Анализ логов файрвола USG для выявления атак

Анализ логов файрвола USG для выявления атак, UniFi Network

allank

Guest

12.11.2017 23:07:00

Без вопросов, просто пример моего анализа логов файрвола USG. Для самообучения я написал собственную программу для анализа логов блокировок/отклонений трафика WAN файрволом USG. Я искал шаблоны данных, а не графики или отображения в реальном времени, поэтому вывод — просто статичный текст. Хороший пример того, почему нужно быть аккуратным с любыми портами, доступными из интернета. За неделю на домашнем широкополосном подключении топ-15 TCP-портов, которые сканировались (и блокировались USG), были следующими (attempts — общее количество попыток, attacks — уникальное число IP-источников для данного порта):

Попытки Аттаки Подробности
5651 4346 TCP 23 telnet: Telnet
842 688 TCP 1433 ms-sql-s: Microsoft-SQL-Server
789 487 TCP 22 ssh: The Secure Shell (SSH) Protocol
545 234 TCP 80 www-http: World Wide Web HTTP
409 148 TCP 443 https: http protocol over TLS/SSL
346 223 TCP 2323 telnet/3d-nfsd: Альтернативный Telnet, например IoT / 3d-nfsd
329 95 TCP 39428
294 157 TCP 3389 ms-wbt-server: MS WBT Server
270 2 TCP 8545 iTunes/ethereum/Backup: поток iTunes Radio / ethereum майнер / EMC Legato backup
259 75 TCP 59295 Apple Xsan/CFS: Apple Xsan/CFS
233 70 TCP 24407 Apple med-ltp: Сервис Apple Wed с производительным кэшем
200 83 TCP 3306 mysql: MySQL
172 83 TCP 8080 http-alt: альтернативный HTTP (см. порт 80)
97 82 TCP 81 http-alt/malware: альтернативный HTTP (см. порт 80) / червь / троян
80 48 TCP 21 ftp: File Transfer Protocol [Control]

Топ-6 UDP-портов, которые сканировались и блокировались USG:

Попытки Аттаки Подробности
516 116 UDP 5060 sip: SIP
103 95 UDP 39428
103 26 UDP 53413 NetisRouterBackdoor: Netis Router Backdoor
96 88 UDP 443 https: http protocol over TLS/SSL
94 93 UDP 80 www-http: World Wide Web HTTP
93 64 UDP 123 ntp: Network Time Protocol

itcsburnett

Guest

19.05.2021 21:15:00

Надеюсь, эту тему ещё читают. Хочу начать логировать как WAN, так и LAN сторону фаервола. Я не очень уверенно ориентируюсь в Linux, но знаю достаточно, чтобы немного навредить

Мне бы гораздо проще было просто воссоздать правила 3002 через GUI, но не могу найти никакой документации по реальным настройкам. Если придётся идти через JSON, предполагаю, что нужно просто сделать SUDO cat и скопировать структуру, которая там указана? Думаю, это добавится в настройки контроллера? Ещё интересно, для чего вообще нужна последняя правило 4000. Я думал, что после того, как пакет совпал с каким-то правилом, дальнейшая проверка правил не идёт.

nzTechArc

Guest

21.10.2019 00:03:00

Отличная работа! Мне немного запутанно было, куда именно положить файл config.gateway.json. Ты же сказал, что используешь USG в настройках по умолчанию. У меня он работает с кастомным сайтом, поэтому путь немного отличается, как указано в документации. Но самое сбивающее — это то, что два документа UNIFI противоречат друг другу по поводу этого местоположения. У меня стоит Raspbian OS, и вот куда мне пришлось положить файл: /var/lib/unifi/sites/xxxxx/config.gateway.json. Используй либо "xxxxx", либо "default" — "xxxxx" заменяется на код сайта из URL контроллера. В этой папке у меня нет папки "data", и папка default не нужна при использовании кастомного сайта.

sn131678 Guest	#4 06.04.2019 03:19:00 Именно.

jblocker123 Guest	#5 18.01.2019 20:31:00 Безопасный Onion плюс Splunk... Как мне это сделать?

ichila Guest	#6 08.09.2018 23:42:00 Я просто обожаю свой Secure Onion и Splunk на этом выделенном сервере

nbkplanb

Guest

08.09.2018 23:24:00

У меня кое-что получилось. Я изменил vyatta-log.conf в /etc/rsyslogd на самом USG. Заменил *.debug на *.* в первой строке — и бац, удалённый syslog начал получать данные журналов фаервола. Сейчас у меня telegraf парсит этот локальный файл и скидывает данные в influxdb. Теперь вот занимаюсь дашбордом в grafana.

