teisi turvalisusega seotud tööriistu. <br />
Security Onion-i ühendab kolm põhikomponenti: täispaketi püüdmine, võrgupõhised ja hostipõhised sissetungituvastussüsteemid ja võimekas analüüsi tööriist. <br />
Täispaketi püüdmine saavutatakse netsniff-ng-ga. Netsniff-ng püüab kinni kogu liikluse, mida security onioni sensorid näevad ning talletab niipalju, kui andmesalvestid suudavad mahutada (Security onion-il on sisseehitatud mehhanism, mis kustutab jäädavalt vanad andmed enne kui ketaste vaba ruum otsa saab). Täispaketi püük on nagu videokaamera võrgu jaoks, kuid parem, sest lisaks sellele, et näidata, kes tuli ja läks, suudab ta täpsustada kuhu keegi läks ning mida nad võtsid kaasa või tõid juurde (e-kirjade õngitsemine jne). <br />
Võrgupõhised ja hostipõhised sissetungituvastussüsteemid analüüsivad võrguliiklust või host süsteeme korduvalt ning tagavad logide ja teadete andmed kustutatud sündmustele ja tegevustele. Võrgupõhised sissetungituvastussüsteemid pakuvad reeglitega määratud sissetungituvastust, kus Security Onion laseb valida Snorti või Suricata reeglite vahel. Reeglitega määratud sissetungituvastuse süsteemid analüüsivad võrguliiklust ning üritavad tuvastada pahatahtlikku liiklust või anomaaliaid. Teise võimalusena pakuvad võrgupõhised sissetungituvastusesüsteemid analüüsiga juhitud sissetungiavastust. Analüüsiga juhitud sissetungiavastuse poolest pakub Security Onion Bro võrgu turvalisuse monitooringut, mida tuntakse ka Bro IDS nime all. Bro monitoorib võrguliiklust ning logib kõiki ühendusi, DNS päringuid, avastatud võrguteenuseid ning tarkvara, SSL sertifikaate, HTTP, FTP, IRC, SMTP, SSH, SSL ning syslog-i tegevusi, mida näeb. Seeläbi pakkudes põhjalikku infot, mis võrgus toimub. Veel pakub Bro analüsaatoreid mitmetele enamlevinud protokollidele ning vaikimisi võimalust teha MD5 kontrollsumma kõikidele HTTPs allalaetud failidele kontrollimaks neid Cymru pahavara räsifunktsiooni projekti registritest. Hostipõhised sissetungituvastussüsteemid pakuvad OSSECit. OSSEC teeb logide analüüsi, failide terviklikkuse kontrolli, poliitikate monitooringut, juurkrattide avastamist, reaalajas teateid ning aktiivset vastust. Täispaketi püüdmisega, IDS logidega ning Bro andmetega on hirmuäratavalt palju andmeid vaja analüüsida. Õnneks on vajalikud tööriistad integreeritud security onionisse. <br />
<br />
*Esimeseks tööriistaks on sguil. Sguil pakub üksikut graafilist kasutajaliidest, millega uurida snorti või suricata logisid, OSSEC alerte, Bro HTTP sündmusi ja passiivset reaalajas vara avastamise süsteemi PRADS (Passive Real-Time Asset Detection System) alerte. Squil lubab kasutajatel otse alerdi juurest avada paketi püüdur ning vaadada teavet sessiooni kohta, mis tekitas alerdi. Selle asemel, et üksiku teate peale pead murda, saab nii kohe näha kogu liiklust, mis selle alerdi genereeris. Lisaks veel squil lubab teha päringuid kõikidest pakettidest, mis püütud. Nii saab korreleerida liiklust, mis pole veel teateid tekitanud, kuid võib sisaldada midagi kahtlast. Squil pakub ka võimalust teha teadetega seotud IP aadresside pöördlahendust. <br />
<br />
*Teiseks tööriistaks on squert. Squert on veebiliides sguil andmebaasile. Squert pole mõeldud reaalajas liideseks ega squili asenduseks. Squert pakub lihtsalt võimalust mugavalt teha päringuid squil-i andmebaasist ning pakub mitmeid visualiseerimislahendusi päringutulemustele. <br />
<br />
*Kolmandaks tööriistaks on snorby. Snorby on veebirakenduse liides, mis võimaldab vaadata, otsida ning klassifitseerida snordi ja suricata alerte ning genereerida erinevaid tüüpe raporteid. CapME! pistikmoodul võimaldab uurida lähemalt sessiooni kohta, mis alerte tekitas. Sarnane nagu sguil-il.<br />
<br />
*Neljandaks analüüsi tööriistaks on ELSA. ELSA pakub täis asünkroonset veebipõhist päringute liidest, mis normaliseerib logisid ning muudab miljardidest logidest juhuslike sõnade otsimise sama lihtsaks ja kiireks kui veebist otsimise. ELSA pakub ka tööriista, millega saab määrata õiguseid logide vaatamistele. ELSA kasutab visualiseerimiseks google visualiseerimise rakendusliidest. <br />
<br />
Security Onioni miinus on samas, mis OSSIM-il. See on väga mahukas ning ressursside kokkuhoidmise eesmärgil me antud laborisüsteemis ei kasuta seda. Kui õppuritel on soov ise virtuaalmasinas proovida, siis soovitan.<br />
<br />
<br />
=== Graylog ===<br />
Graylog (endise nimega Graylog2) on täisintegreeritud avatud lähtekoodiga tasuta tarkvara platvorm kogumaks, indekseerimaks ja analüüsimaks nii struktureeritud kui ka struktureerimata andmeid peaaegu igast algallikast. Graylog-i jagatakse GNU GPLv3 litsentsiga.<br />
Graylog kasutab teiste autorite poolt loodud MongoDB metaandmete jaoks ning Elasticsearchi logifailide säilitamisteks ning tekstidest otsimisteks. <br />
Graylogi funktsioonid: <br />
* Sisendid paindlikuks logide püüdmiseks – Paindlikud sisenditüübid võimaldavad erinevaid logitüüpe püüda kaasaarvatud syslogi ning avateksti. Graylog kasutab ka GELF formaati, mis on Graylogi enda logide formaat, mis võimaldab teateid enne saatmist eelnevalt struktureerida. <br />
* Vood ja mustad nimekirjad intelligentseks töötluseks ja õigusteks – Vood rakendavad reegleid leidmaks spetsiifilisi sõnumi tingimusi või jagama andmeid riistvara või tarkvara tüübi põhjal, rakenduse pinu, asukoha või mõne muu tingimuse järgi, mis teeb otsimise lihtsaks. Vood lubavad piirata ligipääsu kasutajagruppidele. <br />
* REST rakendusliides ja väljundi marsruutimine andmete jaotamiseks – Sama REST rakendusliidest, mida kasutatakse Graylogi veebiliideses saab kasutada ka loomaks enda monitooringu-, raporteerimis- või automatiseeritud süsteemi Graylogis. <br />
* Ekstraktorid parsimaks struktureerimata andmed struktureeritud andmeteks – Võimaldab parsida struktureerimata andmed struktureerituks. Kui ei leita sobivat süntaksianalüsaatorit, siis võib ise luua ning jagada Graylogi kommuuniga. Nii täiendatakse süntaksianalüsaatorite nimekirja pidevalt. <br />
* Graylogi koondpaneelid ja teated – Iga analüüsi või otsingutulemuse saab vidinatena koondpaneelile lisada. Koondpaneelidele saab ise valida, mida näha soovitakse ning kus andmeid pidevalt uuendatakse. Teated on seadistatavad. Nii saab ise määrata, mil moel kasutajat teavitatakse erinevat tüüpi teadetega. <br />
* Graylog on valmis kasutatamaks ettevõtetes – Graylog pakub kataloogipöörduse kergprotokolli integratsiooni, kasutajate õiguste haldust, kogu kommunikatsioon käib läbi REST rakendusliidese ning andmeid saab välja otsida ja muuta ainult autentitud kasutajate poolt. Lisaks veel Elasticsearch on isoleeritud Graylogist, et lubada võrgupõhist pääsu reguleerimist. <br />
<br />
Turbehalduse poole pealt Graylog võimaldab automaatset logide kogumist, koondamist ning normaliseerimist üle terve taristu. Graylog aitab säilitada andmeid logidest, et olla kooskõlas tänapäeva valitsusregulatsioonidega. <br />
<br />
<br><br />
Antud hetkel sai tehtud valik ELK kasuks litsentside põhjal. Lisaks veel Graylog toimib ainult Linuxites. Teoorias peaks töötama ka linuxi virtuaalmasinas windowsi hostil. Kuna paljudes ettevõtetes kasutatakse just Windows-i tööjaamu, siis antud laborite jaoks kasutatakse ELK.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_paigaldusjuhend&diff=89604Visualiseerimine - paigaldusjuhend2015-06-02T06:59:25Z<p>Rjuhanni: </p>
<hr />
<div>== Labori keskkonna paigaldusjuhend ==<br />
Labori keskkonnas on kasutusel viis virtuaalmasinat, millest kolmele saab õppur ligi. <br />
*Klient - Masin, mida kasutatakse graafilise liidese, veebibrauseri ja SSH ühenduste jaoks. Selles masinas saab vaadata juhendeid, graafikuid ning üle SSH kontrollida teisi masinaid. <br><br />
*Veebiserver - Masin, kus on teenused. Sinna masinasse tuleb liiklust. <br><br />
*IDS - Masin, kuhu kogutakse veebiserveri logid ning paigaldatakse visualiseerimiseks vajalikud tarkvarad. <br><br />
*Liiklust genereeriv server - Genereerib tavapärast liiklust veebiserverisse. Õppur ligi ei saa. <br><br />
*Liiklust genereeriv server - Genereerib "halba liiklust" ehk küberründeid. Õppur ligi ei saa <br><br />
<br />
<br />
== Klient ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 1024 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides teistesse masinatesse SSH-ga ühendamiseks. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit Desktop. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.100<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== Veebiserver ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 512 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides sisevõrgu ühenduste jaoks. <br><br />
Võrguliides 3: "Internal network" tüüpi liides. Võtab vastu liiklust, mida tekitavad kaks serverit. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.200<br><br />
eth2: Staatiline sisevõrgu IP. Antud labori juhendi järgi 10.10.10.10<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
Apache veebiserver <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== IDS ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 512 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides sisevõrgu ühenduste jaoks. <br><br />
Võrguliides 3: "Internal network" tüüpi liides. Võtab vastu liiklust, mida tekitavad kaks serverit. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.201<br><br />
eth2: Staatiline sisevõrgu IP. Antud labori juhendi järgi 10.10.10.1<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== Liiklust genereerivad serverid ==<br />
Liikluse genereerimiseks kasutavad botte. <br />
Serverite IP koostatakse tudengite kasutajanimedest Hash-to-IP abil.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_hindamisjuhend&diff=89596Visualiseerimine - hindamisjuhend2015-06-01T11:44:15Z<p>Rjuhanni: </p>
<hr />
<div>== Laborid ==<br />
'''LABOR 1'''<br />
*Õppur suudab paigaldada Logstash-i ja Elasticsearch-i ning need ära seadistada. (1 punkt)<br />
*Õppur suudab koguda logisid ning suunata need andmebaasi. (1 punkt)<br />
<br />
'''LABOR 2'''<br />
*Kibana paigaldamine ning seadmistamine. (1 punkt)<br />
*Õppuri poolt loodav koondpaneel, mis sisaldab vähemalt kolme erinevat visualiseeringut. (1 punkt)<br />
<br />
<br />
<br />
== Kursuse läbimine ==<br />
Laboritega on võimalik saada kuni neli punkti. Selleks, et lugeda e-õppematerjal omandatuks peab õppur saama vähemalt kolm punkti. Võimalik teenida lisapunkte, kui teha eriti huvitav koondpaneel ning näidata seda kursuse läbiviijale.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_paigaldusjuhend&diff=89411Visualiseerimine - paigaldusjuhend2015-05-28T14:14:24Z<p>Rjuhanni: </p>
<hr />
<div>== Labori keskkonna paigaldusjuhend ==<br />
Labori keskkonnas on kasutusel viis virtuaalmasinat, millest kolmele saab õppur ligi. <br />
*Klient - Masin, mida kasutatakse graafilise liidese, veebibrauseri ja SSH ühenduste jaoks. Selles masinas saab vaadata juhendeid, graafikuid ning üle SSH kontrollida teisi masinaid. <br><br />
*Veebiserver - Masin, kus on teenused. Sinna masinasse tuleb liiklust. <br><br />
*IDS - Masin, kuhu kogutakse veebiserveri logid ning paigaldatakse visualiseerimiseks vajalikud tarkvarad. <br><br />
*Liiklust genereeriv server - Genereerib tavapärast liiklust veebiserverisse. Õppur ligi ei saa. <br><br />
*Liiklust genereeriv server - Genereerib "halba liiklust" ehk küberründeid. Õppur ligi ei saa <br><br />
<br />
<br />
== Klient ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 512 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides teistesse masinatesse SSH-ga ühendamiseks. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit Desktop. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.100<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== Veebiserver ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 512 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides sisevõrgu ühenduste jaoks. <br><br />
Võrguliides 3: "Internal network" tüüpi liides. Võtab vastu liiklust, mida tekitavad kaks serverit. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.200<br><br />
eth2: Staatiline sisevõrgu IP. Antud labori juhendi järgi 10.10.10.10<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
Apache veebiserver <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== IDS ==<br />
