搜索

[10795] 2016-12-05_Splunk+蜜罐+防火墙=简易WAF

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-12-05_Splunk+蜜罐+防火墙=简易WAF S p l u n k + 蜜 罐 + 防 火 墙 = 简 易 W A F R i p Z   F r e e B u f   2 0 1 6 - 1 2 - 0 5 * 本 文 原 创 作 者 ： R i p Z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 每 天 都 会 有 大 量 的 公 网 恶 意 扫 描 和 攻 击 行 为 ， 在 企 业 安 全 建 设 中 ， 可 以 利 用 大 数 据 来 实 时 分 析 攻 击 ， 通 过 防 火 墙 联 动 来 自 每 天 都 会 有 大 量 的 公 网 恶 意 扫 描 和 攻 击 行 为 ， 在 企 业 安 全 建 设 中 ， 可 以 利 用 大 数 据 来 实 时 分 析 攻 击 ， 通 过 防 火 墙 联 动 来 自 动 封 禁 恶 意 动 封 禁 恶 意 I P ， 其 优 点 是 配 置 灵 活 ， 且 无 需 串 联 新 设 备 。 在 此 与 大 家 分 享 一 下 大 数 据 分 析 的 应 用 实 践 。 ， 其 优 点 是 配 置 灵 活 ， 且 无 需 串 联 新 设 备 。 在 此 与 大 家 分 享 一 下 大 数 据 分 析 的 应 用 实 践 。 0 × 0 0   整 体 思 路 整 体 思 路 如 下 图 所 示 ， 蓝 色 箭 头 表 示 数 据 流 向 ， 橙 色 箭 头 表 示 接 口 调 用 。 s p l u n k 收 集 所 有 服 务 器 、 蜜 罐 、 防 火 墙 的 日 志 ， 实 时 分 析 是 否 存 在 恶 意 攻 击 ， 如 果 判 定 为 攻 击 行 为 ， 则 立 即 调 用 防 火 墙 接 口 进 行 I P 封 禁 ， 完 成 防 火 墙 联 动 。
（ 数 据 流 向 图 ） 0 × 0 1   产 品 简 介 产 品 简 介 s p l u n k ： 大 数 据 分 析 平 台 ， 搜 索 极 快 ， 字 段 创 建 灵 活 。 s p l u n k 官 方 网 站 ： [ h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 1 2 0 6 5 . h t m l ] 防 火 墙 防 火 墙 ： 需 要 使 用 自 带 A P I 的 防 火 墙 ， 以 便 进 行 命 令 调 用 。 0 × 0 2   日 志 收 集 日 志 收 集 部 署 s p l u n k 的 转 发 器 进 行 统 一 日 志 收 集 ， 同 时 可 以 配 置 s p l u n k 索 引 器 （ 日 志 中 心 ） 的 端 口 监 听 ， 来 收 集 所 有 设 备 的 s y s l o g 。 索 引 器 和 转 发 器 的 配 置 安 装 网 上 也 有 教 程 ， 这 里 不 再 多 写 。 （ s p l u n k 整 体 架 构 ）
0 × 0 3   日 志 分 析 日 志 分 析 s p l u n k 自 带 了 一 部 分 日 志 模 板 ， 如 t o m c a t 、 I I S 、 w i n d o w s 日 志 等 （ 如 下 图 ） ， 同 时 也 不 必 担 心 无 法 分 析 其 他 的 日 志 ， 我 们 可 以 通 过 正 则 表 达 式 来 灵 活 地 建 立 自 定 义 字 段 ， 从 而 将 同 一 类 型 的 日 志 进 行 精 细 化 处 理 。 （ 内 置 的 字 段 ）
在 s p l u n k 左 侧 的 界 面 可 以 针 对 想 要 的 字 段 进 行 搜 索 ， 如 下 图 ， 这 些 创 建 字 段 的 教 程 网 上 有 不 少 ， 不 再 赘 述 。 （ 字 段 查 询 结 果 ） 下 面 说 一 下 检 测 公 网 扫 描 的 行 为 ， 判 定 扫 描 的 规 则 是 ： 1 .   扫 描 肯 定 会 产 生 4 0 4 或 5 0 0 错 误 2 .   由 公 网 发 起 的 3 .   U R I 中 包 含 了 下 列 关 键 字 （ 黑 名 单 方 式 ） 中 包 含 了 下 列 关 键 字 （ 黑 名 单 方 式 ） 4 .   