Instalacion OSSIM

PROYECTO MONITOREO ALIENVAUL OSSIM

PRESENTADO POR: YADIRA VASQUEZ MICHAEL LEZAMA LEONARDO RAMIREZ HERNANDO FRANCO ALXANDER USMA

DOCENTE: JARBY JAVIER MEJIA BRITO Administración de de Redes de Computo Computo 231096

SERVICIO NACIONAL DE APRENDIZAJE SENA CENTRO DE ELECTRICIDAD, ELECTRONICA Y TELECOMUNICACIONES BOGOTA D.C. AGOSTO 22 DE 2012 2012

231096

ADMINISTRACION DE REDES DE COMPUTO

CEET


PRESENTADO POR YADIRA VASQUEZ MICHAEL LEZAMA LEONARDO RAMIREZ HERNANDO FRANCO ALXANDER USMA

Administración de de Redes de Computo Computo 231096 . SERVICIO NACIONAL DE APRENDIZAJE SENA CENTRO DE ELECTRICIDAD, ELECTRONICA Y TELECOMUNICACIONES BOGOTA D.C. AGOSTO 22 DE 2012 2012

231096


CEET


PRESENTADO POR YADIRA VASQUEZ MICHAEL LEZAMA LEONARDO RAMIREZ HERNANDO FRANCO ALXANDER USMA

Administración de de Redes de Computo Computo 231096 . SERVICIO NACIONAL DE APRENDIZAJE SENA CENTRO DE ELECTRICIDAD, ELECTRONICA Y TELECOMUNICACIONES BOGOTA D.C. AGOSTO 22 DE 2012 2012

231096


CEET

Introducción

AlienVault Open Source SIEM (OSSIM) es un sistema de seguridad integral en código abierto, ofrece como un producto de seguridad que permite integrar en una única consola todos los dispositivos y herramientas de seguridad que disponga en la red, así como la instalación de otras herramientas de código abierto y de reconocido prestigio como Snort, Openvas, Ntop y OSSEC. Para acceder a toda la información recogida y generada por el sistema se hace uso de una consola Web que además permite configurar el sistema y ver el estado global de nuestra red en tiempo real.

231096


CEET

Objetivo

El objetivo de este tutorial es proporcionar al usuario una guía paso a paso sobre cómo instalar AlienVault Open Source SIEM, la configuración, y algunos buenos apuntes para tener en cuenta a la hora de instalarlo. Este documento también cubre los conceptos básicos y una breve explicación de la función de la herramienta AlienVault.

¿QUE ES OSSIM?

Este consiste en una consola de seguridad central , que nos permite gestionar y saber el nivel de seguridad (métrica) que tiene nuestra empresa. Se trata de un proyecto Open Source.

Para tener en cuenta

Se debe tener en cuenta, que se debe usar la ultima versión del software, para mejor aprovechamiento de la herramienta.

231096


CEET

¿Por qué un instalador?

AlienVault es un producto que integra más de 30 herramientas Open Source. Tanto el sistema operativo como muchas de las herramientas integradas, han sido modificadas para mejorar su funcionamiento dentro del sistema. Es por ello que la instalación de AlienVault a partir del código fuente requiere de unos amplíos conocimientos y de la compilación de más de 40 herramientas. Para simplificar el complejo proceso de compilación, instalación y configuración de estas herramientas el equipo de desarrollo distribuye AlienVault dentro de un instalador en el que se incluye el sistema operativo, los componentes acompañados de un potente sistema de configuración y actualización. El instalador de AlienVault está basado en el sistema operativo Debian/GNU Linux y está disponible para arquitecturas de 32 y 64 bits. ¿32 Bits o 64 Bits?

Es de vital importancia comprobar si nuestro procesador es de arquitectura es de 32 o de 64 Bits. En caso afirmativo podremos aprovecharnos de las ventajas que ofrece esta arquitectura en cuanto a rendimiento. En determinados perfiles de instalación y dependiendo del tráfico y del número de eventos a tratar es necesario disponer de un hardware capaz de gestionar grandes volúmenes de datos. La arquitectura de 64 Bits permite, además, el uso de una mayor cantidad de memoria física. Funcionamiento Básico

1. Las aplicaciones generan eventos de seguridad 2. Los eventos son recogidos y normalizados 3. Los eventos son enviados a un servidor central 4. Valoración del riesgo de cada evento 5. Correlación de eventos 6. Almacenamiento de los eventos 7. Acceso a los eventos almacenados 8. Acceso a la configuración 9. Acceso a métricas e informes 10. Acceso a información en tiempo real del estado de nuestra red Los eventos de seguridad son generados por las diferentes aplicaciones y dispositivos que existan en la red. Estos eventos son recogidos y normalizados por el Sensor de AlienVault, que se encarga además de enviarlos a un servidor central. En un despliegue de AlienVault podremos disponer de tantos Sensores como necesitemos.