Virtualboxi konfiguratsioon: <br><br />
Min 1 protsessor <br><br />
Min 1024 MB operatiivmälu <br><br />
Võrguliides 1: NAT tüüpi liides internetiühenduse jaoks. <br><br />
Võrguliides 2: "Internal network" tüüpi liides sisevõrgu ühenduste jaoks. <br><br />
Võrguliides 3: "Internal network" tüüpi liides. Võtab vastu liiklust, mida tekitavad kaks serverit. <br><br />
'''Operatsioonisüsteem:'''<br><br />
Labori juhendites on kasutusel Ubuntu Linux 14.04.2 LTS 64 bit. <br><br />
Kui kasutada Virtualbox-i võrguliideseid samas järjekorras, siis liideste nimed peaksid olema: <br><br />
eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress. <br><br />
eth1: Staatiline sisevõrgu IP. Antud labori juhendi järgi 192.168.56.201<br><br />
eth2: Staatiline sisevõrgu IP. Antud labori juhendi järgi 10.10.10.1<br><br />
'''Tarkvara:'''<br><br />
Tarkvara, mida ei paigaldata laborite käigus, kuid võiks eelnevalt olemas olla: <br><br />
vim <br><br />
OpenSSH<br><br />
<br />
<br />
== Liiklust genereerivad serverid ==<br />
Liikluse genereerimiseks kasutavad botte. <br />
Serverite IP koostatakse tudengite kasutajanimedest Hash-to-IP abil.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_opijuhis&diff=89410Visualiseerimine - opijuhis2015-05-28T13:25:07Z<p>Rjuhanni: </p>
<hr />
<div>== Kursuse ülesehitus ==<br />
Kursuse avalehel on lingid loengule, praktikumidele, hindamisjuhendile, paigaldusjuhendile ning õpijuhis (kus hetkel viibite).<br />
<br />
Esmalt tuleks läbi töötada loengumaterjal. Kui loengumaterjal on läbi töötatud, siis saab hakata tegelema praktiliste ülesannetega. <br />
<br />
Eesti Infotehnoloogia Kolledži tudengid saavad praktikume teha [https://elab.itcollege.ee/users/sign_in kaugtöölaborite keskkonnas]. <br />
<br />
Kursuse maht selgub täpsemalt piloteerimisel. <br />
<br />
<br />
<br />
== Kursuse moodulid: ==<br />
'''Loeng:''' <br><br />
*Loengus võetakse läbi, mis on visualiseerimine, miks on see vajalik, mida see annab jne. <br><br />
<br />
'''Laborid:''' <br><br />
*Esimeses laboris tuleb paigaldada Logstash ning Elasticsearch. Kui vajalikud tarkvarad on paigalgatud, siis tuleb koguda logisid ning suunata need andmebaasi. <br><br />
*Teises laboris tuleb paigaldada Kibana ning visualiseerida esimeses laboris kogutud logisid. Laborid on seotud seega ei saa teha teist laborit enne esimese lõpetamist.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_opijuhis&diff=89409Visualiseerimine - opijuhis2015-05-28T13:24:30Z<p>Rjuhanni: </p>
<hr />
<div>== Kursuse ülesehitus ==<br />
Kursuse avalehel on lingid loengule, praktikumidele, hindamisjuhendile, paigaldusjuhendile ning õpijuhis (kus hetkel viibite).<br />
<br />
Esmalt tuleks läbi töötada loengumaterjal. Kui loengumaterjal on läbi töötatud, siis saab hakata tegelema praktiliste ülesannetega. <br />
<br />
Eesti Infotehnoloogia Kolledži tudengid saavad praktikume teha [https://elab.itcollege.ee/users/sign_in kaugtöölaborite keskkonnas]. <br />
<br />
Kursuse maht selgub täpsemalt piloteerimisel. <br />
<br />
<br />
Kursuse moodulid: <br><br />
'''Loeng:''' <br><br />
*Loengus võetakse läbi, mis on visualiseerimine, miks on see vajalik, mida see annab jne. <br><br />
<br />
'''Laborid:''' <br><br />
*Esimeses laboris tuleb paigaldada Logstash ning Elasticsearch. Kui vajalikud tarkvarad on paigalgatud, siis tuleb koguda logisid ning suunata need andmebaasi. <br><br />
*Teises laboris tuleb paigaldada Kibana ning visualiseerida esimeses laboris kogutud logisid. Laborid on seotud seega ei saa teha teist laborit enne esimese lõpetamist.</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89400Visualiseerimise materjalid2015-05-28T08:03:11Z<p>Rjuhanni: /* Praktilised ülesanded */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhend: [[Visualiseerimine - paigaldusjuhend]]<br><br />
Hindamisjuhend: [[Visualiseerimine - hindamisjuhend]]<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
[[Visualiseerimine - Labor 1]] <br><br />
[[Visualiseerimine - Labor 2]]</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_2&diff=89399Visualiseerimine - Labor 22015-05-28T08:02:36Z<p>Rjuhanni: Created page with "Tuleb peagi"</p>
<hr />
<div>Tuleb peagi</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_Labor_1&diff=89398Visualiseerimine - Labor 12015-05-28T08:02:21Z<p>Rjuhanni: Created page with "Tuleb peagi"</p>
<hr />
<div>Tuleb peagi</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89397Visualiseerimise materjalid2015-05-28T07:52:35Z<p>Rjuhanni: /* Juhendid */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhend: [[Visualiseerimine - paigaldusjuhend]]<br><br />
Hindamisjuhend: [[Visualiseerimine - hindamisjuhend]]<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_hindamisjuhend&diff=89396Visualiseerimine - hindamisjuhend2015-05-28T07:52:10Z<p>Rjuhanni: Created page with "Tuleb peagi"</p>
<hr />
<div>Tuleb peagi</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89395Visualiseerimise materjalid2015-05-28T07:45:18Z<p>Rjuhanni: /* Juhendid */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhend: [[Visualiseerimine - paigaldusjuhend]]<br><br />
Hindamine:<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_paigaldusjuhend&diff=89394Visualiseerimine - paigaldusjuhend2015-05-28T07:44:50Z<p>Rjuhanni: Created page with "Tuleb peagi"</p>
<hr />
<div>Tuleb peagi</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89393Visualiseerimise materjalid2015-05-28T07:38:50Z<p>Rjuhanni: /* Juhendid */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[Visualiseerimine - opijuhis]]<br><br />
Paigaldusjuhendid: <br><br />
Hindamine:<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89392Visualiseerimise materjalid2015-05-28T07:36:22Z<p>Rjuhanni: /* Juhendid */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: [[visualiseerimine_-_opijuhis]]<br><br />
Paigaldusjuhendid: <br><br />
Hindamine:<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimine_-_opijuhis&diff=89391Visualiseerimine - opijuhis2015-05-28T07:35:28Z<p>Rjuhanni: Created page with "Tuleb peagi"</p>
<hr />
<div>Tuleb peagi</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89390Visualiseerimise materjalid2015-05-28T07:28:50Z<p>Rjuhanni: </p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: <br><br />
Paigaldusjuhendid: <br><br />
Hindamine: <br />
<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89389Visualiseerimise materjalid2015-05-28T07:16:57Z<p>Rjuhanni: /* Eesmärk ja sisu */</p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: <br><br />
Paigaldusjuhendid: <br><br />
Hindamine: <br />
<br />
<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Küberturbe tehnoloogiate eriala tudengitel aitab konkreetne materjal luua seoseid "Võrgu sissetungi avastamise/kaitsmise süsteemide" ning "Logimine ja seire" vahel. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist.<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=89388Visualiseerimise materjalid2015-05-28T07:14:17Z<p>Rjuhanni: </p>
<hr />
<div>== Üldinfo ==<br />
'''Antud kursus on valmimise staadiumis, seega info muutub pidevalt.<br />
''' <br><br />
Hindamisviis: Arvestus<br />
<br />
<br />
<br />
== Eeldused ==<br />
Antud materjalide läbijal peaksid olema teadmised järgmistest valdkondadest: Linux, arvutivõrgud ning ründed. <br><br />
<br />
Eelteadmiste omamiseks peaksid Eesti Infotehnoloogia Kolledži tudengid eelnevalt läbima järgevaid ained: <br><br />
'''IT süsteemide administreerimise erialal:''' <br><br />
I233 "Operatsioonisüsteemide administreerimine ja sidumine" <br><br />
I249 "Side alused" <br><br />
ning võtma ainet I385 "IT infrastruktuuri teenused" <br><br><br />
<br />
'''Küberturbe tehnoloogiate erialal:''' <br><br />
"Operatsioonisüsteemid" <br><br />
"Võrgu põhitõed" <br><br />
"IT infrastruktuuri teenused"<br />
<br />
<br />
== Juhendid ==<br />
Õpijuhis: <br><br />
Paigaldusjuhendid: <br><br />
Hindamine: <br />
<br />
<br />
<br />
== Õppejõud ==<br />
-<br />
<br />
<br />
<br />
== Eesmärk ja sisu ==<br />
Õpetada ründetuvastuse logisid visualiseerima. Anda oskused visualiseerimislahenduste paigaldamiseks ning haldamiseks. Kursuses on nii teoreerilst materjali kui ka praktilisi laboreid. Praktilistes laborites õppurid paigaldavad visualiseerimislahenduse ning teostavad logide kogumist ning visualiseerimist. <br />
<br />
<br />
<br />
== Praktilised ülesanded ==<br />
Visualiseerimine - Labor 1 <br><br />
Visualiseerimine - Labor 2</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Visualiseerimise_materjalid&diff=88484Visualiseerimise materjalid2015-05-13T21:04:51Z<p>Rjuhanni: Created page with "Peagi tuleb Rene Juhanni"</p>
<hr />
<div>Peagi tuleb<br />
<br />
Rene Juhanni</div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Suricata&diff=83927Suricata2014-12-11T10:00:39Z<p>Rjuhanni: </p>
<hr />
<div>Autorid: Martin Leppik ja Randel Raidmets<br />
<br />
Reeglite sisselükkamise osa, uue reegli tegemine: Rene Juhanni<br />
<br />
Rühm: A31<br />
<br />
Kuupäev: 12.12.2013<br />
<br />
= Eesmärk =<br />
<br />
Linuxi administreerimise aine raames paigaldada vastavale Ubuntu serverile sissetungimise avastamise süsteem nimega Suricata. Pärast paigaldust konfigureerida peamised sätted ja reeglid ning viimasena testida süsteemi toimimist.<br />
<br />
= Eeldused =<br />
<br />
*Baasteadmised Linuxist.<br />
*Oskus hakkama saada käsureaga.<br />
*Algteadmised võrgundusest (Cisco CCNA1).<br />
<br />
= Mis on Suricata? =<br />
<br />
Suricata on suure jõudlusega võrgu sissetungimise, ennetamise ja turvalisuse monitoorimise mootor. See on avatud lähtekoodiga ja omanikuks on kommuun, mida juhib mittetulunduslik sihtasutus "the Open Information Security Foundation" ehk OISF. <ref>Suricata kirjeldus, http://suricata-ids.org/</ref> Suricata mootor pole ainult mõeldud selleks, et vahetada välja või emuleerida olemasolevaid tööriistu, vaid tuua uusi ideid ja tehnoloogiaid maastikule. Suricata mootor ja HTP teek on saadaval GPLv2 alusel. <ref>Suricata tutvustus OISF-i kodulehel, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/What_is_Suricata</ref><br />
<br />
== Suricata eelised Snordi ees <ref> Miks kasutada Suricatat?,https://alienvault.bloomfire.com/posts/525383-when-should-i-use-suricata/public</ref> ==<br />
<br />
Suricata on alternatiivne variant Snordile, mille reeglid ühilduvad ka Suricataga, mille tõttu võib väikse vaevaga Snordi Suricata vastu välja vahetada. <br />
<br />
Mõned Suricata eelised:<br />
*Suurem jõudlus (Suricata kasutab mitmelõimelist, kuid Snort ühelõimelilt töötlemist)<br />
*Parem liikluse nähtavus (Suricatal on nähtavus rakenduskihis (OSI 7. kiht), mis suurendab pahatahtliku sisu avastamist)<br />
*Kiirem normaliseerimine ja parsimine HTTP voogude jaoks.<br />
*Automatiseeritud protokolli tuvastus (Vähendab valepositiivseid tulemusi ja avastamme protokolle, mis töötavad mittestandardsetel portidel)<br />
*Suricatat paigaldatakse ka komertstoodete sisse.<br />
*Ainus lahendus, mis töötab otse riistavara peal, mille tõttu on olemas ka spetsiaalseid riistavarilisi lahendusi Suricata jaoks.<br />
<br />
= Süsteemi üldkirjeldus =<br />
Suricatat on võimalik konfigureerida nii IDS-ks kui ka IPS-ks.<br />
<br />
*'''IDS ehk "Intrusion Detection System"'''<br />
<br />
IDS süsteemid jälgivad võrguliiklust ja käituvad vastavalt seadistatud reeglistikule. IDS jälgib paketi tasemel liiklust IDS süsteem on tavaliselt ühendatud "switchiga" ehk kommutaatoriga. Näiteks on võimalik defineerida, et ICMP pakketide liikumisest logitakse. Samuti on võimalik määrata, et logitakse näiteks SSH-ga valesti sisestatud kasutajanime ja parooli. <br />
<br />
*'''IPS ehk "Intrusion Prevention System"'''<br />
<br />
IPS süsteemid jälgivad võrku sissetulevat ja väljaminevat liiklust. Vastavalt konfigureeritud reeglistikule IPS süsteemid, kas lasevad paketid läbi või takistavad nende liikumist. IPS jälgib paketi tasemel liiklust. IPS süsteemid paigaldatakse tavaliselt, kas enne tulemüüri või peal tulemüüri sisevõrku.<br />
<br />
Suricata IPS'is kasutatavad tegevused ja nende järjekord:<ref>Suricata Action-order, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Action-order</ref><br />
<br />
