Lasst uns mit nur 100 Euro ein „Heim-SOC“ bauen

Alessandro Molinari: 19. Juni 2024 07:47

Heute starten wir eine neue Artikelserie, die die Welt der Cybersicherheit aus einer einzigartigen und umfassenden Perspektive beleuchtet und dabei beide Seiten der Sicherheit vereint: das Rote Team und das Blaue Team. Dieser Ansatz, allgemein bekannt als „Purple Team“, integriert offensive und defensive Techniken, um ein ganzheitliches Verständnis von Bedrohungen und Sicherheitslösungen zu ermöglichen.

Im ersten Artikel der Serie werden wir Sie durch den Prozess der Erstellung führen Home Security Operations Center (SOC). mit einem Budget von rund 100 Euro. Mithilfe eines Mini-PCs mit 16 GB RAM und einer externen Hochgeschwindigkeits-SSD bauen wir eine vollständige und funktionale Umgebung zur Überwachung, Analyse und Reaktion auf Bedrohungen auf.

Komponenten des inländischen SOC

Unser SOC wird aus einer Reihe leistungsstarker und vielseitiger Open-Source-Tools bestehen, die miteinander integriert sind, um eine vollständige Sicherheitslösung anzubieten. Hier sind die Schlüsselkomponenten:

1. Wazuh integriert mit VirusTotal: Zur Verwaltung von Sicherheitsinformationen und zur Erkennung von Bedrohungen in Echtzeit.
2. Mischen: Eine SOAR-Plattform (Security Orchestration, Automation, and Response) zur Automatisierung von Vorfallreaktionsprozessen.
3. Kortex: Für die Sammlung und Analyse von Sicherheitsinformationen.
4. Der Bienenstock: für Fallmanagement und Zusammenarbeit zwischen Teams (in diesem Fall Ihnen und sich selbst).

Laborübersicht

Um unser SOC auf die Probe zu stellen, erstellen wir ein Testnetzwerk, das Folgendes umfasst:

• Ein Ubuntu-Container mit Atomarer roter Kanarienvogel um verschiedene Arten von Angriffen auf Basis des MITRE ATT&CK-Frameworks zu simulieren.
• Zwei Kali-Linux-Maschinen: Eine innerhalb des AD-Netzwerks und eine außerhalb, um manuelle Angriffe durchzuführen und Schwachstellen aus verschiedenen Perspektiven zu testen.
• Eine Active Directory-Domäne mit einem Windows Server 2019-Domänencontroller und zwei Windows 10-Domänenmitgliedern.

Wir haben unser Labor mit eingerichtet Proxmox, eine leistungsstarke Open-Source-Virtualisierungsplattform. Der Grund für die Wahl von Proxmox liegt darin, dass es viel mehr erreichen kann, als mit virtuellen Maschinen möglich ist, die in einer Virtualisierungsumgebung der Stufe zwei verwaltet werden, selbst wenn man mittelmäßige Hardware verwendet.

Unterschiede zwischen Virtualisierungsstufen

• Level-One-Virtualisierung (Bare-Metal-Hypervisor): Bei diesem Modell wird der Hypervisor direkt auf der physischen Hardware installiert, ohne dass ein Host-Betriebssystem erforderlich ist. Diese Art der Virtualisierung bietet nahezu native Leistung, hohe Effizienz und geringeren Overhead. Beispiele hierfür sind VMware ESXi, Microsoft Hyper-V und Proxmox VE.
• Level-2-Virtualisierung (gehosteter Hypervisor): In diesem Modell läuft der Hypervisor auf einem Host-Betriebssystem. Diese Art der Virtualisierung lässt sich einfacher einrichten, bringt jedoch mehr Overhead und eine geringere Leistung mit sich als die Virtualisierung der Stufe 1. Beispiele hierfür sind VirtualBox und VMware Workstation.

Mit Proxmox können wir mehrere virtuelle Maschinen und Container mit begrenzten Hardwareressourcen effizient verwalten und dank Layer-1-Virtualisierung eine hohe Leistung erzielen. Nachfolgend finden Sie einige Screenshots, die den Aufbau unserer Testumgebung zeigen:

Im Screenshot oben sehen Sie die Liste der in unserem SOC konfigurierten virtuellen Maschinen und Container. Jede Komponente ist zur einfachen Identifizierung und Verwaltung deutlich gekennzeichnet.

Der Systemressourcenbildschirm zeigt uns die CPU-, Arbeitsspeicher- und Speicherauslastung unseres MiniPCs. Wie Sie sehen, ist unser System so konfiguriert, dass es die Nutzung der verfügbaren Ressourcen optimiert und eine effiziente Leistung gewährleistet. Wie wir oben sehen, haben wir derzeit aktiv:

• 2 Kali-Container (einer innerhalb des Active Directory-Netzwerks und einer außerhalb davon)
• 2 Ubuntu-Server-Maschinen (man weiß nie, dass eine nicht genug ist)
• 2 Windows-Maschinen, darunter ein Server – Domänencontroller und ein „Batman“-Client (später, im Abschnitt über Angriffe auf Active Directory, werden wir feststellen, dass sein lokaler Administrator Bruce Wayne heißt)

Kommende Artikel

In zukünftigen Artikeln werden wir verschiedene Arten von Angriffen untersuchen, die wir gegen dieses Netzwerk starten können, und die von unserem SOC implementierten Abwehrtechniken analysieren. Wir werden sowohl die Strategien des Red Teams zur Gefährdung der Systemsicherheit als auch die Taktiken des Blue Teams zur Erkennung, Eindämmung und Reaktion auf Vorfälle im Detail untersuchen.

Abschluss

Der Aufbau eines Heim-SOC ist nicht nur eine interessante Herausforderung, sondern auch eine hervorragende Möglichkeit, Ihre Fähigkeiten im Bereich Cybersicherheit zu verbessern. Mit einer minimalen Investition können wir ein fortschrittliches Labor schaffen, das es uns ermöglicht, die Dynamik von Angriff und Verteidigung besser zu erforschen und zu verstehen.

Seien Sie gespannt auf RedHotCyber.com für den nächsten Artikel der Serie. Sobald die Installation der anderen Komponenten (Shuffle, The Hive und Cortex) abgeschlossen ist, werden wir ein SOC bauen, das den professionellen Komponenten in nichts nachsteht und wirklich ein echtes Highlight ist Komplette Testumgebung.