# Лабораторная работа. Аномальный трафик
## Инфраструктура
**Если у вас нет образа Debian 11 srv, то используйте Kali Linux и дайте ей следующие ресурсы:**
## Настройка Linux
Подготовим нашу машинку для установки STAMUS, предварительно поставив и развернув докер.
Сначала обновимся:
```
sudo apt update -y
```
Во избежание подобной ошибки пропишем команду:
```
sudo apt-get remove binutils
```
Немного подождем, затем выберем YES:
Продолжаем установку:
```
sudo apt install apt-transport-https ca-certificates curl software-properties-common
```
Вывод при успешном выполнении:
```
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
```
Вывод при успешном выполнении:
```
sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu focal stable"
```
Вывод при успешном выполнении:
```
apt-cache policy docker-ce
```
Вывод при успешном выполнении:
```
sudo apt install docker-ce
```
Вывод при успешном выполнении:
Проверим статус докера:
```
sudo systemctl status docker
```
Вывод, если докер активен:
Машинка подоготвлена, переходим к установке STAMUS.
## Установка STAMUS
```
git clone https://github.com/StamusNetworks/SELKS.git
```
Вывод при успешном выполнении:
Перейдём в директорию:
```
cd SELKS/docker/
```
Запустим скрипт установки:
```
sudo ./easy-setup.sh
```
Можно нажать ENTER:
Проведём первичную установку:
> Do you want to install Portainer? [y/n]
> y
> Network interfaces detected:
> eth0
> Do you want to use debug mode? [y/n]
> n
> Do you want the containers to restart automatically on startup? [y/n]
> y
Дождемся окончания загрузки:
```
sudo -E docker compose up -d
```
Если у вас возникает проблема с контейнером scirius и вы видите ошибку, помеченную красным цветом, то попробуйте поднять контейнер ещё раз.
Если после поднятия контейнера у вас возникает ошибка "the Portanier instance timed out...", то выполните команду:
```
sudo docker restart portainer
```
## Начало работы
Перейдём по адресу https://localhost:9443 , вы должны увидеть Stamus Networks.
После того, как вы создали пользователя, проверьте состояние ваших контейнеров:
Нам нужно воспользоваться nginx, узнаем на каком порту располагается:
Перейдём по адресу https://localhost:443 , вы должны увидеть Scirius Security Platform:
Данные для входа в систему:
> user: selks-user
> password: selks-user
Пример вывода при успешном входе в систему:
Проверьте, что у вас есть необходимые правила Switch applications - Administations - Rulesets:
При желании подробно посмотреть на правила, можно нажать на View.
Если у вас возникла проблема с зависанием виртуальной машины и вы увидели, что некоторые сервисы деактивированы, то выделите их и нажмите кнопку "Restart":
### Добавление правил
Есть возможность добавить источники для новых правил:
Добавим следующие правила:
Подождем их загрузки, пример успешного вывода:
## Знакомство с сервисами
### Kibana
Вы можете сказать, что “иногда бывает нужно...” Но на самом деле, вы хотите всегда видеть, что у вас в логах, через графический интерфейс. Это позволяет:
- Облегчить жизнь разработчикам и сисадминам, время которых просто жалко и дорого тратить на написание grep-конвейеров и парсеров под каждый отдельный случай.
- Предоставить доступ к информации, содержащейся в логах, умеренно-продвинутым пользователям — менеджерам и техподдержке.
- Видеть динамику и тенденции появления залогированых событий (например, ошибок).
### Evebox
Веб-инструмент управления оповещениями и событиями для механизма мониторинга сетевой безопасности Suricata. Поможет посмотреть на то, что находится внутри траффика, содержимое пакетов.
### Cyberchef
Сервис для декодирования и десятков других операций.
## Настройка port mirroring
Перейдём на switch и пропишем следующее:
```
en
conf t
monitor session 1 source interface e0/0
monitor session 1 destination interface e0/3
monitor session 1 source interface e1/0
monitor session 1 source interface e0/1
do wr
do sh run
```
## Настройка promisc в Kali
```
sudo ifconfig eth0 promisc
sudo service networking restart
ifconfig
```
После этого снова поднимите докер.
```
cd SELKS/docker
sudo -E docker compose up -d
```
Удостоверьтесь в том, что с все контейнеры находятся в работоспособном состоянии:
> Примечание:
> Всё также переходим по адресам https://localhost:9443 и https://localhost:443
## Сетевое сканирование
Пробный скан firewall с Kali
Просмотрим подробнее один из алертов в Kibana:
Можно также посмотреть Dashdoard - SN-ALERTS:
Просмотрим подробнее в EveBox:
## MAC-spoofing
### Подготовим Kali_attck
```
apt install dsniff
macof -d 192.168.159.135 -n 60
```
## Bruteforce. Patator
Установим Patator:
```
sudo apt install patator
```
Создадим 2 текстовых файла:
- user_name.txt - список с возможными логинами жертвы
- passwords.txt - список с возможными паролями жертвы
Чтобы начать брутфорс-атаку, необходимо использовать команду:
`patator ssh_login host=192.168.159.138 user=FILE0 password=FILE1 0=user_name.txt 1=passwords.txt -x ignore:mesg=‘Authentication failed’`
Где:
> host= - ip адрес цели
>
> user=FILE0 password=FILE1 - данные, которые будет использовать Potator при брутфорс-атаке
>
> 0=user_name.txt 1=passwords.txt - файлы, созданные нами, именно из них Potator будет брать данные для брутфорса
>
> -х ignore:mesg= 'Authentication failed' - команда не выводить на экран строку, имеющую данное сообщение. Параметр фильтрации подбирается индивидуально. То есть в зависимости от версии и настроек сервера, сообщение об неудачной аутентификации может быть другим
Проверим логи в Kibana:
Sign in with Wallet
Connect another wallet