*'''PASS(luba)''' kui Suricata leiab kirjeldatud lubatud reeglite hulgast signatuuri ja see vastab paketile, siis saadetakse antud pakett edasi.<br />
<br />
*'''DROP(eemalda/lõpeta)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile, siis antud pakett tühistatakse. Saatjale selle kohast infot ei saadeta, saatja saab TCP time-out teate. Samuti raporteeritakse paketi eemaldamisest.<br />
<br />
*'''REJECT(lükka tagasi)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile ja kasutusel on "reject" käsk, siis tühistatakse pakett. Nii saatja kui saaja saavad "reject" teate.<br />
<br />
*'''Alert(teavita)''' kui Suricata leiab kirjeldatud reeglite hulgast signatuuri, mis vastab antud paketile, siis genereeritakse teade ja liiklus lubatakse.<br />
<br />
== IDS/IPS esitus graafilisel kujul ==<br />
<br />
IPS kasutamise võimalused võrgu ehituses (Joonis 1. ja Joonis2):<br />
<br />
[[File:Diagram1.jpeg]]<br />
<br />
Joonis 1.<br />
<br />
[[File:Diagram2.jpeg]]<br />
<br />
Joonis 2.<br />
<br />
<br />
<br />
IDS kasutamise võimalused võrgu ehituses (Joonis3):<br />
<br />
[[File:Diagram3.jpeg]]<br />
<br />
Joonis 3.<br />
<br />
= Nõuded =<br />
<br />
Nii server kui ka klient töötavad meie lahenduse puhul Oracle'i [https://www.virtualbox.org/wiki/Downloads Virtualboxi] peal. <br />
<br />
Kasutame näidetes Ubuntu serverit ja Ubuntu klienti (sobiv klient valida ise - Ubuntu, Lubuntu, Xubuntu, Kubuntu).<br />
<br />
Toetatud on sellised Ubuntu 32bit ja 64bit versioonid <ref>Toetatud ubuntu versioonide nimekiri, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_-_Personal_Package_Archives_%28PPA%29</ref>:<br />
<br />
*10.04 Lucid<br />
*12.04 Precise<br />
*12.10 Quantal<br />
*13.04 Raring<br />
*13.10 Saucy <br />
<br />
Lisaks on soovitav kasutada "Guest Additione"-it.<br />
<br />
''' Ubuntu Server '''<br />
<br />
*RAM 512MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
*Liidese eth1 lisada staatiline ip aadress - 192.168.56.xxx<br />
*OpenSSH serveri olemasolu<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_server.ova serverit], mis on pärit IT infrastruktuuri teenuste ainest, mida muutsime (sellest lähemalt eelseadistuse osas).<br />
Kasutajanimi ja parool on student.<br />
<br />
''' Klient '''<br />
<br />
*RAM vastavalt graafilise keskkonna nõuetele. Soovitav 512 - 1024MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_klient.ova klienti]. Kasutajanimi ja parool on student.<br />
<br />
= Eelseadistus(kasutades eelpaigaldatud serverit) =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes.<br />
<br />
Juurkasutajale üleminek:<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
<br />
1.Muudame ära hostname'i nimeks "suricata".<br />
<source lang="bash"><br />
nano /etc/hostname<br />
</source><br />
<br />
2.Muudame liidese eth1 IP aadressi selliseks 192.168.56.201.<br />
<source lang="bash"><br />
nano /etc/network/interfaces<br />
</source><br />
<br />
Liidese eth1 näidis:<br />
<source lang="bash"><br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.56.201<br />
netmask 255.255.255.0<br />
</source><br />
<br />
3. Kirjeldame faili /etc/hosts sisu<br />
<source lang="bash"><br />
nano /etc/hosts<br />
</source><br />
<br />
Faili /etc/hosts faili näidis:<br />
<source lang="bash"><br />
127.0.0.1 localhost<br />
127.0.1.1 suricata.planet.zz suricata<br />
192.168.56.201 suricata.planet.zz suricata<br />
192.168.56.200 puppetmaster.planet.zz puppetmaster<br />
192.168.56.101 klient.planet.zz klient<br />
</source><br />
<br />
4. Uuendame ära tarkvara nimekirja info<br />
<source lang="bash"><br />
apt-get update<br />
</source><br />
<br />
5. Uuendame ära tarkvara<br />
<source lang="bash"><br />
apt-get upgrade<br />
</source><br />
<br />
= Paigaldus Ubuntu serveris (võimaldab kasutada nii IDS kui IPS funktsioone) <ref> Suricata paigaldus Ubuntus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT</ref> =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes. <br />
<br />
1. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<source lang="bash"><br />
apt-get install python-software-properties<br />
</source><br />
<br />
2. Viimase stabiilse Suricata versiooni jaoks käivita vastavad käsud:<br />
<source lang="bash"><br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
</source><br />
<br />
3. Järgmisena paigalda Suricata<br />
<source lang="bash"><br />
apt-get install suricata<br />
</source><br />
<br />
== Uuendamine ja eemaldamine ==<br />
<br />
1. Suricata uuendamiseks käsud<br />
<source lang="bash"><br />
apt-get update<br />
apt-get upgrade<br />
</source><br />
<br />
2. Eemaldamiseks käsk<br />
<source lang="bash"><br />
apt-get remove suricata<br />
</source><br />
<br />
= Esmane seadistamine =<br />
<br />
Need käsud käivita serveris juurkasutajaõigustes.<br />
<br />
1. Loome kausta Suricata logide jaoks.<br />
<source lang="bash"><br />
mkdir /var/log/suricata<br />
</source><br />
<br />
<br />
2. Avame Suricata konfiguratsiooni faili /etc/suricata/suricata.yaml<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
<br />
3. Kirjeldame, millised operatsioonisüsteemid on meie võrgus seal, kus hakkab rida "host-os-policy" ja nimetame nende ip aadressid. <ref>Yamli Host-os-policy informatsioon, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Host-os-policy</ref><br />
<source lang="bash"><br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
</source><br />
<br />
4. Kirjeldame võrgu ip aadressi ja maski kohas, mis algab reaga "address-groups:" <ref>Yamli address-groups lahtiseletus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Rule-vars</ref><br />
<br />
<source lang="bash"><br />
address-groups:<br />
<br />
HOME_NET: "[192.168.56.0/24]"<br />
<br />
EXTERNAL_NET: "!$HOME_NET"<br />
</source><br />
<br />
5. Võimalik on lisada konfiguratsiooni faili pordid kus meil teenused töötavad. Selleks leiame konfiguratsioonist rea, mis algab fraasiga "HTTP_PORTS: "80""<br />
<ref>Teenuste portide lisamine, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref><br />
<br />
<source lang="bash"><br />
HTTP_PORTS: "80"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
Lisame HTTP_PORTS sektsiooni juurde näiteks pordi 8080:<br />
<source lang="bash"><br />
HTTP_PORTS: "80,8080"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
== Kiire testimine <ref>Suricata testimine ühe reegli abil, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref> ==<br />
<br />
Need käsud käivita serveris juurkasutaja õigustes.<br />
<br />
1. Loome faili test.rules kausta /etc/suricata/rules/<br />
<source lang="bash"><br />
touch /etc/suricata/rules/test.rules<br />
</source><br />
<br />
2. Kirjutama test.rules faili testimise jaoks ühe reegli.<br />
<source lang="bash"><br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
</source><br />
<br />
3. Avame uuesti faili /etc/suricata/suricata.yaml, kus lähme asukohta, mis hakkab reaga "rule_files:" ja kommenteerime kõik reeglid välja ja kirjeldame seal oma reegli nimega "test.rules".<br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
# - botcc.rules<br />
# - ciarmy.rules<br />
# - compromised.rules<br />
# - drop.rules<br />
# - dshield.rules<br />
# - emerging-activex.rules<br />
# - emerging-attack_response.rules<br />
# - emerging-chat.rules<br />
# - emerging-current_events.rules<br />
# - emerging-dns.rules<br />
# - emerging-dos.rules<br />
# - emerging-exploit.rules<br />
# - emerging-ftp.rules<br />
...<br />
</source><br />
<br />
4. Paneme suricata monitoorima eth1 liidese peal.<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
5. Teeme oma kliendi masina pealt pingi Suricata serveri pihta.<br />
<source lang="bash"><br />
ping 192.168.56.201<br />
</source><br />
<br />
6. Laseme tunde järgi pingida ja seejärel paneme monitoorimise kinni ning vaatame logi.<br />
<source lang="bash"><br />
less /var/log/suricata/fast.log<br />
</source><br />
<br />
7. Logi sisu peaks olema umbes selline:<br />
<source lang="bash"><br />
01/15/2014-00:08:59.409903 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:08:59.409937 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
01/15/2014-00:09:00.410130 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:09:00.410171 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
</source><br />
<br />
8. Edasi saab logi puhul kasutada mõnda sündmuste korreleerimise töörista nagu näiteks SEC, mille kohta saab lugeda siit: http://simple-evcorr.sourceforge.net/SEC-tutorial/article.html või uurida EIK enda wikist teemat [https://wiki.itcollege.ee/index.php/Keskne_logihaldus_Rsyslog_ja_SEC_n%C3%A4itel Keskne logihaldus Rsyslog ja SEC näitel].<br />
<br />
== Reeglite sisselükkamine: ==<br />
<br />
Suricata uuemates versioonides tulevad baasreeglid kaasa. Need asuvad kaustas /etc/suricata/rules<br />
<source lang="bash"><br />
cd /etc/suricata/rules<br />
ll<br />
</source><br />
<br />
Olemasolevaid reegleid saab lähemalt uurida käsuga less. Näites uurime malware reeglit.<br />
<source lang="bash"><br />
less emerging-malware.rules<br />
</source><br />
<br />
Kui vajalikud reeglid on valitud, siis tuleb need suricata konfiguratsioonifaili lisada. Selleks tuleb reeglid uuesti sisse kommenteerida.<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
- emerging-malware.rules<br />
</source><br />
<br />
Seejärel tuleb suricata uuesti käivitada:<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
<br />
== Uue reegli tegemine: ==<br />
Suricatas saab ise reegleid teha vastavalt vajadustele. Näites teeme XSSi keelava reegli.<br />
<br />
1. Teeme /etc/suricata/rules kausta uue faili nimega xss.rules<br />
<source lang="bash"><br />
nano /etc/suricata/rules/xss.rules<br />
</source><br />
<br />
2. Seejärel kirjutame reegli:<br />
<source lang="bash"><br />
drop http $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"skripti tag avastatud URIs, voimalik xss runne"; flow:to_server,established; uricontent:"</script>"; nocase; reference:url,ha.ckers.org/xss.html; <br />
reference:url,doc.emergingthreats.net/2009714; classtype:web-application-attack; sid:2009714; rev:5;)<br />
</source><br />
<br />
3. Kui reegel on tehtud, tuleb see lisada ka suricata konfiguratsiooni:<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
Otsime üles koha, kus on reeglid ning lisame enda tehtud xss reegli. <br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
- xss.rules<br />
- emerging-malware.rules<br />
</source><br />
<br />
4. Viimase sammuna tuleb suricata uuesti käivitada:<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
=Kokkuvõte=<br />
<br />
Kui aus olla, siis alguses päris täpselt ei teadnudki, mida Suricata endast kujutab, kuid pärast wiki artikli kirjutamist on juba mingi ettekujutas, mida antud süsteem teeb. Suricata paigaldamise ja konfigureerimise käigus avastasime, et on olemas mitu erinevat varianti, kuidas antud süteemi paigaldada. Meie õnneks saime teada, et kõige uuema versiooniga on meie eest pool tööd tehtud ning me ei pidanudki käsitsi kopeerima erinevaid konfiguratsiooni faile. Kokkuvõttes on Suricata väga võimas ja paljude võimalustega tööriist, mille täielikuks arusaamiseks peaks seda proovima testida reaalsetes olukordades.<br />
<br />
= Kasulikud materjalid =<br />
<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-1-intro-install.4346/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-3-rules.4363/<br />
*http://suricata-ids.org/<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Basic_Setup<br />
*http://www.sans.org/reading-room/whitepapers/detection/configuring-security-onion-detect-prevent-web-application-attacks-33980<br />
<br />
[[Category: Linuxi administreerimine]]<br />
<br />
= Viited =<br />
<br />
<references /></div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Suricata&diff=83926Suricata2014-12-11T09:47:42Z<p>Rjuhanni: </p>
<hr />
<div>Autorid: Martin Leppik ja Randel Raidmets<br />
<br />
Reeglite sisselükkamise osa, uue reegli tegemine: Rene Juhanni<br />
<br />
Rühm: A31<br />
<br />
Kuupäev: 12.12.2013<br />
<br />
= Eesmärk =<br />
<br />
Linuxi administreerimise aine raames paigaldada vastavale Ubuntu serverile sissetungimise avastamise süsteem nimega Suricata. Pärast paigaldust konfigureerida peamised sätted ja reeglid ning viimasena testida süsteemi toimimist.<br />