如 果 是 扫 描 ， 日 志 中 同 一 个 源 I P 肯 定 会 在 短 时 间 （ 至 少 持 续 了 肯 定 会 在 短 时 间 （ 至 少 持 续 了 3 0 秒 ） 内 有 很 多 的 错 误 事 件 汇 总 后 如 下 ， 并 且 需 要 设 置 实 时 监 控 ： 搜 索 出 的 结 果 如 下 图 所 示 ， 已 经 将 每 个 进 行 扫 描 的 源 I P 进 行 抓 取 ， 如 下 图 所 示 。 ( s c _ s t a t u s = 4 0 4   O R   s c _ s t a t u s = 5 0 0 ) ( c _ i p ! = " 1 0 . * . * . * "   ) ( c s _ u r i _ s t e m = " * a c t i o n   r e d i r e c t * "   O R   c s _ u r i _ s t e m = " * i n v o k e r * "   O R   c s _ u r i _ s t e m = " * j m x - c o n s o l e * "   O R   c s _ u r i _ s t e m = " * w e b - c o n s o l e * "   O R   c s _ u r i _ s t e m = " * f c k * "   O R   c s _ u r i _ s t e m = " * d e d e * "   O R   c s _ u r i _ s t e m = " * W e b s e n s e * "   O R   c s _ u r i _ s t e m = " * c o n s o l e * "   O R   c s _ u r i _ s t e m = " * x s s * "   O R   c s _ u r i _ s t e m = " * s c r i p t * "   O R   c s _ u r i _ s t e m = " * s e l e c t * "   O R   c s _ u r i _ s t e m = " * w h e r e * "   O R   c s _ u r i _ s t e m = " * u n i o n * "   O R   c s _ u r i _ s t e m = " * c o m m o n . i n c . p h p * "   O R   c s _ u r i _ s t e m = " * c o n c a t * "   O R   c s _ u r i _ s t e m = " * a p p s c a n * "   O R   c s _ u r i _ s t e m = " * w v s * "   O R   c s _ u r i _ s t e m = " * a d m i n * "   O R   c s _ u r i _ s t e m = " * s h e l l * "   O R   c s _ u r i _ s t e m = " * e t c / p a s s w d * " ) t r a n s a c t i o n   c _ i p   m a x s p a n = 3 m   |   w h e r e d u r a t i o n > 3 0
（ 实 时 监 测 的 公 网 扫 描 行 为 ） 利 用 同 样 的 检 测 原 理 ， 我 们 可 以 设 置 对 邮 箱 的 暴 力 破 解 （ O W A 、 S M T P 等 ） 进 行 监 控 （ 只 需 要 自 己 模 拟 一 下 暴 力 破 解 过 程 ， 在 s p l u n k 上 搜 索 相 应 的 登 录 失 败 日 志 即 可 。 ） 0 × 0 4   设 置 告 警 设 置 告 警 既 然 可 以 抓 到 实 时 的 扫 描 源 I P ， 下 一 步 就 是 要 进 行 邮 件 通 知 安 全 部 门 。
（ 添 加 告 警 触 发 后 的 操 作 ） 由 此 可 以 设 置 邮 件 告 警 ， 通 告 扫 描 的 源 I P 。 此 时 已 经 具 备 了 收 到 告 警 后 ， 手 动 在 防 火 墙 封 禁 的 条 件 。
