Maltrail je zlonamerni sistem za zaznavanje prometa, ki uporablja javno dostopne (črne) sezname, ki vsebujejo zlonamerne in / ali splošno sumljive sledi, skupaj s statičnimi sledmi, sestavljenimi iz različnih poročil AV in uporabniško določenih seznamov, pri čemer je sled lahko karkoli od imena domene (npr. Zvpprsensinaix .com za zlonamerno programsko opremo Banjori), URL (npr. hXXp: //109.162.38.120/harsh02.exe za znano zlonamerno izvedljivo datoteko), naslov IP (npr. 185.130.5.231 za znanega napadalca) ali vrednost glave uporabniškega agenta HTTP (npr. sqlmap za samodejno Orodje za vbrizgavanje SQL in prevzem baze podatkov). Uporablja tudi (neobvezno) napredne hevristične mehanizme, ki lahko pomagajo pri odkrivanju neznanih groženj (npr. Nove zlonamerne programske opreme).
Namestitev sistema za zaznavanje zlonamernega prometa Maltrail v Linuxu
Maltrail je sistem za zaznavanje zlonamernega prometa, ki uporablja javno dostopne (črne) sezname, ki vsebujejo zlonamerne in/ali splošno sumljive sledi, skupaj s statičnimi sledmi, sestavljenimi iz različnih AV poročil in uporabniško definiranih seznamov po meri, kjer je sled lahko karkoli od imena domene ( npr. zvpprsensinaix.com za zlonamerno programsko opremo Banjori ), URL-ja (npr. hXXp://109.162.38.120/harsh02.exe za znano zlonamerno izvršljivo datoteko), IP-naslova ( npr. 185.130.5.231 za znanega napadalca ) ali vrednosti glave HTTP User-Agent ( npr. sqlmap za samodejno vbrizgavanje SQL in orodje za prevzem baze podatkov ). Vir ( Maltrail GitHub stran )
Kljub temu Maltrail uporablja (neobvezno) napredne hevristične mehanizme, ki lahko pomagajo pri odkrivanju neznanih groženj.
Maltrail temelji na arhitekturi Promet -> Senzor <-> Strežnik <-> Odjemalec . Senzor(ji) je samostojna komponenta, ki se izvaja na nadzornem vozlišču ali na samostojnem računalniku (npr. Honeypot), kjer ” spremlja ” prehodni promet za elemente/sledi na črni listi (tj. imena domen, URL-je in/ali IP-je). Vir ( Maltrail GitHub stran ). Več o Maltrailu najdete na Maltrail GitHub strani .
Ta namestitev se izvede v sistemu Debian Linux. Namestite torej sistem za zaznavanje zlonamernega prometa Maltrail v sistem Debian Linux.
1. korak: Posodobite in nadgradite strežnik
Posodabljanje in nadgradnja strežnika zagotavlja, da začnemo na točki, ko je na našem strežniku nameščena vsa najnovejša programska oprema. Izdajte spodnji ukaz.
sudo apt update && sudo apt update
2. korak: Namestite senzor Maltrail in orodje schedtool
Senzor(i) je samostojna komponenta, ki se izvaja na nadzornem vozlišču ali na samostojnem računalniku, kjer » spremlja « promet, ki poteka, za elemente/sledi na črnem seznamu. Namestite ga tako, da zaženete spodnje ukaze.
Namestite » schedtool « za boljše razporejanje procesorja
schedtool pomaga pri boljšem razporejanju procesorja
sudo apt-get install schedtool
Sledeči korak bo namestil git in python-pcapy, datoteke bo prenesel s strani Maltrail GitHub in jih nato namestil.
Po zadnjem ukazu bi morali videti nekaj takega kot spodaj, ko prenaša in posodablja sezname Maltrail, povezane z zlonamernim prometom.