nbkplanb

Guest

07.09.2018 18:03:00

Итак, я уже несколько часов этим занимаюсь. У меня есть USG с 3 портами, UAP Pro, и Unifi Controller запущен в докер-контейнере на старом ноутбуке с Debian. Я настроил rsyslog-сервер, который идёт вместе с Debian, и сконфигурировал Unifi так, чтобы он логировал на удалённый сервер логов. В своих локальных логах я вижу данные Unifi и данные точки доступа. Правила фаервола настроены, и я могу видеть их в /var/log/messages на USG... но при этом в syslog-файле ни одной записи фаервола нет. Что я упускаю? Я видел несколько постов, где пишут, что USG не пересылает логи во Controller. А вы как их получаете?

mcentyre

Guest

19.02.2018 19:11:00

Очень жаль, что у нас нет нормальной видимости сетевого трафика прямо "из коробки". У меня есть Unifi AP, USG и Cloud Controller. Интерфейсы у потребительских устройств получаются гораздо удобнее. Я понимаю, что продукты Ubquiti работают отлично, но я не сетевой инженер и не хочу им становиться. С точки зрения железа Unifi сложно превзойти. Нужен более качественный софт. Почти решил перейти на что-то другое, но уже вложил кучу денег.

mbj1703

Guest

#10

14.01.2018 13:04:00

По вопросу: я пытаюсь анализировать свои логи с помощью Splunk. В этом я полный новичок. Вот, например, вижу такую запись:
Jan 12 22:26:21 192.168.0.1 kernel: [WAN_LOCAL-4000-D]IN=eth0 OUT= MAC=ff:ff:ff:ff:ff:ff:00:1d:aa:8b:4d:3c:08:00 src=0.0.0.0 DST=255.255.255.255 LEN=144 TOS=0x00 PREC=0x00 TTL=254 ID=24035 PROTO=UDP SPT=29669 DPT=4944 LEN=124
Где здесь можно увидеть страны?

MarcusSattler Guest	#11 30.12.2017 21:55:00 Глупый вопрос, могу ли я просто добавить в графическом интерфейсе две правила, которые дублируют первые два, и настроить их на логирование, чтобы добиться того же результата?

mastrmind11 Guest	#12 28.11.2017 13:54:00 Отличная работа. Я делал нечто похожее с использованием fail2ban, Prometheus и Grafana, но для известных портов, таких как ssh и ssl. Мои данные совпадают с тем, что у вас получилось. Впечатляет, особенно впервые увидев.

Swynol

Guest

#13

28.11.2017 09:37:00

Отличная работа. Только что настроил это с помощью PRTG в качестве моего syslog-приёмника. Похоже, мой файрвол пропускает много соединений. Довольно удивительно.

Теперь нужно сделать классное визуальное отображение логов, а не просто смотреть на сообщения.

t3kka

Guest

#14

28.11.2017 05:36:00

Ты также можешь использовать Splunk для этой визуализации, хотя лимит «бесплатной» лицензии — всего 500 МБ данных в день, так что результат может отличаться. Если настройка такой системы логирования, как ELK, кажется сложной, советую попробовать Docker — там есть контейнерные образы для ELK, Splunk и других, которые помогут быстро всё запустить :-)

allank

Guest

#15

27.11.2017 23:01:00

Мэтт, спасибо — отличная работа и очень интересно. Я также прочитал твой другой подробный пост по настройке.

Я тоже рассматривал ELK и похожие стэки, но меня отпугнула и сложность, и требования к железу, и время, необходимое на начальную настройку и дальнейшую эксплуатацию/обслуживание. Подход SumoLogic выглядит очень привлекательно.

mattlowe01 Guest	#16 27.11.2017 21:49:00 Итак, твой первоначальный пост и последующие туториалы затянули меня в эту тему на время каникул на День благодарения. Мои серверы syslog работают без сбоев, и я понимаю, что твоя цель была не просто графически визуализировать данные, но мне хотелось проверить, можно ли это сделать легко. Я продолжил ровно с того места, где ты остановился, и использовал SumoLogic — облачный анализатор и визуализатор логов, чтобы импортировать, распарсить и проанализировать файл unifi.log. Вот такую панель мониторинга я смог собрать после дня экспериментов. И вот ссылка на другую тему, которую я создал, где подробно описываю свой процесс. Надеюсь, ты не против — я сначала направил ребят на твое руководство, а потом расширил его. https://community.ui.com/questions/2ece392a-d2b2-4da7-877c-c9975135f611

Читают тему (гостей: 1)