231096


CEET

Perfiles de Instalación

Dependiendo de la función del nuevo host en el despliegue de AlienVault es posible configurar el perfil en uso. Esto puede ser configurado durante la instalación o después de la instalación. Por defecto la instalación automatizada permitirá a todos los perfiles en el mismo equipo. Sensor

El Sensor de AlienVault incluye una serie de herramientas (Snort, Ntop, Tcptrack, Arpwatch…) que permiten analizar todo el tráfico de red en busca de problemas de seguridad y anomalías. Para poder sacar provecho de esta funcionalidad de AlienVault es imprescindible que el Sensor de AlienVault sea capaz de ver todo el tráfico de la red, bien sea utilizando un concentrador, o configurando un port mirroring o port Span en la electrónica de red. Todos los sensores de AlienVault envían sus eventos a un único servidor de AlienVault, que se encarga de efectuar una valoración del riesgo para cada evento, y en el que también tendrá lugar el proceso de correlación. Una vez estos dos procesos han tenido lugar, los eventos son almacenados en la base de datos de AlienVault. Para tener acceso a toda esta información, así como a la configuración del sistema y a una serie de métricas e informes haremos uso de la Consola Web de AlienVault. Desde esta consola Web también tendremos acceso a información en tiempo real a una serie de aplicaciones que nos facilitarán el análisis del estado global de nuestra red. El perfil del Sensor habilitará a ambos, los detectores de AlienVault y el Colector. Los detectores siguientes están activados por defecto:          

Snort (IDS a nivel de Red) Ntop (Monitor de red y uso) Openvas (Gestión de Vulnerabilidad) P0f (Sistema Operativo de Detección Pasiva) Pads (Sistema Pasivo de Detección de Activos) Arpwatch (Anomalías de cambios de mac) OSSEC (IDS a nivel de Host) Osiris (Monitor de integridad) Nagios (Monitor de disponibilidad) OCS (Inventario)

Una vez que el perfil de Sensor ha sido activado, usted puede desactivar el detector de manera que sólo se mantiene la funcionalidad de la colección.

231096


CEET

Para obtener beneficio de las capacidades de detección de esas herramientas, tendremos que configurar la red en el sensor de AlienVault de modo que: 

Tiene acceso a la red que se está supervisando: Escáner de Vulnerabilidades, Control de Disponibilidad, WMI Agentless collection, Colección Syslog Recibe todo el tráfico de la red. Es necesario configurar un port mirroring/portspan o hacer uso de un concentrador (HUB) o Network tap. o



o

Snort, Ntop, Arpwatch, Generación de Fujos, Pads, P0f…

El perfil del Sensor configura el sistema para que esté listo para recibir eventos de hosts remotos usando el protocolo Syslog. Cada aplicación o dispositivo tendrá un plugin asociado (conector DS) que define cómo recoger los sucesos de la aplicación o dispositivo, así como cómo los acontecimientos que deberían normalizarse antes de enviarlos al servidor central de AlienVault. Un despliegue AlienVault puede tener tantos sensores como le sea necesario, básicamente en función de las redes que están siendo controladas y sobre la distribución geográfica de la organización que será objeto de seguimiento utilizando AlienVault. Por lo general, es necesario configurar un sensor por red, pero si instalamos más de un interfaz de red y enrutamos el trafíco ó configuramos un port-mirroring sobre el, podremos monitorizar más de una red en el mismo sensor.

Server

Esta instalación combina los perfiles SIEM y el componente Logger. Los sensores se conectarán al servidor de AlienVault para enviar los eventos normalizados. Los despliegues simples incluirán un Servidor único en el despliegue. Más despliegues complejos podrían tener más de un Servidor con diferentes roles, o en caso de que sea necesario para implementar el Servidor de AlienVault con alta disponibilidad. Framework

El perfil de Framework instalará y configurará el componente de la interfaz de Gestión Web. Una única interfaz de Gestión Web serán desplegada en cada instalación AlienVault. Más despliegues complejos con múltiples Servidores AlienVault pueden tener más de un equipo con el perfil de Marco habilitado. El Framework es el perfil de instalación que utiliza la menor cantidad de memoria y CPU. Por esta razón, el Framework se suele instalar con el perfil de Servidor. Database 231096