<br />
= Eeldused =<br />
<br />
*Baasteadmised Linuxist.<br />
*Oskus hakkama saada käsureaga.<br />
*Algteadmised võrgundusest (Cisco CCNA1).<br />
<br />
= Mis on Suricata? =<br />
<br />
Suricata on suure jõudlusega võrgu sissetungimise, ennetamise ja turvalisuse monitoorimise mootor. See on avatud lähtekoodiga ja omanikuks on kommuun, mida juhib mittetulunduslik sihtasutus "the Open Information Security Foundation" ehk OISF. <ref>Suricata kirjeldus, http://suricata-ids.org/</ref> Suricata mootor pole ainult mõeldud selleks, et vahetada välja või emuleerida olemasolevaid tööriistu, vaid tuua uusi ideid ja tehnoloogiaid maastikule. Suricata mootor ja HTP teek on saadaval GPLv2 alusel. <ref>Suricata tutvustus OISF-i kodulehel, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/What_is_Suricata</ref><br />
<br />
== Suricata eelised Snordi ees <ref> Miks kasutada Suricatat?,https://alienvault.bloomfire.com/posts/525383-when-should-i-use-suricata/public</ref> ==<br />
<br />
Suricata on alternatiivne variant Snordile, mille reeglid ühilduvad ka Suricataga, mille tõttu võib väikse vaevaga Snordi Suricata vastu välja vahetada. <br />
<br />
Mõned Suricata eelised:<br />
*Suurem jõudlus (Suricata kasutab mitmelõimelist, kuid Snort ühelõimelilt töötlemist)<br />
*Parem liikluse nähtavus (Suricatal on nähtavus rakenduskihis (OSI 7. kiht), mis suurendab pahatahtliku sisu avastamist)<br />
*Kiirem normaliseerimine ja parsimine HTTP voogude jaoks.<br />
*Automatiseeritud protokolli tuvastus (Vähendab valepositiivseid tulemusi ja avastamme protokolle, mis töötavad mittestandardsetel portidel)<br />
*Suricatat paigaldatakse ka komertstoodete sisse.<br />
*Ainus lahendus, mis töötab otse riistavara peal, mille tõttu on olemas ka spetsiaalseid riistavarilisi lahendusi Suricata jaoks.<br />
<br />
= Süsteemi üldkirjeldus =<br />
Suricatat on võimalik konfigureerida nii IDS-ks kui ka IPS-ks.<br />
<br />
*'''IDS ehk "Intrusion Detection System"'''<br />
<br />
IDS süsteemid jälgivad võrguliiklust ja käituvad vastavalt seadistatud reeglistikule. IDS jälgib paketi tasemel liiklust IDS süsteem on tavaliselt ühendatud "switchiga" ehk kommutaatoriga. Näiteks on võimalik defineerida, et ICMP pakketide liikumisest logitakse. Samuti on võimalik määrata, et logitakse näiteks SSH-ga valesti sisestatud kasutajanime ja parooli. <br />
<br />
*'''IPS ehk "Intrusion Prevention System"'''<br />
<br />
IPS süsteemid jälgivad võrku sissetulevat ja väljaminevat liiklust. Vastavalt konfigureeritud reeglistikule IPS süsteemid, kas lasevad paketid läbi või takistavad nende liikumist. IPS jälgib paketi tasemel liiklust. IPS süsteemid paigaldatakse tavaliselt, kas enne tulemüüri või peal tulemüüri sisevõrku.<br />
<br />
Suricata IPS'is kasutatavad tegevused ja nende järjekord:<ref>Suricata Action-order, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Action-order</ref><br />
<br />
*'''PASS(luba)''' kui Suricata leiab kirjeldatud lubatud reeglite hulgast signatuuri ja see vastab paketile, siis saadetakse antud pakett edasi.<br />
<br />
*'''DROP(eemalda/lõpeta)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile, siis antud pakett tühistatakse. Saatjale selle kohast infot ei saadeta, saatja saab TCP time-out teate. Samuti raporteeritakse paketi eemaldamisest.<br />
<br />
*'''REJECT(lükka tagasi)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile ja kasutusel on "reject" käsk, siis tühistatakse pakett. Nii saatja kui saaja saavad "reject" teate.<br />
<br />
*'''Alert(teavita)''' kui Suricata leiab kirjeldatud reeglite hulgast signatuuri, mis vastab antud paketile, siis genereeritakse teade ja liiklus lubatakse.<br />
<br />
== IDS/IPS esitus graafilisel kujul ==<br />
<br />
IPS kasutamise võimalused võrgu ehituses (Joonis 1. ja Joonis2):<br />
<br />
[[File:Diagram1.jpeg]]<br />
<br />
Joonis 1.<br />
<br />
[[File:Diagram2.jpeg]]<br />
<br />
Joonis 2.<br />
<br />
<br />
<br />
IDS kasutamise võimalused võrgu ehituses (Joonis3):<br />
<br />
[[File:Diagram3.jpeg]]<br />
<br />
Joonis 3.<br />
<br />
= Nõuded =<br />
<br />
Nii server kui ka klient töötavad meie lahenduse puhul Oracle'i [https://www.virtualbox.org/wiki/Downloads Virtualboxi] peal. <br />
<br />
Kasutame näidetes Ubuntu serverit ja Ubuntu klienti (sobiv klient valida ise - Ubuntu, Lubuntu, Xubuntu, Kubuntu).<br />
<br />
Toetatud on sellised Ubuntu 32bit ja 64bit versioonid <ref>Toetatud ubuntu versioonide nimekiri, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_-_Personal_Package_Archives_%28PPA%29</ref>:<br />
<br />
*10.04 Lucid<br />
*12.04 Precise<br />
*12.10 Quantal<br />
*13.04 Raring<br />
*13.10 Saucy <br />
<br />
Lisaks on soovitav kasutada "Guest Additione"-it.<br />
<br />
''' Ubuntu Server '''<br />
<br />
*RAM 512MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
*Liidese eth1 lisada staatiline ip aadress - 192.168.56.xxx<br />
*OpenSSH serveri olemasolu<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_server.ova serverit], mis on pärit IT infrastruktuuri teenuste ainest, mida muutsime (sellest lähemalt eelseadistuse osas).<br />
Kasutajanimi ja parool on student.<br />
<br />
''' Klient '''<br />
<br />
*RAM vastavalt graafilise keskkonna nõuetele. Soovitav 512 - 1024MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_klient.ova klienti]. Kasutajanimi ja parool on student.<br />
<br />
= Eelseadistus(kasutades eelpaigaldatud serverit) =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes.<br />
<br />
Juurkasutajale üleminek:<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
<br />
1.Muudame ära hostname'i nimeks "suricata".<br />
<source lang="bash"><br />
nano /etc/hostname<br />
</source><br />
<br />
2.Muudame liidese eth1 IP aadressi selliseks 192.168.56.201.<br />
<source lang="bash"><br />
nano /etc/network/interfaces<br />
</source><br />
<br />
Liidese eth1 näidis:<br />
<source lang="bash"><br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.56.201<br />
netmask 255.255.255.0<br />
</source><br />
<br />
3. Kirjeldame faili /etc/hosts sisu<br />
<source lang="bash"><br />
nano /etc/hosts<br />
</source><br />
<br />
Faili /etc/hosts faili näidis:<br />
<source lang="bash"><br />
127.0.0.1 localhost<br />
127.0.1.1 suricata.planet.zz suricata<br />
192.168.56.201 suricata.planet.zz suricata<br />
192.168.56.200 puppetmaster.planet.zz puppetmaster<br />
192.168.56.101 klient.planet.zz klient<br />
</source><br />
<br />
4. Uuendame ära tarkvara nimekirja info<br />
<source lang="bash"><br />
apt-get update<br />
</source><br />
<br />
5. Uuendame ära tarkvara<br />
<source lang="bash"><br />
apt-get upgrade<br />
</source><br />
<br />
= Paigaldus Ubuntu serveris (võimaldab kasutada nii IDS kui IPS funktsioone) <ref> Suricata paigaldus Ubuntus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT</ref> =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes. <br />
<br />
1. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<source lang="bash"><br />
apt-get install python-software-properties<br />
</source><br />
<br />
2. Viimase stabiilse Suricata versiooni jaoks käivita vastavad käsud:<br />
<source lang="bash"><br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
</source><br />
<br />
3. Järgmisena paigalda Suricata<br />
<source lang="bash"><br />
apt-get install suricata<br />
</source><br />
<br />
== Uuendamine ja eemaldamine ==<br />
<br />
1. Suricata uuendamiseks käsud<br />
<source lang="bash"><br />
apt-get update<br />
apt-get upgrade<br />
</source><br />
<br />
2. Eemaldamiseks käsk<br />
<source lang="bash"><br />
apt-get remove suricata<br />
</source><br />
<br />
= Esmane seadistamine =<br />
<br />
Need käsud käivita serveris juurkasutajaõigustes.<br />
<br />
1. Loome kausta Suricata logide jaoks.<br />
<source lang="bash"><br />
mkdir /var/log/suricata<br />
</source><br />
<br />
<br />
2. Avame Suricata konfiguratsiooni faili /etc/suricata/suricata.yaml<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
<br />
3. Kirjeldame, millised operatsioonisüsteemid on meie võrgus seal, kus hakkab rida "host-os-policy" ja nimetame nende ip aadressid. <ref>Yamli Host-os-policy informatsioon, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Host-os-policy</ref><br />
<source lang="bash"><br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
</source><br />
<br />
4. Kirjeldame võrgu ip aadressi ja maski kohas, mis algab reaga "address-groups:" <ref>Yamli address-groups lahtiseletus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Rule-vars</ref><br />
<br />
<source lang="bash"><br />
address-groups:<br />
<br />
HOME_NET: "[192.168.56.0/24]"<br />
<br />
EXTERNAL_NET: "!$HOME_NET"<br />
</source><br />
<br />
5. Võimalik on lisada konfiguratsiooni faili pordid kus meil teenused töötavad. Selleks leiame konfiguratsioonist rea, mis algab fraasiga "HTTP_PORTS: "80""<br />
<ref>Teenuste portide lisamine, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref><br />
<br />
<source lang="bash"><br />
HTTP_PORTS: "80"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
Lisame HTTP_PORTS sektsiooni juurde näiteks pordi 8080:<br />
<source lang="bash"><br />
HTTP_PORTS: "80,8080"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
== Kiire testimine <ref>Suricata testimine ühe reegli abil, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref> ==<br />
<br />
Need käsud käivita serveris juurkasutaja õigustes.<br />
<br />
1. Loome faili test.rules kausta /etc/suricata/rules/<br />
<source lang="bash"><br />
touch /etc/suricata/rules/test.rules<br />
</source><br />
<br />
2. Kirjutama test.rules faili testimise jaoks ühe reegli.<br />
<source lang="bash"><br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
</source><br />
<br />
3. Avame uuesti faili /etc/suricata/suricata.yaml, kus lähme asukohta, mis hakkab reaga "rule_files:" ja kommenteerime kõik reeglid välja ja kirjeldame seal oma reegli nimega "test.rules".<br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
# - botcc.rules<br />
# - ciarmy.rules<br />
# - compromised.rules<br />
# - drop.rules<br />
# - dshield.rules<br />
# - emerging-activex.rules<br />
# - emerging-attack_response.rules<br />
# - emerging-chat.rules<br />
# - emerging-current_events.rules<br />
# - emerging-dns.rules<br />
# - emerging-dos.rules<br />
# - emerging-exploit.rules<br />
# - emerging-ftp.rules<br />
...<br />
</source><br />
<br />
4. Paneme suricata monitoorima eth1 liidese peal.<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
5. Teeme oma kliendi masina pealt pingi Suricata serveri pihta.<br />
<source lang="bash"><br />
ping 192.168.56.201<br />
</source><br />
<br />
6. Laseme tunde järgi pingida ja seejärel paneme monitoorimise kinni ning vaatame logi.<br />
<source lang="bash"><br />
less /var/log/suricata/fast.log<br />
</source><br />
<br />
7. Logi sisu peaks olema umbes selline:<br />
<source lang="bash"><br />
01/15/2014-00:08:59.409903 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:08:59.409937 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
01/15/2014-00:09:00.410130 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:09:00.410171 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
</source><br />
<br />
8. Edasi saab logi puhul kasutada mõnda sündmuste korreleerimise töörista nagu näiteks SEC, mille kohta saab lugeda siit: http://simple-evcorr.sourceforge.net/SEC-tutorial/article.html või uurida EIK enda wikist teemat [https://wiki.itcollege.ee/index.php/Keskne_logihaldus_Rsyslog_ja_SEC_n%C3%A4itel Keskne logihaldus Rsyslog ja SEC näitel].<br />
<br />
== Reeglite sisselükkamine: ==<br />
<br />
Suricata uuemates versioonides tulevad baasreeglid kaasa. Need asuvad kaustas /etc/suricata/rules<br />
<source lang="bash"><br />
cd /etc/suricata/rules<br />
ll<br />
</source><br />
<br />
Olemasolevaid reegleid saab lähemalt uurida käsuga less. Näites uurime malware reeglit.<br />
<source lang="bash"><br />
less emerging-malware.rules<br />
</source><br />
<br />
Kui vajalikud reeglid on valitud, siis tuleb need suricata konfiguratsioonifaili lisada. Selleks tuleb reeglid uuesti sisse kommenteerida.<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