（ 扫 描 告 警 邮 件 ） 0 × 0 5   防 火 墙 联 动 防 火 墙 联 动 俗 话 说 的 好 ： 不 用 自 动 化 ， 不 是 好 攻 城 狮 。 于 是 开 始 了 研 究 防 火 墙 联 动 的 工 作 ， 首 先 即 着 手 如 何 用 s p l u n k 导 出 告 警 原 文 并 运 行 脚 本 。 想 要 导 出 告 警 文 本 ， 就 需 要 知 道 s p l u n k 告 警 中 的 变 量 ， 其 中 总 共 有 8 个 变 量 ， 从 0 到 8 （ 没 有 7 ） ， 如 下 表 所 示 。 变 量 变 量 描 述 描 述 变 量 变 量 描 述 描 述 0 脚 本 名 称 4 报 表 名 称 1 返 回 事 件 的 数 量 5 触 发 原 因 2 搜 索 项 目 6 浏 览 报 表 的 浏 览 器 U R L 3 具 有 完 全 资 质 的 查 询 字 符 串 8 搜 索 结 果 储 存 的 文 件 在 这 里 我 们 需 要 用 到 变 量 8 ， 其 变 量 内 容 为 _ r a w （ 即 搜 索 出 来 的 结 果 ， 如 下 图 ） 每 次 告 警 触 发 的 时 候 都 会 有 一 批 r a w 输 出 ， 而 告 警 搜 索 语 句 中 我 们 设 置 了 针 对 同 一 源 I P 的 扫 描 进 行 事 件 归 并 ， 所 以 每 次 告 警 的 源 I P 肯 定 是 一 样 的 。 由 此 我 们 可 以 利 用 正 则 表 达 式 来 筛 选 出 单 独 的 I P ， 同 时 要 排 除 1 0 . * . * . * ， 又 由 于 可 能 一 次 告 警 出 现 多 条 攻 击 记 录 ， 正 则 筛 选 出 I P 后 ， 可 能 是 很 多 行 同 样 的 I P ， 此 时 摘 出 来 第 一 个 即 可 。 脚 本 如 （ a d d B l a c k . s h ） 。 在 调 用 p y t h o n 脚 本 时 ， 必 须 要 写 全 p y 文 件 所 在 路 径 ， 否 则 s h 脚 本 无 法 自 动 找 到 当 前 的 路 径 。 在 筛 选 出 I P 后 ， 需 要 先 过 一 遍 公 司 各 分 支 机 构 的 白 名 单 ， 以 防 误 将 公 司 分 支 I P 封 禁 。 脚 本 如 下 （ c h e c k I P . p y ） 如 果 攻 击 I P 不 在 白 名 单 中 ， 则 调 用 防 火 墙 A P I 封 禁 I P （ 具 体 的 A P I 就 不 共 享 了 ， 领 会 精 神 ） 。 至 此 ， 三 个 脚 本 环 环 相 扣 调 用 完 毕 ， 剩 下 的 就 是 要 在 s p l u n k 配 置 告 警 时 运 行 的 脚 本 了 。 在 编 辑 告 警 操 作 中 ， 添 加 运 行 脚 本 ” a d d B l a c k . # ! / b i n / b a s h i p = ` g u n z i p   - c   $ 8   |   g r e p   - o E ' [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } ' |   g r e p   - v   - E ' ^ 1 0 . [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } . [ 0 - 9 ] { 1 , 3 } $ ' |   h e a d   - n 1 ` e c h o   " $ i p   ` d a t e ` "   > > / o p t / s p l u n k / b i n / s c r i p t s / S c a n B a n I P L o g . t x t p y t h o n   / o p t / s p l u n k / b i n / s c r i p t s / c h e c k I P . p y " $ i p " # c o d i n g : u t f - 8 i m p o r t   o s i m p o r t   s y s i p   =   s y s . a r g v [ 1 ] + " n " f l a g   =   " F a l s e " f   =   o p e n ( " / o p t / s p l u n k / b i n / s c r i p t s / w h i t e I P . t x t " ) f o r   i   i n   f :       i f   i   = =   i p :               f l a g   =   " T r u e " f . c