CEET

El perfil Database permitirá a una base de datos MySQL almacenar la configuración y eventos (Si la funcionalidad SIEM está en uso). Por lo menos una base de datos se requiere en cada despliegue. Incluso si sólo el perfil SIEM es habilitado, una base de datos será necesaria para almacenar la información de los inventarios y los parámetros de configuración. All-in-one

El perfil all-in-one habilitará a todos los perfiles en un solo equipo. Este es el perfil de instalación por defecto y se activa si el usuario realiza una instalación automatizada. Requisitos Requisitos de Hardware

Los requisitos de hardware para instalar AlienVault dependerán en gran medida del número de eventos por segundo y del ancho de banda de la red que pretendamos analizar. Como requisito mímimo siempre es recomendable disponer de al menos 2GB de memoria RAM, cantidad que deberemos ir incrementando en función del tráfico que analicemos, del número de eventos que tenga que procesar el servidor o de la cantidad de datos que pretendamos almacenar en base de datos. Para optimizar el uso de recursos es imprescindible que utilicemos unicamente las aplicaciones y componentes que nos resultarán de utilidad en cada caso. La diferencia de rendimiento entre 32 Bits y 64 Bits es más que considerable, por lo que siempre deberemos tratar de escoger esta arquitectura a la hora de escoger nuestro hardware. A la hora de seleccionar las tarjetas de red para realizar la captura del tráfico, deberemos procurar escoger aquellas soportadas por el driver e1000. El desarrollo Open Source de este driver garantiza una buena compatibilidad de estas tarjetas con Debian GNU/Linux. Siempre deberemos dedicar las tarjetas de red con peores especificaciones, o aquellas que ofrezcan problemas de compatibilidad a la recogida de eventos de otros dispositivos o como interfaz de gestión. Requisitos de red

Para poder llevar a cabo un buen despliegue de AlienVault es importante conocer bien la electrónica de red de la que disponemos para poder configurar un port mirroring en los dispositivos de red que lo soporten. Hay que tener un especial 231096


CEET

cuidado a la hora de configurar el port mirroring para evitar principalmente dos cosas: 



Tráfico duplicado : Se da en el caso en que estoy viendo el mismo tráfico en dos port mirroring configurados en diferentes dispositivos de la misma red. Tráfico que no se puede analizar : En ocasiones puede no tener sentido configurar un port mirroring en un punto de la red en el que todo el tráfico es canalizado utilizando una VPN o demás protocolos que envían los datos cifrados.

Además del port mirroring, es necesario preparar con anterioridad las diferentes direcciones IP que vamos asignar a los componentes de AlienVault, teniendo en cuenta que muchos de estos componentes deberán tener acceso a la red que estén monitorizando. Como ejemplo, si decidimos hacer uso de OpenVas para realizar escaneos de vulnerabilidades a nuestra red deberemos asegurarnos de que la máquina en que se está ejecutando OpenVas tiene permisos en el Firewall para acceder a los equipos que se dispone a analizar. Para poder normalizar los diferentes eventos, el Sensor de AlienVault también deberá tener acceso al DNS de la organización, logrando de este modo obtener las direcciones IP a partir de los nombres de las máquinas.

231096


CEET

Topologia

231096


CEET

Instalacion OSSIM

Seleccione automated installation

231096


CEET

Se selecciona el idioma español

Seleccionamos el pais

231096


CEET

Seleccionamos la configuración del teclado en español

231096


CEET

Configuramos la IP con 192.168.5.xxx

231096


CEET

Mascara de subred

Configuración de la red

231096


CEET

Nos pregunta la dirección IP del name server

Configuramos el nombre de la maquina por default nos aparece ailenvault, pero puse OSSIM para diferenciar que se va a usar OSSIM

231096


CEET

Configuración del dominio redes.com

Configuracion del reloj

231096


CEET

Nos indica las formas en que queremos formatear el disco, en este caso guiado utilizando todo el disco

Escogemos la partición que deseamos, en este caso escojo la de VMware

231096


CEET

Instalando sistema operativo

Ponemos clave al usuario ROOT

231096


CEET

Finalizar intalacion

Comenzando ossim

231096


CEET

Se ingresa con el super usuario y la contraseña

231096


CEET

CONFIGURACION OSSIM

1.- Configurar Interfaces de Red (Interfaces Ethernet) Primero configuramos una tarjeta con ip ej: 192.168.5.xxx y otra tarjeta la configuramos en modo promiscuo para capturar paquetes de nuestra red.