- emerging-malware.rules<br />
</source><br />
<br />
Seejärel tuleb teha suricatale restart. Selleks katkestage monitooring eth1 vajutades klahvikombinatsiooni "ctrl c" ning käivitame uuesti. <br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
<br />
== Uue reegli tegemine: ==<br />
Suricatas saab ise reegleid teha vastavalt vajadustele. Näites teeme XSSi keelava reegli.<br />
<br />
1. Teeme /etc/suricata/rules kausta uue faili nimega xss.rules<br />
<source lang="bash"><br />
nano /etc/suricata/rules/xss.rules<br />
</source><br />
<br />
2. Seejärel kirjutame reegli:<br />
<source lang="bash"><br />
drop http $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"skripti tag avastatud URIs, voimalik xss runne"; flow:to_server,established; uricontent:"</script>"; nocase; reference:url,ha.ckers.org/xss.html; <br />
reference:url,doc.emergingthreats.net/2009714; classtype:web-application-attack; sid:2009714; rev:5;)<br />
</source><br />
<br />
3. Kui reegel on tehtud, tuleb see lisada ka suricata konfiguratsiooni:<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
Otsime üles koha, kus on reeglid ning lisame enda tehtud xss reegli. <br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
- xss.rules<br />
- emerging-malware.rules<br />
</source><br />
<br />
4. Viimase sammuna tuleb suricata uuesti käivitada:<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
=Kokkuvõte=<br />
<br />
Kui aus olla, siis alguses päris täpselt ei teadnudki, mida Suricata endast kujutab, kuid pärast wiki artikli kirjutamist on juba mingi ettekujutas, mida antud süsteem teeb. Suricata paigaldamise ja konfigureerimise käigus avastasime, et on olemas mitu erinevat varianti, kuidas antud süteemi paigaldada. Meie õnneks saime teada, et kõige uuema versiooniga on meie eest pool tööd tehtud ning me ei pidanudki käsitsi kopeerima erinevaid konfiguratsiooni faile. Kokkuvõttes on Suricata väga võimas ja paljude võimalustega tööriist, mille täielikuks arusaamiseks peaks seda proovima testida reaalsetes olukordades.<br />
<br />
= Kasulikud materjalid =<br />
<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-1-intro-install.4346/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-3-rules.4363/<br />
*http://suricata-ids.org/<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Basic_Setup<br />
*http://www.sans.org/reading-room/whitepapers/detection/configuring-security-onion-detect-prevent-web-application-attacks-33980<br />
<br />
[[Category: Linuxi administreerimine]]<br />
<br />
= Viited =<br />
<br />
<references /></div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Suricata&diff=83925Suricata2014-12-11T09:43:16Z<p>Rjuhanni: </p>
<hr />
<div>Autorid: Martin Leppik ja Randel Raidmets<br />
<br />
Reeglite sisselükkamise osa, uue reegli tegemine: Rene Juhanni<br />
<br />
Rühm: A31<br />
<br />
Kuupäev: 12.12.2013<br />
<br />
= Eesmärk =<br />
<br />
Linuxi administreerimise aine raames paigaldada vastavale Ubuntu serverile sissetungimise avastamise süsteem nimega Suricata. Pärast paigaldust konfigureerida peamised sätted ja reeglid ning viimasena testida süsteemi toimimist.<br />
<br />
= Eeldused =<br />
<br />
*Baasteadmised Linuxist.<br />
*Oskus hakkama saada käsureaga.<br />
*Algteadmised võrgundusest (Cisco CCNA1).<br />
<br />
= Mis on Suricata? =<br />
<br />
Suricata on suure jõudlusega võrgu sissetungimise, ennetamise ja turvalisuse monitoorimise mootor. See on avatud lähtekoodiga ja omanikuks on kommuun, mida juhib mittetulunduslik sihtasutus "the Open Information Security Foundation" ehk OISF. <ref>Suricata kirjeldus, http://suricata-ids.org/</ref> Suricata mootor pole ainult mõeldud selleks, et vahetada välja või emuleerida olemasolevaid tööriistu, vaid tuua uusi ideid ja tehnoloogiaid maastikule. Suricata mootor ja HTP teek on saadaval GPLv2 alusel. <ref>Suricata tutvustus OISF-i kodulehel, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/What_is_Suricata</ref><br />
<br />
== Suricata eelised Snordi ees <ref> Miks kasutada Suricatat?,https://alienvault.bloomfire.com/posts/525383-when-should-i-use-suricata/public</ref> ==<br />
<br />
Suricata on alternatiivne variant Snordile, mille reeglid ühilduvad ka Suricataga, mille tõttu võib väikse vaevaga Snordi Suricata vastu välja vahetada. <br />
<br />
Mõned Suricata eelised:<br />
*Suurem jõudlus (Suricata kasutab mitmelõimelist, kuid Snort ühelõimelilt töötlemist)<br />
*Parem liikluse nähtavus (Suricatal on nähtavus rakenduskihis (OSI 7. kiht), mis suurendab pahatahtliku sisu avastamist)<br />
*Kiirem normaliseerimine ja parsimine HTTP voogude jaoks.<br />
*Automatiseeritud protokolli tuvastus (Vähendab valepositiivseid tulemusi ja avastamme protokolle, mis töötavad mittestandardsetel portidel)<br />
*Suricatat paigaldatakse ka komertstoodete sisse.<br />
*Ainus lahendus, mis töötab otse riistavara peal, mille tõttu on olemas ka spetsiaalseid riistavarilisi lahendusi Suricata jaoks.<br />
<br />
= Süsteemi üldkirjeldus =<br />
Suricatat on võimalik konfigureerida nii IDS-ks kui ka IPS-ks.<br />
<br />
*'''IDS ehk "Intrusion Detection System"'''<br />
<br />
IDS süsteemid jälgivad võrguliiklust ja käituvad vastavalt seadistatud reeglistikule. IDS jälgib paketi tasemel liiklust IDS süsteem on tavaliselt ühendatud "switchiga" ehk kommutaatoriga. Näiteks on võimalik defineerida, et ICMP pakketide liikumisest logitakse. Samuti on võimalik määrata, et logitakse näiteks SSH-ga valesti sisestatud kasutajanime ja parooli. <br />
<br />
*'''IPS ehk "Intrusion Prevention System"'''<br />
<br />
IPS süsteemid jälgivad võrku sissetulevat ja väljaminevat liiklust. Vastavalt konfigureeritud reeglistikule IPS süsteemid, kas lasevad paketid läbi või takistavad nende liikumist. IPS jälgib paketi tasemel liiklust. IPS süsteemid paigaldatakse tavaliselt, kas enne tulemüüri või peal tulemüüri sisevõrku.<br />
<br />
Suricata IPS'is kasutatavad tegevused ja nende järjekord:<ref>Suricata Action-order, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Action-order</ref><br />
<br />
*'''PASS(luba)''' kui Suricata leiab kirjeldatud lubatud reeglite hulgast signatuuri ja see vastab paketile, siis saadetakse antud pakett edasi.<br />
<br />
*'''DROP(eemalda/lõpeta)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile, siis antud pakett tühistatakse. Saatjale selle kohast infot ei saadeta, saatja saab TCP time-out teate. Samuti raporteeritakse paketi eemaldamisest.<br />
<br />
*'''REJECT(lükka tagasi)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile ja kasutusel on "reject" käsk, siis tühistatakse pakett. Nii saatja kui saaja saavad "reject" teate.<br />
<br />
*'''Alert(teavita)''' kui Suricata leiab kirjeldatud reeglite hulgast signatuuri, mis vastab antud paketile, siis genereeritakse teade ja liiklus lubatakse.<br />
<br />
== IDS/IPS esitus graafilisel kujul ==<br />
<br />
IPS kasutamise võimalused võrgu ehituses (Joonis 1. ja Joonis2):<br />
<br />
[[File:Diagram1.jpeg]]<br />
<br />
Joonis 1.<br />
<br />
[[File:Diagram2.jpeg]]<br />
<br />
Joonis 2.<br />
<br />
<br />
<br />
IDS kasutamise võimalused võrgu ehituses (Joonis3):<br />
<br />
[[File:Diagram3.jpeg]]<br />
<br />
Joonis 3.<br />
<br />
= Nõuded =<br />
<br />
Nii server kui ka klient töötavad meie lahenduse puhul Oracle'i [https://www.virtualbox.org/wiki/Downloads Virtualboxi] peal. <br />
<br />
Kasutame näidetes Ubuntu serverit ja Ubuntu klienti (sobiv klient valida ise - Ubuntu, Lubuntu, Xubuntu, Kubuntu).<br />
<br />
Toetatud on sellised Ubuntu 32bit ja 64bit versioonid <ref>Toetatud ubuntu versioonide nimekiri, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_-_Personal_Package_Archives_%28PPA%29</ref>:<br />
<br />
*10.04 Lucid<br />
*12.04 Precise<br />
*12.10 Quantal<br />
*13.04 Raring<br />
*13.10 Saucy <br />
<br />
Lisaks on soovitav kasutada "Guest Additione"-it.<br />
<br />
''' Ubuntu Server '''<br />
<br />
*RAM 512MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
*Liidese eth1 lisada staatiline ip aadress - 192.168.56.xxx<br />
*OpenSSH serveri olemasolu<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_server.ova serverit], mis on pärit IT infrastruktuuri teenuste ainest, mida muutsime (sellest lähemalt eelseadistuse osas).<br />
Kasutajanimi ja parool on student.<br />
<br />
''' Klient '''<br />
<br />
*RAM vastavalt graafilise keskkonna nõuetele. Soovitav 512 - 1024MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_klient.ova klienti]. Kasutajanimi ja parool on student.<br />
<br />
= Eelseadistus(kasutades eelpaigaldatud serverit) =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes.<br />
<br />
Juurkasutajale üleminek:<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
<br />
1.Muudame ära hostname'i nimeks "suricata".<br />
<source lang="bash"><br />
nano /etc/hostname<br />
</source><br />
<br />
2.Muudame liidese eth1 IP aadressi selliseks 192.168.56.201.<br />
<source lang="bash"><br />
nano /etc/network/interfaces<br />
</source><br />
<br />
Liidese eth1 näidis:<br />
<source lang="bash"><br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.56.201<br />
netmask 255.255.255.0<br />
</source><br />
<br />
3. Kirjeldame faili /etc/hosts sisu<br />
<source lang="bash"><br />
nano /etc/hosts<br />
</source><br />
<br />
Faili /etc/hosts faili näidis:<br />
<source lang="bash"><br />
127.0.0.1 localhost<br />
127.0.1.1 suricata.planet.zz suricata<br />
192.168.56.201 suricata.planet.zz suricata<br />
192.168.56.200 puppetmaster.planet.zz puppetmaster<br />
192.168.56.101 klient.planet.zz klient<br />
</source><br />
<br />
4. Uuendame ära tarkvara nimekirja info<br />
<source lang="bash"><br />
apt-get update<br />
</source><br />
<br />
5. Uuendame ära tarkvara<br />
<source lang="bash"><br />
apt-get upgrade<br />
</source><br />
<br />
= Paigaldus Ubuntu serveris (võimaldab kasutada nii IDS kui IPS funktsioone) <ref> Suricata paigaldus Ubuntus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT</ref> =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes. <br />
<br />
1. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<source lang="bash"><br />
apt-get install python-software-properties<br />
</source><br />
<br />
2. Viimase stabiilse Suricata versiooni jaoks käivita vastavad käsud:<br />
<source lang="bash"><br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
</source><br />
<br />
3. Järgmisena paigalda Suricata<br />
<source lang="bash"><br />
apt-get install suricata<br />
</source><br />
<br />
== Uuendamine ja eemaldamine ==<br />
<br />
1. Suricata uuendamiseks käsud<br />
<source lang="bash"><br />
apt-get update<br />
apt-get upgrade<br />
</source><br />
<br />
2. Eemaldamiseks käsk<br />
<source lang="bash"><br />
apt-get remove suricata<br />
</source><br />
<br />
= Esmane seadistamine =<br />
<br />
Need käsud käivita serveris juurkasutajaõigustes.<br />
<br />
1. Loome kausta Suricata logide jaoks.<br />
<source lang="bash"><br />
mkdir /var/log/suricata<br />
</source><br />
<br />
<br />
2. Avame Suricata konfiguratsiooni faili /etc/suricata/suricata.yaml<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
<br />
3. Kirjeldame, millised operatsioonisüsteemid on meie võrgus seal, kus hakkab rida "host-os-policy" ja nimetame nende ip aadressid. <ref>Yamli Host-os-policy informatsioon, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Host-os-policy</ref><br />
<source lang="bash"><br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
</source><br />
<br />
4. Kirjeldame võrgu ip aadressi ja maski kohas, mis algab reaga "address-groups:" <ref>Yamli address-groups lahtiseletus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Rule-vars</ref><br />
<br />
<source lang="bash"><br />
address-groups:<br />
<br />
HOME_NET: "[192.168.56.0/24]"<br />
<br />
EXTERNAL_NET: "!$HOME_NET"<br />
</source><br />
<br />
5. Võimalik on lisada konfiguratsiooni faili pordid kus meil teenused töötavad. Selleks leiame konfiguratsioonist rea, mis algab fraasiga "HTTP_PORTS: "80""<br />
<ref>Teenuste portide lisamine, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref><br />
<br />
<source lang="bash"><br />
HTTP_PORTS: "80"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