Kloniranje datotek git
Prenos in posodabljanje seznamov Maltrail, povezanih z zlonamernim prometom
3. korak: Zaženite strežnik na istem računalniku (neobvezno)
je Primarna vloga strežnika shranjevanje podrobnosti dogodkov in zagotavljanje podpore za spletno aplikacijo za poročanje. V privzeti konfiguraciji se strežnik in senzor izvajata na istem računalniku. Če želite zagnati strežnik na istem računalniku, zaženite spodnje ukaze.
Do spletnega uporabniškega vmesnika lahko dostopate tako, da vnesete http://<ip ali FQDN>:8338 . Privzete poverilnice so Uporabniško ime : admin Geslo : changeme!
4. korak: Natančna nastavitev konfiguracij senzorjev in strežnika
Za tiste, ki bi želeli natančno nastaviti konfiguracije strežnika in senzorjev, obstaja datoteka, s katero lahko to storite. Preprosto se potopite v imenik, v katerega ste klonirali maltrail, in poiščite » maltrail.conf «.
sudo nono /home/admin/maltrail/maltrail.conf
V datoteki boste našli različne kategorije v oglatih oklepajih. Za strežnik poiščite #[Strežnik] , za nastavitve senzorja pa kategorijo #[Senzor] . Na primer, spremenimo privzeti IP-naslov, s katerega naj strežnik posluša.
#[Server]
#Listen address of (reporting) HTTP server
HTTP_ADDRESS 172.17.196.57
#HTTP_ADDRESS ::
#HTTP_ADDRESS fe80::12c3:7bff:fe6d:cf9b%eno1
#Listen port of (reporting) HTTP server
HTTP_PORT 8338
#Use SSL/TLS
USE_SSL false
#SSL/TLS (private/cert) PEM file (e.g. openssl req -new -x509 -keyout server.pem -out server.pem -days 1023 -nodes)
#SSL_PEM misc/server.pem
#User entries (username:sha256(password):UID:filter_netmask(s))
#Note(s): sha256(password) can be generated on Linux with: echo -n 'password' | sha256sum | cut -d " " -f 1
#UID >= 1000 have only rights to display results (Note: this moment only functionality implemented at the client side)
#filter_netmask(s) is/are used to filter results
USERS
admin:9ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:0: # changeme!
#local:9ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:1000:192.168.0.0/16 # changeme!
Če želite spremeniti privzeto geslo, poiščite »USERS«. Pod njim boste opazili ime admin in dolg niz, ki predstavlja geslo. Če želite ustvariti novo geslo, uporabite spodnji ukaz. Ustvariti bi moral niz, podoben tistemu, ki smo ga videli v datoteki. Pred njim lahko vstavite poljubno uporabniško ime. Na koncu gesla ne pozabite dodati parametrov ( :0: ).
$ echo -n 'StrongPassword' | sha256sum | cut -d " " -f 1
05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223
The string produced represents StrongPassword as the password
Odprite isto datoteko in jo uredite, da nastavite nove poverilnice.
$ sudo nono/home/admin/maltrail/maltrail.conf
#[Server]
#Listen address of (reporting) HTTP server
HTTP_ADDRESS 172.17.196.57
#HTTP_ADDRESS ::
#HTTP_ADDRESS fe80::12c3:7bff:fe6d:cf9b%eno1
#Listen port of (reporting) HTTP server
HTTP_PORT 8338
#Use SSL/TLS
USE_SSL false
#SSL/TLS (private/cert) PEM file (e.g. openssl req -new -x509 -keyout server.pem -out server.pem -days 1023 -nodes)
#SSL_PEM misc/server.pem
#User entries (username:sha256(password):UID:filter_netmask(s))
#Note(s): sha256(password) can be generated on Linux with: echo -n 'password' | sha256sum | cut -d " " -f 1
#UID >= 1000 have only rights to display results (Note: this moment only functionality implemented at the client side)
#filter_netmask(s) is/are used to filter results
#filter_netmask(s) is/are used to filter results
USERS
#admin:9ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:0: # changeme!
#local:9ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:1000:192.168.0.0/16 # changeme!