l o s e ( ) i f   f l a g   = =   " F a l s e " :       o s . s y s t e m ( " p y t h o n   / o p t / s p l u n k / b i n / s c r i p t s / a d d G r o u p . p y   " + i p ) e l s e :       p r i n t   " T h i s   I P   i s   i n   t h e   w h i t e l i s t ! " i m p o r t   u r l l i b 2   i m p o r t   u r l l i b i m p o r t   s y s i p   =   s y s . a r g v [ 1 ] a d d _ b l a c k   =   " h t t p s : / / 1 0 . 1 . 0 . 1 / a p i / ? x x x x x x x x = " + i p + " & k e y = x x x x x x " a d d _ r e q   =   u r l l i b 2 . R e q u e s t ( a d d _ b l a c k ) u r l l i b 2 . u r l o p e n ( a d d _ r e q )
s h ” （ 脚 本 需 放 置 于 $ S P L U N K _ H O M E / b i n / s c r i p t s 目 录 中 ） （ 添 加 运 行 脚 本 ） 此 后 再 检 测 到 扫 描 ， s p l u n k 会 自 动 发 送 邮 件 到 安 全 部 门 ， 并 调 用 防 火 墙 A P I 直 接 封 禁 攻 击 I P （ 世 界 终 于 清 净 了 一 些 ） 。 0 × 0 6   蜜 罐 搭 建 蜜 罐 搭 建 S S H 蜜 罐 蜜 罐 在 文 章 开 头 附 了 c o w r i e 部 署 的 文 章 ， 通 过 c o w r i e 可 以 搭 建 一 个 S S H 蜜 罐 ， 同 时 s p l u n k 分 析 防 火 墙 发 来 的 日 志 ， 实 时 监 测 对 于 c o w r i e 蜜 罐 2 2 端 口 的 连 接 情 况 。 在 正 常 情 况 下 ， 蜜 罐 不 会 被 正 常 用 户 访 问 ， 何 况 还 是 S S H 登 录 的 请 求 ， 如 果 短 时 间 内 产 生 了 超 过 2 条 以 上 的 连 接 情 况 ， 必 是 恶 意 请 求 无 疑 ， 此 时 使 用 告 警 脚 本 调 用 防 火 墙 A P I 封 禁 恶 意 I P 即 可 。 w e b 蜜 罐 蜜 罐 其 实 w e b 蜜 罐 很 简 单 ， 只 需 一 个 A p a c h e + 静 态 H T M L 页 面 即 可 。 映 射 到 公 网 之 后 ， 配 置 一 个 “ 奇 葩 的 ” 公 司 二 级 域 名 （ 如 f u c k . x x . c o m ） 指 向 到 这 个 公 网 I P ， 普 通 用 户 肯 定 不 会 访 问 到 这 个 域 名 。 A p a c h e 启 动 后 实 时 监 测 防 火 墙 发 来 的 日 志 ， 一 旦 发 现 有 对 蜜 罐 8 0 端 口 的 访 问 记 录 ， 立 即 告 警 ， 如 果 限 制 的 比 较 严 格 ， 可 以 直 接 使 用 告 警 脚 本 调 用 防 火 墙 A P I 封 禁 访 问 蜜 罐 的 I P 。 0 × 0 7   结 语 结 语 至 此 ， 简 单 的 W A F 已 经 制 作 完 毕 ， 其 实 核 心 的 只 是 几 个 特 征 ， 可 以 将 恶 意 扫 描 实 时 封 禁 ， 对 于 s q l m a p 也 会 有 一 定 的 防 护 ， 但 是 对 于 0 d a y 来 说 并 没 有 很 好 的 防 护 效 果 ， 还 需 根 据 特 征 值 来 手 动 加 入 检 测 规 则 。 P . S   s p l u n k 一 定 要 装 在 l i n u x 里 。 装 在 w i n d o w s 容 易 悲 剧 ， 不 知 道 什 么 时 候 就 会 卡 的 欲 仙 欲 死 。 * 本 文 原 创 作 者 ： R i p Z ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理