Wazuh 和 MITRE Caldera 在 FreeBSD Jail 中的使用
最后更新于
这有帮助吗？
最后更新于
这有帮助吗？
作者：ALONSO CÁRDENAS
译者：Canvis-Me & ChatGPT
在信息安全管理中，每天都需要越来越多支持实施控制的基础设施。组织中最常用的工具之一是 SIEM（安全信息与事件管理）。SIEM 通过在集中地点收集和分析普通消息、警告通知和日志文件，帮助实时识别攻击或攻击趋势。
此外，由于需要为企业中支持安全管理的团队提供持续的技术培训，因此传统的培训方法需要辅之以可模拟攻击（红队）和帮助培训事件响应团队（蓝队）的工具。
FreeBSD 为我们提供了支持信息安全控制实施的各种活动的应用程序和工具。Jail 是 FreeBSD 的一个强大特性，能让你创建隔离的环境，非常适合与信息安全或网络安全相关的任务，帮助保持干净的主机环境，使用脚本或工具（如 AppJail）自动化部署任务，模拟安全环境以进行分析，并使用测试工具最快地部署安全解决方案。
在这篇文章中，我们将专注于部署两个开源工具，当结合使用时，可以补充由红队和蓝队执行的培训练习。它基于《使用 CALDERA 和 Wazuh 进行对抗仿真》这篇文章，但使用了 FreeBSD、AppJail（Jail 管理）、Wazuh 和 MITRE Caldera。
这项工作的主要目标是增强 FreeBSD 作为信息安全或网络安全有用平台的可见性。
Wazuh 是一个用于威胁预防、检测和响应的免费开源平台。它能够在本地、虚拟化、容器化和基于云的环境中保护工作负载。Wazuh 解决方案包括部署到受监视系统的端点安全代理以及由代理收集和分析的数据的管理服务器。Wazuh 的特点包括与 Elastic Stack 和 OpenSearch 的完全集成，提供搜索引擎和数据可视化工具，用户可通过这些工具浏览安全警报。
Wazuh 在 FreeBSD 上的移植是由 Michael Muenz 发起的。他在 2021 年 9 月首次将 Wazuh 添加到 ports 中，命名为 security/wazuh-agent。在 2022 年 7 月，我接手了该 port 的维护，并开始移植其他 Wazuh 组件。
目前，所有的 Wazuh 组件都已移植或修改：security/wazuh-manager、security/wazuh-agent、security/wazuh-server、security/wazuh-indexer 和 security/wazuh-dashboard。
在 FreeBSD 上，security/wazuh-manager 和 security/wazuh-agent 是从 Wazuh 源代码编译而来的。security/wazuh-indexer 是一个经过修改的 textproc/opensearch，用于存储代理数据。security/wazuh-server 包含了适用于 FreeBSD 的对配置文件的修改。运行时依赖项包括 security/wazuh-manager、sysutils/beats7（filebeat）和 sysutils/logstash8。security/wazuh-dashboard 使用了一个经过修改的 textproc/opensearch-dashboards，以及来自 wazuh-kibana-app 源代码为 FreeBSD 生成的 wazuh-kibana-app 插件。
MITRE Caldera 是一个旨在轻松自动化对抗仿真、协助手动红队行动并自动化事件响应的网络安全平台。它建立在 MITRE ATT&CK© 框架上，是 MITRE 的一项积极研究项目。
MITRE Caldera（security/caldera）于 2023 年 4 月加入了 ports 树。该 port 包括对 MITRE Caldera 原子插件使用的 Atomic Red Team 项目的支持。
AppJail 是一个完全由 sh(1) 和 C 编写的框架，用于使用 FreeBSD Jail 创建隔离的、便携的、易于部署的环境，这些环境行为类似于应用程序。AppJail 的一个有趣特性是 AppJail-Makejails 格式。它是一个文本文档，包含构建 jail 的所有指令。Makejail 是构建 jail、配置它、安装应用程序、配置它们等等的进程的另一抽象层。
