@media screen and (min-width: 580px) { .flotantewhatsapp{ display:none; } }

Compartir por WhatsApp

implementar-soc-instalar-thehive-cortex-y-misp-5

Implementar SOC: Instalar TheHive, Cortex y MISP

Raul Unzue Pulido 22 febrero, 2024 Ciberseguridad, Linux 5 Comentarios 3,504 Vistas

Implementar SOC: Instalar TheHive, Cortex y MISP

En otras entradas hablamos de lo que es un SOC y lanzamos el reto de crear mediante diferentes herramientas de código abierto, un SOC OpenSource.

En esta entrada vamos a montar 3 herramientas en una sola máquina virtual:

  • Cortex:
    • WEB OFICIAL: https://thehive-project.org/
    • Descripción: Permite el análisis mediante una página web de los diferentes analizadores detectados (IP´s, correos electrónicos, URL´s, dominios…), se usa normalmente en conjunto con The Hive para disponer de una respuesta activa

Son herramientas que pueden convivir en la misma máquina si las montamos sobre Docker por ejemplo o no se hace con el script automático, y que pueden estar relacionados, con lo que simplificamos nuestra infraestructura. En mi caso, como tengo recursos limitados en entorno pequeño, voy a generar una máquina con las siguientes características:

  • 4 vCPUs, 64GB disco y 16 GB de RAM en un LXC Ubuntu 22.04
  • Puertos de comunicación:
    • TheHive -> TCP 9000
    • Cortex -> TCP 9001
    • MISP -> 443
    • SSH -> TCP 22

Requerimientos TheHive, Cortex y MISP

Según la documentación oficial de cada proyecto, los requerimientos dependerá de los usuarios concurrentes que vayan a usar los productos. Tomaremos de referencia mínima de TheHive, pero tanto Cortex y MISP recomiendan como mínimo 16GB de RAM:

implementar-soc-instalar-thehive-cortex-y-misp-1

Os dejo una calculadora que os puede servir:

Instalación TheHive, Cortex y MISP bajo Ubuntu 22.04 Proxmox

Antes de empezar actualizamos el sistema e instalamos los requerimientos:

Instalar TheHive 5 en Ubuntu 20.04

DOCUMENTACION:

Utilizaremos el script automatizado (el proceso manual lo tenéis https://docs.strangebee.com/thehive/setup/installation/step-by-step-guide/#installation_1):

Elegimos la opción 2:

implementar-soc-instalar-thehive-cortex-y-misp-2

El script comienza el proceso de instalación de TheHive 5.1 y sus dependencias (Apache Cassandra 4.0.x y Elasticsearch 7.x):

implementar-soc-instalar-thehive-cortex-y-misp-3

Al terminar podéis ver la URL http://10.0.0.12:9000

implementar-soc-instalar-thehive-cortex-y-misp-4

Si vamos a la URL veremos el login:

implementar-soc-instalar-thehive-cortex-y-misp-5

El usuario por defecto para TheHive es:

  • Login: admin@thehive.local
  • Password: secret

Necesitaréis activar una licencia para un entorno grande, para este LAB usaré la licencia de comunidad que viene por defecto. Podéis ver sus características:

implementar-soc-instalar-thehive-cortex-y-misp-6

El código para generar la licencia lo podéis encontrar desde el menú Plataform Management -> License -> License Management:

implementar-soc-instalar-thehive-cortex-y-misp-7

Instalar Cortex en Ubuntu

DOCUMENTACION:

Os voy a enseñar dos métodos de instalación. Por una parte, podríamos seguir el proceso anterior de instalación de The Hive aara instalar Cortex lanzando nuevamente el script, pero eligiendo la opción 3. El problema de este proceso, es que no puede ser en la misma máquina:

Para hacerlo en la misma máquina seguimos estos comandos, que es un proceso más manual:

Descomentamos la línea y editamos la línea del fichero “nano /etc/cortex/application.conf”

implementar-soc-instalar-thehive-cortex-y-misp-8

Habilitamos el servicio:

Y validamos:

Comprobamos que escucha en el puerto 9001:

Accedemos a la URL “http://10.0.0.12:9001” y pulsamos UPDATE DATABASE:

implementar-soc-instalar-thehive-cortex-y-misp-10

Y generamos el usuario administrador:

implementar-soc-instalar-thehive-cortex-y-misp-11

Comprobamos el acceso:

implementar-soc-instalar-thehive-cortex-y-misp-12

implementar-soc-instalar-thehive-cortex-y-misp-13

Generamos una nueva organización y un usuario dentro de ella:

implementar-soc-instalar-thehive-cortex-y-misp-16

implementar-soc-instalar-thehive-cortex-y-misp-15

Generamos una API Key para el usuario:

implementar-soc-instalar-thehive-cortex-y-misp-17

implementar-soc-instalar-thehive-cortex-y-misp-18

Instalar MISP en Ubuntu

DOCUMENTACION: https://misp.github.io/MISP/xINSTALL.ubuntu2204.html

Necesitamos tener un usuario diferente a root para lanzarlo:

Descargamos el script:

Le damos permisos de ejecución al script:

Lanzamos la instalación, nos pedirá las credenciales del usuario y crear un usuario llamado MISP:

Accedemos a la url con las siguientes credenciales:

implementar-soc-instalar-thehive-cortex-y-misp-23

En el primer login nos pedirá cambiar la contraseña:

implementar-soc-instalar-thehive-cortex-y-misp-24

Generaremos una nueva Auth Keys desde el perfil del usuario restringiendo la IP, de forma que cuando integremos con TheHive tenga permisos para generar eventos MISP (esto es un LAB, como con Cortex es mejor generar un usuario específico para esto):

 

implementar-soc-instalar-thehive-cortex-y-misp-28

Integración Cortex y MISP con TheHive

Ahora tenemos que agregar Cortex y MISP con TheHive.

Configurar conector Cortex en TheHive

La instalación que hemos hecho ya tiene los conectores ya habilitado por defecto en THEHIVE. Así que empezamos con Cortex, y agregamos el servidor:

implementar-soc-instalar-thehive-cortex-y-misp-9

Introducimos los siguientes datos:

  • Server Name: cortex
  • Server URL: http://127.0.0.1:9001
  • API Key: Introducimos la Key del usuario que hemos generado anteriormente
  • Pulsamos el test y si sale bien, agregamos el servidor

implementar-soc-instalar-thehive-cortex-y-misp-19

implementar-soc-instalar-thehive-cortex-y-misp-21

Pulsamos CONFIRM:

implementar-soc-instalar-thehive-cortex-y-misp-20

Validáis en TheHive:

implementar-soc-instalar-thehive-cortex-y-misp-22

 

Configurar conector MISP en TheHive

La integración del conector es prácticamente igual que con Cortex, tiene su propio apartado en los menús de gestión. Agregamos el servidor:

implementar-soc-instalar-thehive-cortex-y-misp-25

Rellenamos los datos, en mi caso:

  • Server Name: misp
  • Server url: https://10.0.0.12
  • API Key: rz6yiybzNfT1VoxrMaSYXLnrrFokcgWQC5RYj1S0
  • Desmarco Check Certificate Authority de momento…

implementar-soc-instalar-thehive-cortex-y-misp-29

Confirmamos:

 

implementar-soc-instalar-thehive-cortex-y-misp-30

Y validamos:

implementar-soc-instalar-thehive-cortex-y-misp-31

Una vez montados los tres productos e integrados…veremos más adelante como funcionan para completar nuestro SOC Opensource.

ENTRADAS RELACIONADAS CREACION SOC OPENSOURCE