Lisame HTTP_PORTS sektsiooni juurde näiteks pordi 8080:<br />
<source lang="bash"><br />
HTTP_PORTS: "80,8080"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
== Kiire testimine <ref>Suricata testimine ühe reegli abil, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref> ==<br />
<br />
Need käsud käivita serveris juurkasutaja õigustes.<br />
<br />
1. Loome faili test.rules kausta /etc/suricata/rules/<br />
<source lang="bash"><br />
touch /etc/suricata/rules/test.rules<br />
</source><br />
<br />
2. Kirjutama test.rules faili testimise jaoks ühe reegli.<br />
<source lang="bash"><br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
</source><br />
<br />
3. Avame uuesti faili /etc/suricata/suricata.yaml, kus lähme asukohta, mis hakkab reaga "rule_files:" ja kommenteerime kõik reeglid välja ja kirjeldame seal oma reegli nimega "test.rules".<br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
# - botcc.rules<br />
# - ciarmy.rules<br />
# - compromised.rules<br />
# - drop.rules<br />
# - dshield.rules<br />
# - emerging-activex.rules<br />
# - emerging-attack_response.rules<br />
# - emerging-chat.rules<br />
# - emerging-current_events.rules<br />
# - emerging-dns.rules<br />
# - emerging-dos.rules<br />
# - emerging-exploit.rules<br />
# - emerging-ftp.rules<br />
...<br />
</source><br />
<br />
4. Paneme suricata monitoorima eth1 liidese peal.<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
5. Teeme oma kliendi masina pealt pingi Suricata serveri pihta.<br />
<source lang="bash"><br />
ping 192.168.56.201<br />
</source><br />
<br />
6. Laseme tunde järgi pingida ja seejärel paneme monitoorimise kinni ning vaatame logi.<br />
<source lang="bash"><br />
less /var/log/suricata/fast.log<br />
</source><br />
<br />
7. Logi sisu peaks olema umbes selline:<br />
<source lang="bash"><br />
01/15/2014-00:08:59.409903 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:08:59.409937 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
01/15/2014-00:09:00.410130 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:09:00.410171 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
</source><br />
<br />
8. Edasi saab logi puhul kasutada mõnda sündmuste korreleerimise töörista nagu näiteks SEC, mille kohta saab lugeda siit: http://simple-evcorr.sourceforge.net/SEC-tutorial/article.html või uurida EIK enda wikist teemat [https://wiki.itcollege.ee/index.php/Keskne_logihaldus_Rsyslog_ja_SEC_n%C3%A4itel Keskne logihaldus Rsyslog ja SEC näitel].<br />
<br />
== Reeglite sisselükkamine: ==<br />
<br />
Suricata uuemates versioonides tulevad baasreeglid kaasa. Need asuvad kaustas /etc/suricata/rules<br />
<source lang="bash"><br />
cd /etc/suricata/rules<br />
ll<br />
</source><br />
<br />
Olemasolevaid reegleid saab lähemalt uurida käsuga less. Näites uurime malware reeglit.<br />
<source lang="bash"><br />
less emerging-malware.rules<br />
</source><br />
<br />
Kui vajalikud reeglid on valitud, siis tuleb need suricata konfiguratsioonifaili lisada. Selleks tuleb reeglid uuesti sisse kommenteerida.<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
- emerging-malware.rules<br />
</source><br />
<br />
Seejärel tuleb teha suricatale restart. Selleks katkestage monitooring eth1 vajutades klahvikombinatsiooni "ctrl c" ning käivitame uuesti. <br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
<br />
== Uue reegli tegemine: ==<br />
Suricatas saab ise reegleid teha vastavalt vajadustele. Näites teeme XSSi keelava reegli.<br />
<br />
1. Teeme /etc/suricata/rules kausta uue faili nimega xss.rules<br />
<source lang="bash"><br />
nano /etc/suricata/rules/xss.rules<br />
</source><br />
<br />
2. Seejärel kirjutame reegli:<br />
<source lang="bash"><br />
drop http $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"skripti tag avastatud URIs, voimalik xss runne"; flow:to_server,established; uricontent:"</script>"; nocase; reference:url,ha.ckers.org/xss.html; <br />
reference:url,doc.emergingthreats.net/2009714; classtype:web-application-attack; sid:2009714; rev:5;)<br />
</source><br />
<br />
3. Kui reegel on tehtud, tuleb see lisada ka suricata konfiguratsiooni:<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
Otsime üles koha, kus on reeglid ning lisame enda tehtud xss reegli. <br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
- xss.rules<br />
- emerging-malware.rules<br />
</source><br />
<br />
4. Viimase sammuna tuleb suricata uuesti käivitada:<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
=Kokkuvõte=<br />
<br />
Kui aus olla, siis alguses päris täpselt ei teadnudki, mida Suricata endast kujutab, kuid pärast wiki artikli kirjutamist on juba mingi ettekujutas, mida antud süsteem teeb. Suricata paigaldamise ja konfigureerimise käigus avastasime, et on olemas mitu erinevat varianti, kuidas antud süteemi paigaldada. Meie õnneks saime teada, et kõige uuema versiooniga on meie eest pool tööd tehtud ning me ei pidanudki käsitsi kopeerima erinevaid konfiguratsiooni faile. Kokkuvõttes on Suricata väga võimas ja paljude võimalustega tööriist, mille täielikuks arusaamiseks peaks seda proovima testida reaalsetes olukordades.<br />
<br />
= Kasulikud materjalid =<br />
<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-1-intro-install.4346/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-3-rules.4363/<br />
*http://suricata-ids.org/<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Basic_Setup<br />
<br />
[[Category: Linuxi administreerimine]]<br />
<br />
= Viited =<br />
<br />
<references /></div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Suricata&diff=83854Suricata2014-12-10T15:13:22Z<p>Rjuhanni: </p>
<hr />
<div>Autorid: Martin Leppik ja Randel Raidmets<br />
<br />
Reeglite sisselükkamise osa, uue reegli tegemine: Rene Juhanni<br />
<br />
Rühm: A31<br />
<br />
Kuupäev: 12.12.2013<br />
<br />
= Eesmärk =<br />
<br />
Linuxi administreerimise aine raames paigaldada vastavale Ubuntu serverile sissetungimise avastamise süsteem nimega Suricata. Pärast paigaldust konfigureerida peamised sätted ja reeglid ning viimasena testida süsteemi toimimist.<br />
<br />
= Eeldused =<br />
<br />
*Baasteadmised Linuxist.<br />
*Oskus hakkama saada käsureaga.<br />
*Algteadmised võrgundusest (Cisco CCNA1).<br />
<br />
= Mis on Suricata? =<br />
<br />
Suricata on suure jõudlusega võrgu sissetungimise, ennetamise ja turvalisuse monitoorimise mootor. See on avatud lähtekoodiga ja omanikuks on kommuun, mida juhib mittetulunduslik sihtasutus "the Open Information Security Foundation" ehk OISF. <ref>Suricata kirjeldus, http://suricata-ids.org/</ref> Suricata mootor pole ainult mõeldud selleks, et vahetada välja või emuleerida olemasolevaid tööriistu, vaid tuua uusi ideid ja tehnoloogiaid maastikule. Suricata mootor ja HTP teek on saadaval GPLv2 alusel. <ref>Suricata tutvustus OISF-i kodulehel, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/What_is_Suricata</ref><br />
<br />
== Suricata eelised Snordi ees <ref> Miks kasutada Suricatat?,https://alienvault.bloomfire.com/posts/525383-when-should-i-use-suricata/public</ref> ==<br />
<br />
Suricata on alternatiivne variant Snordile, mille reeglid ühilduvad ka Suricataga, mille tõttu võib väikse vaevaga Snordi Suricata vastu välja vahetada. <br />
<br />
Mõned Suricata eelised:<br />
*Suurem jõudlus (Suricata kasutab mitmelõimelist, kuid Snort ühelõimelilt töötlemist)<br />
*Parem liikluse nähtavus (Suricatal on nähtavus rakenduskihis (OSI 7. kiht), mis suurendab pahatahtliku sisu avastamist)<br />
*Kiirem normaliseerimine ja parsimine HTTP voogude jaoks.<br />
*Automatiseeritud protokolli tuvastus (Vähendab valepositiivseid tulemusi ja avastamme protokolle, mis töötavad mittestandardsetel portidel)<br />
*Suricatat paigaldatakse ka komertstoodete sisse.<br />
*Ainus lahendus, mis töötab otse riistavara peal, mille tõttu on olemas ka spetsiaalseid riistavarilisi lahendusi Suricata jaoks.<br />
<br />
= Süsteemi üldkirjeldus =<br />
Suricatat on võimalik konfigureerida nii IDS-ks kui ka IPS-ks.<br />
<br />
*'''IDS ehk "Intrusion Detection System"'''<br />
<br />
IDS süsteemid jälgivad võrguliiklust ja käituvad vastavalt seadistatud reeglistikule. IDS jälgib paketi tasemel liiklust IDS süsteem on tavaliselt ühendatud "switchiga" ehk kommutaatoriga. Näiteks on võimalik defineerida, et ICMP pakketide liikumisest logitakse. Samuti on võimalik määrata, et logitakse näiteks SSH-ga valesti sisestatud kasutajanime ja parooli. <br />
<br />
*'''IPS ehk "Intrusion Prevention System"'''<br />
<br />
IPS süsteemid jälgivad võrku sissetulevat ja väljaminevat liiklust. Vastavalt konfigureeritud reeglistikule IPS süsteemid, kas lasevad paketid läbi või takistavad nende liikumist. IPS jälgib paketi tasemel liiklust. IPS süsteemid paigaldatakse tavaliselt, kas enne tulemüüri või peal tulemüüri sisevõrku.<br />
<br />
Suricata IPS'is kasutatavad tegevused ja nende järjekord:<ref>Suricata Action-order, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Action-order</ref><br />
<br />
*'''PASS(luba)''' kui Suricata leiab kirjeldatud lubatud reeglite hulgast signatuuri ja see vastab paketile, siis saadetakse antud pakett edasi.<br />
<br />
*'''DROP(eemalda/lõpeta)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile, siis antud pakett tühistatakse. Saatjale selle kohast infot ei saadeta, saatja saab TCP time-out teate. Samuti raporteeritakse paketi eemaldamisest.<br />
<br />
*'''REJECT(lükka tagasi)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile ja kasutusel on "reject" käsk, siis tühistatakse pakett. Nii saatja kui saaja saavad "reject" teate.<br />
<br />
*'''Alert(teavita)''' kui Suricata leiab kirjeldatud reeglite hulgast signatuuri, mis vastab antud paketile, siis genereeritakse teade ja liiklus lubatakse.<br />
<br />
== IDS/IPS esitus graafilisel kujul ==<br />
<br />
IPS kasutamise võimalused võrgu ehituses (Joonis 1. ja Joonis2):<br />
<br />
[[File:Diagram1.jpeg]]<br />
<br />
Joonis 1.<br />
<br />
[[File:Diagram2.jpeg]]<br />
<br />
Joonis 2.<br />
<br />
<br />
<br />
IDS kasutamise võimalused võrgu ehituses (Joonis3):<br />
<br />
[[File:Diagram3.jpeg]]<br />
<br />
Joonis 3.<br />
<br />
= Nõuded =<br />
<br />
Nii server kui ka klient töötavad meie lahenduse puhul Oracle'i [https://www.virtualbox.org/wiki/Downloads Virtualboxi] peal. <br />
<br />
Kasutame näidetes Ubuntu serverit ja Ubuntu klienti (sobiv klient valida ise - Ubuntu, Lubuntu, Xubuntu, Kubuntu).<br />
<br />
Toetatud on sellised Ubuntu 32bit ja 64bit versioonid <ref>Toetatud ubuntu versioonide nimekiri, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_-_Personal_Package_Archives_%28PPA%29</ref>:<br />
<br />
*10.04 Lucid<br />
*12.04 Precise<br />
*12.10 Quantal<br />
*13.04 Raring<br />
*13.10 Saucy <br />
<br />
Lisaks on soovitav kasutada "Guest Additione"-it.<br />
<br />
''' Ubuntu Server '''<br />
<br />
*RAM 512MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
*Liidese eth1 lisada staatiline ip aadress - 192.168.56.xxx<br />
*OpenSSH serveri olemasolu<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_server.ova serverit], mis on pärit IT infrastruktuuri teenuste ainest, mida muutsime (sellest lähemalt eelseadistuse osas).<br />
Kasutajanimi ja parool on student.<br />
<br />
''' Klient '''<br />
<br />
*RAM vastavalt graafilise keskkonna nõuetele. Soovitav 512 - 1024MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_klient.ova klienti]. Kasutajanimi ja parool on student.<br />
<br />
= Eelseadistus(kasutades eelpaigaldatud serverit) =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes.<br />
<br />
Juurkasutajale üleminek:<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
<br />
1.Muudame ära hostname'i nimeks "suricata".<br />
<source lang="bash"><br />
nano /etc/hostname<br />
</source><br />
<br />
2.Muudame liidese eth1 IP aadressi selliseks 192.168.56.201.<br />
<source lang="bash"><br />
nano /etc/network/interfaces<br />
</source><br />
<br />
Liidese eth1 näidis:<br />
<source lang="bash"><br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.56.201<br />
netmask 255.255.255.0<br />
</source><br />
<br />
3. Kirjeldame faili /etc/hosts sisu<br />