- Editamos la configuración /etc/network/interface: nano /etc/network/interfaces # The loopback network interface auto lo eth0 eth1 iface lo inet loopback # The primary network interface #allow-hotplug eth1 iface eth0 inet manual up ifconfig $IFACE 0.0.0.0 up up ifconfig $IFACE promisc down ifconfig $IFACE down iface eth1 inet static address 192.168.5.xxx (ip del servidor) netmask 255.255.255.0 (mascara de red) network 192.168.5.xxx (inicio de segmento de red) broadcast 192.168.5.255 (final de segmento de red) gateway 192.168.5.1 (puerta de enlace) dns-nameservers 192.168.5.10 (servidor dns) dns-search mundoredes.com (grupo de trabajo) Ejemplo

231096


CEET

- Guardar los cambios y reiniciamos las instancias de red con el comando: /etc/init.d/networking restart

231096


CEET

- Con este commando veremos si los cambios fueron efectuados: ifconfig

- Cambiar la contraseña de ntop: ntop – A

Contraseña andr34920919 usuario admin - Reiniciar el servidor: reboot

231096


CEET

2.- Resetear la contaseña de MYSQL. - Detenemos mysql /etc/init.d/mysql stop

- Iniciamos el servicio de mysql en modo seguro, ejecutamos: /usr/bin/mysqld_safe --user=root --pid-file=/var/run/mysqld/mysqld.pid --skip-grant tables &

- Entramos en la consola con usuario root: /usr/bin/mysql -u root mysql

- Reseteamos la contraseña de usuario root: update user set password=password('passwordnuevoMYSQL') where User='root' and host='localhost';

- flush privileges;

- Damos derechos a root@localhost: grant all privileges on *.* to root@' localhost ';

- Si queremos entrar de una ip especifica a la base de datos mysql: GRANT ALL PRIVILEGES ON *.* TO root@'192.168.5.2' IDENTIFIED BY 'sena231096';

231096


CEET

- Salimos de la consola con: exit - Editar archivo my.cnf nano /etc/mysql/my.cnf

- Guardamos el archivo y reiniciamos el servicio de mysql: /etc/init.d/mysql restart El primer archivo a modificar es el /etc/ossim/ossim_setup.conf nano /etc/ossim/ossim_setup.conf

Cambiamos las siguientes líneas: Admin_ip=192.168..5.xxx Domain=nombre del dominio interface=eth0 (interfas que utiliza el servidor en modo promiscuo)

[database] db_ip=localhost pass=passwordMYSQL (debe ser el mismo password que se configure en mysql)

231096


CEET

[framework] Framework_ip= 192.168.5.xxx

[sensor] interfaces=eth0 ip=192.168.5.xxx (ip del sensor que es la misma ip del equipo)

[server] server_ip=192.168.5.xxx (ip del servidor que es la misma ip del equipo)

[snmp] Snmpd=yes Snmptrap=yes

231096


CEET

- Guardamos los cambios y modificamos el siguiente archivo:

nano /etc/ossim/framework/ossim.conf ################################################# # OSSIM db configuration ################################################# ossim_pass=passwordMYSQL ossim_host=localhost

################################################## # OSSIM control access list configuration (phpGACL) ################################################## phpgacl_host=localhost phpgacl_pass=passwordMYSQL (el password debe ser = al que se cambio en mysql)

Guardamos los cambios y modificamos el siguiente archivo:

nano /etc/snort/snort.debian.conf DEBIAN_SNORT_HOME_NET="192.168.5.0/24, 172.16.0.0/16, 10.0.0.0/8" DEBIAN_SNORT_INTERFACE="eth0" (interfaz en modo promiscuo)

231096


CEET

Guardamos los cambios y después reconfiguramos el ossim:

/usr/bin/ossim-reconfig

231096


CEET

231096


CEET

- Reiniciar el servidor: reboot 3 Ingresamos a una maquina con el sistema operativo preferido (Microsoft, Linux,etc) que tenga instalado java, flash player y adobe read -Abrimos cualquier navegador de internet (opera,chrome, mozilla firefox,interneet explorer etc)

Escribimos en la barra del buscador la dirección ip de OSSIM 192.168.5.xxx

231096


CEET

Entramos por primera vez a la consola de ossim, el usurio y contraseña es admin 231096


CEET

Luego nos pide cambiar la contraseña mas de 10 caracteres alfanumericos

Ingresamos por primera vez a la consola de ossim

231096


CEET

Instalacion OSSIM

Recommend Documents