在进行 Wazuh 和 MITRE Caldera 部署之前，有一些最低要求需要处理。在本文中，我使用 FreeBSD 14.0-RC1-amd64 作为主机系统 # pkg install appjail-devel # 以包含 AppJail 添加的最新功能。
将锚点放入 pf.conf 中：
启用数据包过滤器
启用 IP 转发
是时候下载创建 jail 所需的文件。默认情况下，AppJail 下载与主机相同版本和架构的文件。
如果我们想要指定特定的版本，我们必须使用以下方法：
我们添加了一个名为 wazuh-net 的网络。wazuh-net 桥将用于 jail。
Wazuh makejail 将创建并配置一个 jail，其中包含 Wazuh SIEM 使用的所有组件（wazuh-manager、wazuh-server、wazuh-indexer 和 wazuh-dashboard）。目前在 ports 中为 4.5.2 版本。
使用 AppJail 通过 AppJail-Makejail 创建它。
完成后，我们将看到为 wazuh-dashboard 生成的凭据，以及在以下示例中用于将代理添加到 wazuh-manager 的密码：
检查 wazuh-dashboard 服务是否就绪。尝试使用 Web 浏览器连接到 https://11.1.0.2:5601/app/wazuh。
如果 wazuh-dashboard 在线，我们将继续向基础架构添加一些代理。为此，我们将使用 wazuh-agent AppJail-Makejail 和先前生成的 Wazuh 代理注册密码。
以下参数已在 Makejail 文件中定义：
对于每个代理（agent01、agent02、agent03、agent04 和 agent05），重复此命令，使用不同的 IP 地址（11.1.0.3、11.1.0.4、11.1.0.5 和 11.1.0.6），并更改系统版本（13.2-RELEASE 或 14.0-RC1）。完成后，我们将能够在 wazuh-dashboard 的 "Agents" 窗口中查看已连接代理的列表。
最后，在每个代理上安装 net/curl。此工具将用于下载与 MITRE Caldera 进行交互的有效负载。
与之前的操作类似，我们继续使用 Caldera AppJail-Makejail 创建 jail。
以下参数已在 Makejail 文件中定义：
就像 wazuh 的创建和配置过程一样，它将在以下示例中显示为 MITRE Caldera 生成的凭据：
测试 MITRE Caldera 服务是否就绪。尝试使用 Web 浏览器连接到 https://11.1.0.2:8443/。
如果 MITRE Caldera 服务在线，我们继续在每个代理上下载并运行 sandcat 载荷。通过这样做，MITRE Caldera 将能够在每个 jail 中运行测试。
在不同的终端会话中，为每个代理重复前面的命令，只更改 jail 的名称（agent01、agent02、agent03、agent04 和 agent05）。完成这些任务后，我们将在 MITRE Caldera Agents 窗口中看到可用代理的列表。
添加（潜在的链接按钮）并在不同的代理上运行一些模拟测试。以下四个测试将在 wazuh-manager 中生成警报：
Cron – 用引用的文件替换 crontab（T1053.003）
使用 root GID 在 FreeBSD 中创建一个新用户（T1136.001）
在 FreeBSD 系统上创建一个用户帐户（T1136.001）
创建本地帐户（FreeBSD）（T1078.003）
完成模拟操作后，我们在 wazuh-dashboard 控制台中验证每个测试生成的警报。
Wazuh 和 MITRE Caldera 提供了可定制的工具，以适应安全信息或网络安全需求。本文展示了包含在 Wazuh SIEM 和 MITRE Caldera 中的部分功能。如果你想了解更多关于这些工具的信息，Wazuh 项目和 MITRE Caldera 项目提供了出色的文档（https://documentation.wazuh.com/current/index.html）和（https://caldera.readthedocs.io/en/latest/），以及强大的社区支持。
AppJail 在快速将本文使用的工具部署到 jail 容器中发挥了作用。。
ALONSO CÁRDENAS 是 FreeBSD 项目的 ports 提交者。他最近专注于提升 FreeBSD 作为信息安全有用平台的可见性。他是秘鲁的信息安全和网络安全顾问。