Admin:05a181f00c157f70413d33701778a6ee7d2747ac18b9c0fbb8bd71a62dd7a223:0: ## New credentials
Ko naredite te spremembe, zaženite in ustavite maltrail.
cd /home/admin/maltrail
pkill -f server.py
python server.py &
5. korak: Preverite, ali vse deluje
Če želite preveriti, ali vse deluje, izvedite naslednje:
Če si želite ogledati zahteve, oddane v spletnem vmesniku, preprosto osvežite to stran in dobili boste nekaj podobnega tistemu, ki je prikazano spodaj.
Zaključek
Maltrail je čudovito orodje, ki lahko resnično izboljša nadzor vašega omrežja in vedno zagotavlja varnost vaše infrastrukture. Čeprav 100-odstotna varnost ni zagotovljena, je ublažitev vedno pametna. Oglejte si orodje in ga preizkusite, če ustreza vašim potrebam. Sicer pa se vam zahvaljujemo za obisk in vztrajanje do konca.
Druge vodnike si lahko ogledate na blogu, nekateri od njih so objavljeni spodaj.
Majboljša praksa primer Ubuntu/Debian Server
sudo su cd /opt/ git clone --depth 1 https://github.com/stamparm/maltrail.git cd maltrail python3 sensor.py &
SERVER NA ISTAM OMREŽJU:
cd /opt/ [[ -d maltrail ]] || git clone https://github.com/stamparm/maltrail.git cd maltrail python3 server.py &
Izpiše se vam ena številka jo kopirate v nastavitve v sekciji:
#User entries (username:sha256(password):UID:filter_netmask(s))
#Note(s): sha256(password) can be generated on Linux with: echo -n 'password' | sha256sum | cut -d " " -f 1
#UID >= 1000 have only rights to display results (Note: this moment only functionality implemented at the client side)
#filter_netmask(s) is/are used to filter results
USERS
admin:9ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:0: # changeme!
#local:9ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:1000:192.168.0.0/16 # changeme!
administrator:1ab3cd9d67bf49d01f6a2e33d0bd9bc804ddbe6ce1ff5d219c42624851db5dbc:0:
sudo nano /home/admin/maltrail/maltrail.conf
Zakomentirajte pod USERS originalni pristop in npr. kopirajte spovaj z presledkom spredaj prvo po želji uporabniško ime npr. “administrator” in pol tisto geslo, ki se vam je izpisalo na koncu vaše kode obvezno :0:
Testirajte iz terminala če vse pravilno deluje:
ping -c 1 136.161.101.53
cat /var/log/maltrail/$(date +"%Y-%m-%d").log
nslookup morphed.ru
cat /var/log/maltrail/$(date +"%Y-%m-%d").log
ali boljše je npr. odprete vaš command prompt od windowsa in zaženite spodnjo kodo
in vpišete vaš ip strežnika:
C:\WINDOWS\system32> curl -A "Masscan" 192.168.1.85
C:\WINDOWS\system32> curl -I "Masscan" 192.168.1.85
C:\WINDOWS\system32> curl -I -A "Masscan" 192.168.1.85
Avtomatični zagon maltrail programa ob vsakem ponovnem zagonu vašega sistema oz. strežnika:
Zdaj ko smo si namestili program ga je potrebno dati v avtomatični zagon ob vsakem ponovnem zagonu stržnika tako, da v terminalu zažgite spodnje komande, POZOR, vi menjate samo vašo pot oz. uporabnika kamor ste namestili programsko opremo, v tem primeru na račun ADMIN in mapa /HOME/ADMIN/MALTRAIL/
## Shrani zgornje direktive in aktiviraj še ta filter v fail2ban jail.conf
Se pravi zamenjate kjer je mojhsot vpišete vašo domeno FQDN ali vaš HostName serverja in tam kjer je x\.x\.x\.x tukaj vpišite vaš ip serverja se pravi npr. 192\.168\.1\.85
sudo nano /etc/fail2ban/jail.local
[maltrail]
enabled = true
filter = maltrail
