Привет! Меня зовут Миша, я основатель https://defbox.io - платформы на которой можно попробовать написать детект под разные атаки и соревноваться кто лучше это делает :)

На примере SSH-bruteforce стенда я расскажу, как можно своими руками сделать лабу для тренировки написания детектов:

1. Как поднять платформу для сбора и анализа логов.

2. Как поднять и подготовить заведомо уязвимый сервер.

3. Как провести SSH-Bruteforce.

4. Что искать в платформе из п.1 и как написать правило в эластике.

Зачем это нужно? Чтобы потренировать свои скиллы аналитика логов, попробовать построить домашний SIEM или чтобы просто разобраться с чем это там работают ваши коллеги.

Мы хотим собирать логи и находить в них нехорошие события. Перед тем, как создавать эти события, нужно подготовиться к сбору логов. Для этого мы поднимем популярный ELK стек (строго говоря мы поднимем EK стек, логстеш мы подымать не будем).

ELK стенд и уязвимый сервер можно поднять по разному:

1. на разных виртуальных машинах в облаке.

2. на разных виртуальных машинах используя личный компьютер.

3. Поднять ELK на своем компьютере, а в облаке поднять виртуальную машину с уязвимым стендом.

Мы будем использовать третий вариант, хоть это и может показаться спорным из-за необходимости выставлять эластик в интернет.

Поднять его можно вот так:

1. Клонируем репозиторий с готовыми docker compose файлами: git clone https://github.com/deviantony/docker-elk.git

2. Переходим в этот репозиторий cd docker-elk/

3. Делаем магию чтобы мы могли писать правила корелляции: echo "xpack.encryptedSavedObjects.encryptionKey: $(openssl rand -hex 32)" >> kibana/config/kibana.yml (Эта команда генерирует и создает случайный ключ, который кибана будет использовать для шифрования)

4. И запускаем ELK - docker compose --profile=setup up

После выполнения этих действий по адресу http://localhost:5601 вас будет ждать кибана в которой можно смотреть логи. Мы чуть позже посмотрим на нее.

Еще у нас должен быть доступен эластик - http://localhost:9200

Для того, чтобы на этот эластик можно было отправлять логи, нужно сделать так, чтобы эластик был доступен из интернета - для этого лучше всего воспользоваться ngrok'ом.

Теперь, когда у нас доступен эластик, мы можем развернуть виртуальную машину с SSH, специально сконфигурировать ее плохо, и даже взломать.

Эта статья больше обзорная, поэтому мы возьмем один из самых простых сценариев - брутфорс SSH.

Вообще, виртуальную машину развернуть можно где угодно, лично я обычно разворачиваю их в Digital Ocean. Это можно либо руками из интерфейса сделать, либо воспользоваться терраформом. Для того, чтобы наш стенд легко было переподнимать, имеет смысл написать терраформ файл, мы представим что он у нас уже написан, и виртуальная машина с линуксом есть.

На этой виртуальной машине нужно выполнить следующие команды

sed -i -e 's/PasswordAuthentication no/PasswordAuthentication yes/g' /etc/ssh/sshd_config  
sudo /etc/init.d/ssh force-reload  
sudo /etc/init.d/ssh restart
useradd -ou 0 -g 0 -m keeton
echo \"keeton:Qm8Aokcvl9NHzO1XJRs1KYhTktq0SmZf\" | chpasswd  

Которые:

1. Настроят ssh на доступ с паролем.

2. Создадут пользователя keeton с паролем Qm8Aokcvl9NHzO1XJRs1KYhTktq0SmZf

Теперь нужно подключить наш стенд к системе сбора логов.

Для этого мы установим auditbeat на наш сервер:

1. Установим auditbeat

   curl -L -O https://artifacts.elastic.co/downloads/beats/auditbeat/auditbeat-8.4.3-amd64.deb
   sudo dpkg -i auditbeat-8.4.3-amd64.deb

2. Настроим auditbeat так, чтобы он отправлял информацию в наш ELK - для этого нужно отредактировать файл /etc/auditbeat/auditbeat.yml и в секцию output.elasticsearch ввести адрес, юзернейм и пароль нашего эластика (дефолтные юзернейм и пароль это elastic:elastic)

3. Перезапустим auditbeat чтобы применить изменения

   $ auditbeat setup --index-management
   $ service auditbeat start
   

Теперь мы должны увидеть в нашей кибане такую картину:

1. 1 хост во вкладке Security->Explore->Hosts

2. Список всех ивентов во вкладке Discover (но для этого нужно будет добавить Data view)

Теперь мы полностью готовы к тому, чтобы забрутфорсить и задетектить :)

Для брутфорса мы будем использовать гидру (команды нужно выполнять не на уязвимом сервере):

1. Установим гидру - apt-get update; apt-get install -y hydra-gtk

2. Скачаем список часто используемых паролей curl https://raw.githubusercontent.com/danielmiessler/SecLists/master/Passwords/Leaked-Databases/rockyou-10.txt > passwords.txt

3. Добавим наш пароль в конец этого списка, чтобы брутфорс закончился удачно echo "Qm8Aokcvl9NHzO1XJRs1KYhTkTq0SmZf" >> passwords.txt

4. Запустим брутфорс hydra -l keeton -P passwords.txt "{{ nameSSH }}" ssh -t 4

Минут через пять брутфорс будет закончен успешно. Воображаемый хакер сможет зайти на сервер, а мы сможем проверить, есть ли у нас необходимая информация в ELK чтобы не повторить такого в будущем.

Сделаем фильтр event.category: authentication , чтобы посмотреть на все события аутентификации:

Видим 300 неуспешных попыток аутентификации - похоже на брутфорс!

Попробуем написать правило (у эластика есть 700 с лишним созданных правил, в том числе и на брутфорс SSH, но у меня не получилось сделать так чтобы оно заработало)

Попробуем такую же query, какой мы воспользовались ранее:
event.category : "authentication" and event.outcome : "failure"

И вот мы написали правило, которое теперь будет следить за тем, пытаются ли наши сервера забрутфорсить. На это правило мы можем навесить интеграций (чтобы обои отваливались) чтобы, например, получать нотификации в телеграм, или сразу уведомлять товарища майора :)

Все это можно сделать в секции действий которые нужно выполнить если правило сработало:

И все - на самом простом уровне мы готовы к отражению SSH Bruteforce атаки.

В этой статье я постарался показать как можно подготовить себе стенд для обучения работе в BlueTeam:

1. Поднять ELK для сбора и анализа логов.

2. Поднять-удалить-заново поднять заведомо уязвимый сервер.

3. Найти что-то подозрительное в логах.

4. Написать правило чтобы в следующий раз получить уведомление об этом.

Чем можно заняться дальше?

1. Настроить Logstash для того чтобы эффективно обрабатывать логи (без него будет тяжело обрабатывать продакшен окружения).

2. Попытаться воспользоваться стандартной библиотекой детектирующих правил от Elastic.

3. Причесать ELK стенд, скрыв его за TLS, создав эффективный кластер.

4. Попытаться повторить все то же самое на стендах https://github.com/ermetic-research/cnappgoat , https://github.com/DataDog/stratus-red-team

5. Попробовать сдетектировать атаки на нашей платформе - https://defbox.io/invite/7539a046-5bc5-479a-94cf-b9c54934498c ( чат проекта https://t.me/+UBFBxHyMi9RmOWQy )