<source lang="bash"><br />
nano /etc/hosts<br />
</source><br />
<br />
Faili /etc/hosts faili näidis:<br />
<source lang="bash"><br />
127.0.0.1 localhost<br />
127.0.1.1 suricata.planet.zz suricata<br />
192.168.56.201 suricata.planet.zz suricata<br />
192.168.56.200 puppetmaster.planet.zz puppetmaster<br />
192.168.56.101 klient.planet.zz klient<br />
</source><br />
<br />
4. Uuendame ära tarkvara nimekirja info<br />
<source lang="bash"><br />
apt-get update<br />
</source><br />
<br />
5. Uuendame ära tarkvara<br />
<source lang="bash"><br />
apt-get upgrade<br />
</source><br />
<br />
= Paigaldus Ubuntu serveris (võimaldab kasutada nii IDS kui IPS funktsioone) <ref> Suricata paigaldus Ubuntus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT</ref> =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes. <br />
<br />
1. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<source lang="bash"><br />
apt-get install python-software-properties<br />
</source><br />
<br />
2. Viimase stabiilse Suricata versiooni jaoks käivita vastavad käsud:<br />
<source lang="bash"><br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
</source><br />
<br />
3. Järgmisena paigalda Suricata<br />
<source lang="bash"><br />
apt-get install suricata<br />
</source><br />
<br />
== Uuendamine ja eemaldamine ==<br />
<br />
1. Suricata uuendamiseks käsud<br />
<source lang="bash"><br />
apt-get update<br />
apt-get upgrade<br />
</source><br />
<br />
2. Eemaldamiseks käsk<br />
<source lang="bash"><br />
apt-get remove suricata<br />
</source><br />
<br />
= Esmane seadistamine =<br />
<br />
Need käsud käivita serveris juurkasutajaõigustes.<br />
<br />
1. Loome kausta Suricata logide jaoks.<br />
<source lang="bash"><br />
mkdir /var/log/suricata<br />
</source><br />
<br />
<br />
2. Avame Suricata konfiguratsiooni faili /etc/suricata/suricata.yaml<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
<br />
3. Kirjeldame, millised operatsioonisüsteemid on meie võrgus seal, kus hakkab rida "host-os-policy" ja nimetame nende ip aadressid. <ref>Yamli Host-os-policy informatsioon, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Host-os-policy</ref><br />
<source lang="bash"><br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
</source><br />
<br />
4. Kirjeldame võrgu ip aadressi ja maski kohas, mis algab reaga "address-groups:" <ref>Yamli address-groups lahtiseletus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Rule-vars</ref><br />
<br />
<source lang="bash"><br />
address-groups:<br />
<br />
HOME_NET: "[192.168.56.0/24]"<br />
<br />
EXTERNAL_NET: "!$HOME_NET"<br />
</source><br />
<br />
5. Võimalik on lisada konfiguratsiooni faili pordid kus meil teenused töötavad. Selleks leiame konfiguratsioonist rea, mis algab fraasiga "HTTP_PORTS: "80""<br />
<ref>Teenuste portide lisamine, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref><br />
<br />
<source lang="bash"><br />
HTTP_PORTS: "80"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
Lisame HTTP_PORTS sektsiooni juurde näiteks pordi 8080:<br />
<source lang="bash"><br />
HTTP_PORTS: "80,8080"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
== Kiire testimine <ref>Suricata testimine ühe reegli abil, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref> ==<br />
<br />
Need käsud käivita serveris juurkasutaja õigustes.<br />
<br />
1. Loome faili test.rules kausta /etc/suricata/rules/<br />
<source lang="bash"><br />
touch /etc/suricata/rules/test.rules<br />
</source><br />
<br />
2. Kirjutama test.rules faili testimise jaoks ühe reegli.<br />
<source lang="bash"><br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
</source><br />
<br />
3. Avame uuesti faili /etc/suricata/suricata.yaml, kus lähme asukohta, mis hakkab reaga "rule_files:" ja kommenteerime kõik reeglid välja ja kirjeldame seal oma reegli nimega "test.rules".<br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
# - botcc.rules<br />
# - ciarmy.rules<br />
# - compromised.rules<br />
# - drop.rules<br />
# - dshield.rules<br />
# - emerging-activex.rules<br />
# - emerging-attack_response.rules<br />
# - emerging-chat.rules<br />
# - emerging-current_events.rules<br />
# - emerging-dns.rules<br />
# - emerging-dos.rules<br />
# - emerging-exploit.rules<br />
# - emerging-ftp.rules<br />
...<br />
</source><br />
<br />
4. Paneme suricata monitoorima eth1 liidese peal.<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
5. Teeme oma kliendi masina pealt pingi Suricata serveri pihta.<br />
<source lang="bash"><br />
ping 192.168.56.201<br />
</source><br />
<br />
6. Laseme tunde järgi pingida ja seejärel paneme monitoorimise kinni ning vaatame logi.<br />
<source lang="bash"><br />
less /var/log/suricata/fast.log<br />
</source><br />
<br />
7. Logi sisu peaks olema umbes selline:<br />
<source lang="bash"><br />
01/15/2014-00:08:59.409903 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:08:59.409937 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
01/15/2014-00:09:00.410130 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:09:00.410171 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
</source><br />
<br />
8. Edasi saab logi puhul kasutada mõnda sündmuste korreleerimise töörista nagu näiteks SEC, mille kohta saab lugeda siit: http://simple-evcorr.sourceforge.net/SEC-tutorial/article.html või uurida EIK enda wikist teemat [https://wiki.itcollege.ee/index.php/Keskne_logihaldus_Rsyslog_ja_SEC_n%C3%A4itel Keskne logihaldus Rsyslog ja SEC näitel].<br />
<br />
== Reeglite sisselükkamine: ==<br />
<br />
Suricata uuemates versioonides tulevad baasreeglid kaasa. Need asuvad kaustas /etc/suricata/rules<br />
<source lang="bash"><br />
cd /etc/suricata/rules<br />
ll<br />
</source><br />
<br />
Olemasolevaid reegleid saab lähemalt uurida käsuga less. Näites uurime malware reeglit.<br />
<source lang="bash"><br />
less emerging-malware.rules<br />
</source><br />
<br />
Kui vajalikud reeglid on valitud, siis tuleb need suricata konfiguratsioonifaili lisada. Selleks tuleb reeglid uuesti sisse kommenteerida.<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
- emerging-malware.rules<br />
</source><br />
<br />
Seejärel tuleb teha suricatale restart. Selleks katkestage monitooring eth1 vajutades klahvikombinatsiooni "ctrl c" ning käivitame uuesti. <br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
<br />
== Uue reegli tegemine: ==<br />
Suricatas saab ise reegleid teha vastavalt vajadustele. Näites teeme XSSi keelava reegli.<br />
<br />
1. Teeme /etc/suricata/rules kausta uue faili nimega xss.rules<br />
<source lang="bash"><br />
nano /etc/suricata/rules/xss.rules<br />
</source><br />
<br />
2. Seejärel kirjutame reegli:<br />
<source lang="bash"><br />
drop http $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"skripti tag avastatud URIs, voimalik xss runne"; flow:to_server,established;<br />
uricontent:"</script>"; nocase; reference:url,ha.ckers.org/xss.html; reference:url,doc.emergingthreats.net/2009714; <br />
classtype:web-application-attack; sid:2009714; rev:5;)<br />
</source><br />
<br />
3. Kui reegel on tehtud, tuleb see lisada ka suricata konfiguratsiooni:<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
Otsime üles koha, kus on reeglid ning lisame enda tehtud xss reegli. <br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
- xss.rules<br />
- emerging-malware.rules<br />
</source><br />
<br />
4. Viimase sammuna tuleb suricata uuesti käivitada:<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
=Kokkuvõte=<br />
<br />
Kui aus olla, siis alguses päris täpselt ei teadnudki, mida Suricata endast kujutab, kuid pärast wiki artikli kirjutamist on juba mingi ettekujutas, mida antud süsteem teeb. Suricata paigaldamise ja konfigureerimise käigus avastasime, et on olemas mitu erinevat varianti, kuidas antud süteemi paigaldada. Meie õnneks saime teada, et kõige uuema versiooniga on meie eest pool tööd tehtud ning me ei pidanudki käsitsi kopeerima erinevaid konfiguratsiooni faile. Kokkuvõttes on Suricata väga võimas ja paljude võimalustega tööriist, mille täielikuks arusaamiseks peaks seda proovima testida reaalsetes olukordades.<br />
<br />
= Kasulikud materjalid =<br />
<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-1-intro-install.4346/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-3-rules.4363/<br />
*http://suricata-ids.org/<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Basic_Setup<br />
<br />
[[Category: Linuxi administreerimine]]<br />
<br />
= Viited =<br />
<br />
<references /></div>Rjuhannihttps://wiki.itcollege.ee/index.php?title=Suricata&diff=83853Suricata2014-12-10T15:03:10Z<p>Rjuhanni: </p>
<hr />
<div>Autorid: Martin Leppik ja Randel Raidmets<br />
<br />
Reeglite sisselükkamise osa, uue reegli tegemine: Rene Juhanni<br />
<br />
Rühm: A31<br />
<br />
Kuupäev: 12.12.2013<br />
<br />
= Eesmärk =<br />
<br />
Linuxi administreerimise aine raames paigaldada vastavale Ubuntu serverile sissetungimise avastamise süsteem nimega Suricata. Pärast paigaldust konfigureerida peamised sätted ja reeglid ning viimasena testida süsteemi toimimist.<br />
<br />
= Eeldused =<br />
<br />
*Baasteadmised Linuxist.<br />
*Oskus hakkama saada käsureaga.<br />
*Algteadmised võrgundusest (Cisco CCNA1).<br />
<br />
= Mis on Suricata? =<br />
<br />
Suricata on suure jõudlusega võrgu sissetungimise, ennetamise ja turvalisuse monitoorimise mootor. See on avatud lähtekoodiga ja omanikuks on kommuun, mida juhib mittetulunduslik sihtasutus "the Open Information Security Foundation" ehk OISF. <ref>Suricata kirjeldus, http://suricata-ids.org/</ref> Suricata mootor pole ainult mõeldud selleks, et vahetada välja või emuleerida olemasolevaid tööriistu, vaid tuua uusi ideid ja tehnoloogiaid maastikule. Suricata mootor ja HTP teek on saadaval GPLv2 alusel. <ref>Suricata tutvustus OISF-i kodulehel, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/What_is_Suricata</ref><br />
<br />
== Suricata eelised Snordi ees <ref> Miks kasutada Suricatat?,https://alienvault.bloomfire.com/posts/525383-when-should-i-use-suricata/public</ref> ==<br />
<br />
Suricata on alternatiivne variant Snordile, mille reeglid ühilduvad ka Suricataga, mille tõttu võib väikse vaevaga Snordi Suricata vastu välja vahetada. <br />
<br />
Mõned Suricata eelised:<br />
*Suurem jõudlus (Suricata kasutab mitmelõimelist, kuid Snort ühelõimelilt töötlemist)<br />
*Parem liikluse nähtavus (Suricatal on nähtavus rakenduskihis (OSI 7. kiht), mis suurendab pahatahtliku sisu avastamist)<br />
*Kiirem normaliseerimine ja parsimine HTTP voogude jaoks.<br />
*Automatiseeritud protokolli tuvastus (Vähendab valepositiivseid tulemusi ja avastamme protokolle, mis töötavad mittestandardsetel portidel)<br />
*Suricatat paigaldatakse ka komertstoodete sisse.<br />
*Ainus lahendus, mis töötab otse riistavara peal, mille tõttu on olemas ka spetsiaalseid riistavarilisi lahendusi Suricata jaoks.<br />
<br />
= Süsteemi üldkirjeldus =<br />
Suricatat on võimalik konfigureerida nii IDS-ks kui ka IPS-ks.<br />
<br />
*'''IDS ehk "Intrusion Detection System"'''<br />
<br />
IDS süsteemid jälgivad võrguliiklust ja käituvad vastavalt seadistatud reeglistikule. IDS jälgib paketi tasemel liiklust IDS süsteem on tavaliselt ühendatud "switchiga" ehk kommutaatoriga. Näiteks on võimalik defineerida, et ICMP pakketide liikumisest logitakse. Samuti on võimalik määrata, et logitakse näiteks SSH-ga valesti sisestatud kasutajanime ja parooli. <br />
<br />
*'''IPS ehk "Intrusion Prevention System"'''<br />
<br />
IPS süsteemid jälgivad võrku sissetulevat ja väljaminevat liiklust. Vastavalt konfigureeritud reeglistikule IPS süsteemid, kas lasevad paketid läbi või takistavad nende liikumist. IPS jälgib paketi tasemel liiklust. IPS süsteemid paigaldatakse tavaliselt, kas enne tulemüüri või peal tulemüüri sisevõrku.<br />
<br />
Suricata IPS'is kasutatavad tegevused ja nende järjekord:<ref>Suricata Action-order, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Action-order</ref><br />
<br />
*'''PASS(luba)''' kui Suricata leiab kirjeldatud lubatud reeglite hulgast signatuuri ja see vastab paketile, siis saadetakse antud pakett edasi.<br />
<br />
*'''DROP(eemalda/lõpeta)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile, siis antud pakett tühistatakse. Saatjale selle kohast infot ei saadeta, saatja saab TCP time-out teate. Samuti raporteeritakse paketi eemaldamisest.<br />
<br />
*'''REJECT(lükka tagasi)''' kui Suricata leiab kirjeldatud reeglite hulgast keelava signatuuri ning see vastab paketile ja kasutusel on "reject" käsk, siis tühistatakse pakett. Nii saatja kui saaja saavad "reject" teate.<br />
<br />
*'''Alert(teavita)''' kui Suricata leiab kirjeldatud reeglite hulgast signatuuri, mis vastab antud paketile, siis genereeritakse teade ja liiklus lubatakse.<br />
<br />
== IDS/IPS esitus graafilisel kujul ==<br />
<br />
IPS kasutamise võimalused võrgu ehituses (Joonis 1. ja Joonis2):<br />
<br />
[[File:Diagram1.jpeg]]<br />
<br />
Joonis 1.<br />
<br />
[[File:Diagram2.jpeg]]<br />
<br />
Joonis 2.<br />
<br />
<br />
<br />
IDS kasutamise võimalused võrgu ehituses (Joonis3):<br />
<br />
[[File:Diagram3.jpeg]]<br />
<br />
Joonis 3.<br />
<br />
= Nõuded =<br />
<br />
Nii server kui ka klient töötavad meie lahenduse puhul Oracle'i [https://www.virtualbox.org/wiki/Downloads Virtualboxi] peal. <br />
<br />
Kasutame näidetes Ubuntu serverit ja Ubuntu klienti (sobiv klient valida ise - Ubuntu, Lubuntu, Xubuntu, Kubuntu).<br />
<br />
Toetatud on sellised Ubuntu 32bit ja 64bit versioonid <ref>Toetatud ubuntu versioonide nimekiri, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_-_Personal_Package_Archives_%28PPA%29</ref>:<br />
<br />
*10.04 Lucid<br />
*12.04 Precise<br />
*12.10 Quantal<br />
*13.04 Raring<br />
*13.10 Saucy <br />
<br />
Lisaks on soovitav kasutada "Guest Additione"-it.<br />
<br />
''' Ubuntu Server '''<br />
<br />
*RAM 512MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
*Liidese eth1 lisada staatiline ip aadress - 192.168.56.xxx<br />
*OpenSSH serveri olemasolu<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_server.ova serverit], mis on pärit IT infrastruktuuri teenuste ainest, mida muutsime (sellest lähemalt eelseadistuse osas).<br />
Kasutajanimi ja parool on student.<br />
<br />
''' Klient '''<br />
<br />
*RAM vastavalt graafilise keskkonna nõuetele. Soovitav 512 - 1024MB<br />
*HDD dynamicly allocated 8GB<br />
*2 Võrgukaarti NIC1 - NAT (eth0 - Ubuntus) ja NIC2 - HostOnly (eth1 - Ubuntus)<br />
<br />
Kasutasime eelnevalt seadistatud [http://elab.itcollege.ee:8000/infra_klient.ova klienti]. Kasutajanimi ja parool on student.<br />
<br />
= Eelseadistus(kasutades eelpaigaldatud serverit) =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes.<br />
<br />
Juurkasutajale üleminek:<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
<br />
1.Muudame ära hostname'i nimeks "suricata".<br />
<source lang="bash"><br />
nano /etc/hostname<br />
</source><br />
<br />
2.Muudame liidese eth1 IP aadressi selliseks 192.168.56.201.<br />
<source lang="bash"><br />
nano /etc/network/interfaces<br />
</source><br />
<br />
Liidese eth1 näidis:<br />
<source lang="bash"><br />
auto eth1<br />
iface eth1 inet static<br />
address 192.168.56.201<br />
netmask 255.255.255.0<br />
</source><br />
<br />
3. Kirjeldame faili /etc/hosts sisu<br />
<source lang="bash"><br />
nano /etc/hosts<br />
</source><br />
<br />
Faili /etc/hosts faili näidis:<br />
<source lang="bash"><br />
127.0.0.1 localhost<br />
127.0.1.1 suricata.planet.zz suricata<br />
192.168.56.201 suricata.planet.zz suricata<br />
192.168.56.200 puppetmaster.planet.zz puppetmaster<br />
192.168.56.101 klient.planet.zz klient<br />
</source><br />
<br />
4. Uuendame ära tarkvara nimekirja info<br />
<source lang="bash"><br />
apt-get update<br />
</source><br />
<br />
5. Uuendame ära tarkvara<br />
<source lang="bash"><br />
apt-get upgrade<br />
</source><br />
<br />
= Paigaldus Ubuntu serveris (võimaldab kasutada nii IDS kui IPS funktsioone) <ref> Suricata paigaldus Ubuntus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Ubuntu_Installation_from_GIT</ref> =<br />
<br />
Kõik käsud käivitame serveris juurkasutaja õigustes. <br />
<br />
1. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<source lang="bash"><br />
apt-get install python-software-properties<br />
</source><br />
<br />
2. Viimase stabiilse Suricata versiooni jaoks käivita vastavad käsud:<br />
<source lang="bash"><br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
</source><br />
<br />
3. Järgmisena paigalda Suricata<br />
<source lang="bash"><br />
apt-get install suricata<br />
</source><br />
<br />
== Uuendamine ja eemaldamine ==<br />
<br />
1. Suricata uuendamiseks käsud<br />
<source lang="bash"><br />
apt-get update<br />
apt-get upgrade<br />
</source><br />
<br />
2. Eemaldamiseks käsk<br />
<source lang="bash"><br />
apt-get remove suricata<br />
</source><br />
<br />
= Esmane seadistamine =<br />
<br />
Need käsud käivita serveris juurkasutajaõigustes.<br />
<br />
1. Loome kausta Suricata logide jaoks.<br />
<source lang="bash"><br />
mkdir /var/log/suricata<br />
</source><br />
<br />
<br />
2. Avame Suricata konfiguratsiooni faili /etc/suricata/suricata.yaml<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
<br />
3. Kirjeldame, millised operatsioonisüsteemid on meie võrgus seal, kus hakkab rida "host-os-policy" ja nimetame nende ip aadressid. <ref>Yamli Host-os-policy informatsioon, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Host-os-policy</ref><br />
<source lang="bash"><br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
</source><br />
<br />
4. Kirjeldame võrgu ip aadressi ja maski kohas, mis algab reaga "address-groups:" <ref>Yamli address-groups lahtiseletus, https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricatayaml#Rule-vars</ref><br />
<br />
<source lang="bash"><br />
address-groups:<br />
<br />
HOME_NET: "[192.168.56.0/24]"<br />
<br />
EXTERNAL_NET: "!$HOME_NET"<br />
</source><br />
<br />
5. Võimalik on lisada konfiguratsiooni faili pordid kus meil teenused töötavad. Selleks leiame konfiguratsioonist rea, mis algab fraasiga "HTTP_PORTS: "80""<br />
<ref>Teenuste portide lisamine, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref><br />
<br />
<source lang="bash"><br />
HTTP_PORTS: "80"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
Lisame HTTP_PORTS sektsiooni juurde näiteks pordi 8080:<br />
<source lang="bash"><br />
HTTP_PORTS: "80,8080"<br />
<br />
SHELLCODE_PORTS: "!80"<br />
<br />
ORACLE_PORTS: 1521<br />
<br />
SSH_PORTS: 22<br />
<br />
DNP3_PORTS: 20000<br />
<br />
</source><br />
<br />
== Kiire testimine <ref>Suricata testimine ühe reegli abil, http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/</ref> ==<br />
<br />
Need käsud käivita serveris juurkasutaja õigustes.<br />
<br />
1. Loome faili test.rules kausta /etc/suricata/rules/<br />
<source lang="bash"><br />
touch /etc/suricata/rules/test.rules<br />
</source><br />
<br />
2. Kirjutama test.rules faili testimise jaoks ühe reegli.<br />
<source lang="bash"><br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
</source><br />
<br />
3. Avame uuesti faili /etc/suricata/suricata.yaml, kus lähme asukohta, mis hakkab reaga "rule_files:" ja kommenteerime kõik reeglid välja ja kirjeldame seal oma reegli nimega "test.rules".<br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
# - botcc.rules<br />
# - ciarmy.rules<br />
# - compromised.rules<br />
# - drop.rules<br />
# - dshield.rules<br />
# - emerging-activex.rules<br />
# - emerging-attack_response.rules<br />
# - emerging-chat.rules<br />
# - emerging-current_events.rules<br />
# - emerging-dns.rules<br />
# - emerging-dos.rules<br />
# - emerging-exploit.rules<br />
# - emerging-ftp.rules<br />
...<br />
</source><br />
<br />
4. Paneme suricata monitoorima eth1 liidese peal.<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
5. Teeme oma kliendi masina pealt pingi Suricata serveri pihta.<br />
<source lang="bash"><br />
ping 192.168.56.201<br />
</source><br />
<br />
6. Laseme tunde järgi pingida ja seejärel paneme monitoorimise kinni ning vaatame logi.<br />
<source lang="bash"><br />
less /var/log/suricata/fast.log<br />
</source><br />
<br />
7. Logi sisu peaks olema umbes selline:<br />
<source lang="bash"><br />
01/15/2014-00:08:59.409903 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:08:59.409937 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
01/15/2014-00:09:00.410130 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.101:8 -> 192.168.56.201:0<br />
01/15/2014-00:09:00.410171 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.201:0 -> 192.168.56.101:0<br />
</source><br />
<br />
8. Edasi saab logi puhul kasutada mõnda sündmuste korreleerimise töörista nagu näiteks SEC, mille kohta saab lugeda siit: http://simple-evcorr.sourceforge.net/SEC-tutorial/article.html või uurida EIK enda wikist teemat [https://wiki.itcollege.ee/index.php/Keskne_logihaldus_Rsyslog_ja_SEC_n%C3%A4itel Keskne logihaldus Rsyslog ja SEC näitel].<br />
<br />
== Reeglite sisselükkamine: ==<br />
<br />
Suricata uuemates versioonides tulevad baasreeglid kaasa. Need asuvad kaustas /etc/suricata/rules<br />
<source lang="bash"><br />
cd /etc/suricata/rules<br />
ll<br />
</source><br />
<br />
Olemasolevaid reegleid saab lähemalt uurida käsuga less. Näites uurime malware reeglit.<br />
<source lang="bash"><br />
less emerging-malware.rules<br />
</source><br />
<br />
Kui vajalikud reeglid on valitud, siis tuleb need suricata konfiguratsioonifaili lisada. Selleks tuleb reeglid uuesti sisse kommenteerida.<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
- emerging-malware.rules<br />
</source><br />
<br />
Seejärel tuleb teha suricatale restart. Selleks katkestage monitooring eth1 vajutades klahvikombinatsiooni "ctrl c" ning käivitame uuesti. <br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
<br />
== Uue reegli tegemine: ==<br />
Suricatas saab ise reegleid teha vastavalt vajadustele. Näites teeme XSSi keelava reegli.<br />
<br />
1. Teeme /etc/suricata/rules kausta uue faili nimega xss.rules<br />
<source lang="bash"><br />
nano /etc/suricata/rules/xss.rules<br />
</source><br />
<br />
2. Seejärel kirjutame reegli:<br />
<code><br />
drop http $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"skripti tag avastatud URIs, voimalik xss runne"; flow:to_server,established; uricontent:"</script>"; nocase; reference:url,ha.ckers.org/xss.html; reference:url,doc.emergingthreats.net/2009714; classtype:web-application-attack; sid:2009714; rev:5;)<br />
</code><br />
<br />
3. Kui reegel on tehtud, tuleb see lisada ka suricata konfiguratsiooni:<br />
<source lang="bash"><br />
nano /etc/suricata/suricata.yaml<br />
</source><br />
Otsime üles koha, kus on reeglid ning lisame enda tehtud xss reegli. <br />
<source lang="bash"><br />
rule-files:<br />
- test.rules<br />
- xss.rules<br />
- emerging-malware.rules<br />
</source><br />
<br />
4. Viimase sammuna tuleb suricata uuesti käivitada:<br />
<source lang="bash"><br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
</source><br />
<br />
=Kokkuvõte=<br />
<br />
Kui aus olla, siis alguses päris täpselt ei teadnudki, mida Suricata endast kujutab, kuid pärast wiki artikli kirjutamist on juba mingi ettekujutas, mida antud süsteem teeb. Suricata paigaldamise ja konfigureerimise käigus avastasime, et on olemas mitu erinevat varianti, kuidas antud süteemi paigaldada. Meie õnneks saime teada, et kõige uuema versiooniga on meie eest pool tööd tehtud ning me ei pidanudki käsitsi kopeerima erinevaid konfiguratsiooni faile. Kokkuvõttes on Suricata väga võimas ja paljude võimalustega tööriist, mille täielikuks arusaamiseks peaks seda proovima testida reaalsetes olukordades.<br />
<br />
= Kasulikud materjalid =<br />
<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-1-intro-install.4346/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-2-configure-test.4348/<br />
*http://www.linux.org/threads/suricata-the-snort-replacer-part-3-rules.4363/<br />
*http://suricata-ids.org/<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation<br />
*https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Basic_Setup<br />
<br />
[[Category: Linuxi administreerimine]]<br />
<br />
= Viited =<br />
<br />
<references /></div>Rjuhanni