logpath = /var/log/maltrail/*-*-*.log
port = all
banaction= iptables-allports
maxretry = 1
bantime = 864000
Shrani in ponovno zaženi fail2ban:
sudo service fail2ban restart sudo service fail2ban status
PS to gor je moj način namestitve maltrail kot ste vidli v mapo /home/admin/maltrail/, lahko program namestite v katerokoli mapo samo ne pozabit, za aktivirat maltrail avtomatični zagor, npr. če namestite program kot priporočajo razvijalci tega programa se pravi v /opt/maltrail/ pol popravite obvezno za avtomatični zagon skript tako – v terminalu zaženite spodnje komande /če ste namestili maltrail v mapo /opt/maltrail/, kakor so navodila na GitHub https://github.com/stamparm/maltrail:
Seveda ste pol izvedli namestitev tako se pravi kot root, cd /opt/ in ste izvedli isto operacijo za namesitev program se pravi to:
Zdaj pa zaženi v terminalu kot root spodnje komande za namestit avtomatično zagon program MALTRAIL, ko boste ponovno zagnali vaš strežnik, da je vse vklopljeno!!!:
V kolikor uporabljate MalTrail oz. Malicious Trafic Detection programsko opremo za vaš strežnik to je moj način kako integrirati maltrail z fail2ban požarnim zidom, vendar za to isto dejanje imate na uradni strani razvijalcev programske opreme drugačen postopek integracije maltral z fail2ban poglejte si URL: https://github.com/stamparm/maltrail njihov postopek ali pa tukaj spodaj moja varianta integracije:
Odprite novo datoteko v vašem fail2ban oz. ustvarite novo datoteko v mapi od fail2ban preko vašega terminala ali pa lažje preko uporabe Webmin:
sudo nano /etc/fail2ban/filter.d/maltrail
Kopirajte spodnje direktive s tem, da zamenjate tam kjer je moja domena se pravi perc.ddns.net z vašo ali dajte vaš hostname se pravi ime strežnika npr. mojadomena.si ali če ste samo dali za hostname npr. mojserver (ponavadi odvisno od vaše postaviteve strežnika bo končna domena za skupno gostovanje na vašem strežniku tako nekako mojserver.mojadomena.si vpišite spodaj in za IP kjer je npr. moj 192.168.1.85 vpišite vaš IP naaslov strežnika – terminal “ifconfig” komanda vam izpiše eth0 ip strežnika, ponavadi tisti ip katerega ste razervirali preko vašega usmerjevalnika oz. routerja!!!
Zdaj pa še aktivirajte v vaš fail2ban blokade znanih strežnkov kateri napadajo ali skenirajo omrežja tako da kopirate spodnje direktive na koncu vašega fail2ban:
sudo nano /etc/fail2ban/jail.local
[maltrail]
enabled = true
filter = maltrail
logpath = /var/log/maltrail/*-*-*.log
port = all
banaction= %(banaction_allports)s
maxretry = 1
bantime = -1
# action = %(action_mwl)s
To direktivo action %(action_mwl)s odkomentirate oz. dodate, če želite prejeti na vaš epoštni račun, ki ste določili v alineji med 140 in 149 v nastavitveni datoteki se pravi /etc/fail2ban/jail.local
Priporočam še, da obiščete stran abuseipdb.com in si v action.d mapi fail2ban uštimate še te nastavitve ter aktivirate te funkcionalnosti še v jail.local, = https://www.abuseipdb.com/ zelo priročno in vsekakor pripomorete k večji zaščiti interneta za vse uporabnike, saj boste pošiljali na stran abuseipdb.com tudi vi vse, ki napadajo vašo omrežje oz. vaš strežnik!!!
Namestite program fail2ban požarni zid in napišite sledeči filter za blokirat znane napadalce, ki skenirajo vaš strežnik tako:
