Як встановити та налаштувати Security Onion у VirtualBox

Завдяки нашим практичним знанням у сфері віртуальних середовищ, зокрема VirtualBox, ми поділимося деякими рекомендаціями щодо Security Onion. У цьому посібнику ви дізнаєтеся більше про Security Onion, його встановлення та налаштування. Якщо вас це цікавить, давайте заглибимося в цю тему!

Що таке Security Onion?

Security Onion — це безкоштовний програмний пакет, який допомагає відстежувати дивну або незвичайну активність у мережі. Цей програмний пакет забезпечує чудову наочність, якщо мова йде про безпеку додатків та мережевої інфраструктури.  

Що він робить?

Це програмне забезпечення з відкритим кодом є надзвичайно важливим, оскільки воно постійно моніторить мережевий трафік, щоб виявляти ознаки ймовірних атак або інших кіберзагроз. Якщо говорити конкретно про загрози, то Security Onion допомагає виявляти шкідливе програмне забезпечення, несанкціонований доступ або іншу поведінку, яка класифікується як загрозлива і може призвести до серйозних проблем із безпекою.  

Чому варто використовувати його в корпоративному середовищі або домашній лабораторії?

Security Onion — це чудовий варіант як для ентузіастів, так і для професіоналів, і головна причина цього — він безкоштовний. Для корпоративного середовища це чудовий вибір для підвищення рівня кібербезпеки, тоді як у домашніх лабораторіях він ідеально захистить пристрій від усіх можливих онлайн-ризиків. Усі користувачі отримають користь від цього рішення, і кожен може просто випробувати його, не платячи за використання.

Покрокова інструкція

Щоб розпочати процес, спочатку слід встановити VirtualBox. Після цього перейдемо до процесу встановлення Security Onion.

Після створення та запуску VirtualBox наступним кроком є створення нової віртуальної машини. Для цього потрібно натиснути Ctrl+N або «New». У діалоговому вікні, що з’явиться, потрібно вказати ім’я, вибрати розташування файлу ISO та імпортувати його як ISO-образ.

Потім натисніть «Далі»; наступним кроком буде введення пароля, імені користувача та імені домену. Використовуйте домен, який був у домашній лабораторії Active Directory. Далі натисніть «Далі», і ви перейдете до надзвичайно важливого етапу, на якому слід вказати параметри процесора та оперативної пам’яті.

Вимоги щодо процесора та оперативної пам’яті залежать від сценарію використання. Якщо говорити про загальні вимоги, для процесу розгортання слід виділити 12 ГБ. Якщо ваш хост-комп’ютер має лише 18 ГБ оперативної пам’яті, то ви можете використати половину цього обсягу.

Що стосується процесора, Security Onion працює краще, якщо використовується кілька ядер. Це означає, що якщо у вас 4 ядра, то для віртуальної машини Security Onion рекомендується використовувати 2 з них.   

Пам’ятайте, що загальна кількість ядер процесора для всіх віртуальних машин не повинна перевищувати кількість ядер процесора хост-машини. Інакше це може призвести до певного зниження продуктивності.

Натисніть «Далі», і наступним кроком буде виділення місця для віртуального жорсткого диска. Залежно від обсягу трафіку та даних, які будуть оброблятися, вам слід відповідно вказати цей розмір. Після завершення всіх описаних кроків ви будете перенаправлені на головну сторінку VM Virtual.

Перед запуском віртуальної машини є кілька налаштувань, про які не слід забувати. У вікні загальних налаштувань віртуальної машини слід вказати тип операційної системи, яку ви використовуєте.

Наступним кроком є вибір пункту «Мережа» в налаштуваннях та активація 3-го/2-го мережевого адаптера. Його слід підключити до внутрішньої мережі та назвати «LAN».

Після натискання «OK» розпочнеться процес запуску. Наступним кроком є натискання клавіші Enter у командному рядку для початку встановлення.

У цьому початковому запиті введіть «Yes» і натисніть Enter. Наступний етап передбачає встановлення пароля та імені користувача. Після завершення встановлення натисніть Enter для перезавантаження. Після перезапуску вам потрібно буде ввести ці облікові дані.

Потім з’явиться майстер, де слід натиснути «Yes», щоб продовжити процес. У наступному вікні процес виглядає досить простим: вам потрібно вибрати «OK» для стандартної інсталяції.

На наступному кроці слід натиснути Enter, ввести «AGREE» і перейти до наступного кроку. Потім ви побачите попередження про те, що для встановлення потрібно мати щонайменше 4 ядра. Однак ви можете продовжити, використовуючи лише 2 ядра — просто натисніть «Так».  

Потім з’явиться подібне повідомлення щодо використання оперативної пам’яті, де вам також слід вибрати «Так», щоб продовжити з обраним обсягом оперативної пам’яті. Після цього вам слід вказати ім’я хоста та ввести опис (Security Onion VM).

Виділіть мережеву карту для управління, натиснувши пробіл, і підтвердіть вибір клавішею Enter. Наступним кроком буде вибір DHCP, після чого перевірте, чи має Security Onion доступ до Інтернету, виберіть пряме підключення до Інтернету та виберіть інтерфейс моніторингу для налаштування.  

Коли ви перейдете до розкладу оновлень ОС, його слід встановити на автоматичний режим. Потім введіть свою електронну адресу та встановіть пароль. Якщо ви бажаєте отримати доступ до веб-інтерфейсу через IP-адресу, підтвердьте це натисканням клавіші Enter. Щоб залишити налаштування за замовчуванням, у розділі конфігурації NTP слід вибрати «Так». Для опції «so-allow» слід натиснути «Ні».

У розділі перегляду майстра натисніть клавішу Tab, щоб вибрати «Так» і продовжити процес інсталяції. Після завершення інсталяції слід натиснути «ОК», щоб відбувся перезапуск.

Управління Security Onion

Після встановлення Security Onion доступ до системи можна отримати з зовнішнього робочого столу Ubuntu. Процес встановлення робочого столу Ubuntu тут не розглядається, тому якщо вам потрібна чітка інструкція, ви можете легко знайти її в Google.

Після встановлення Ubuntu увійдіть у систему та запустіть термінал. Почнемо з встановлення net-tools:

sudo apt install net-tools

Цей інструмент є необхідним для налаштування, діагностики мережі та базового моніторингу. Після встановлення цього пакета ми можемо скористатися командою «ifconfig», щоб перевірити інформацію про нашу IP-адресу та MAC-адресу. IP-адреса, яка буде вказана у вихідних даних, потрібна для роботи Security Onion.

Увійдіть у Security Onion, використовуючи свої облікові дані. Щоб дозволити з’єднання між системою Ubuntu та Security Onion, потрібно виконати таку команду:

sudo so-allow

Після цього слід ввести пароль та «a», щоб ваша IP-адреса була додана до ролі аналітика.

Якщо ви все зробили правильно, через NAT може виникнути проблема з віртуальною машиною, що має ту саму IP-адресу. Щоб вирішити цю проблему, можна перейти до мережі NAT, змінити налаштування для всіх необхідних пристроїв та змінити всі IP-адреси.

Цю мережу можна створити, запустивши «file-tools-network manager», що допоможе вирішити проблеми з IP-адресами серед віртуальних машин. Змініть IP-адреси так, щоб Ubuntu та Security Onion мали різні IP-адреси.

Після завершення цього процесу поверніться до браузера в Ubuntu та увійдіть у Security Onion, використовуючи змінену IP-адресу. Увійшовши до Security Onion, ви опинитеся на панелі управління, де містяться всі деталі щодо сповіщень, мережевих подій та реагування на інциденти. Крім того, ви отримаєте миттєвий доступ до сповіщень, моделей мережевого трафіку та, звісно, аналізу журналів.

Також у вас є доступ до функції Hunt, за допомогою якої ви можете легко відстежувати потенційні ризики. Там ви можете використовувати візуалізацію, різні види аналізу, власні запити та багато іншого.

Файли PCAP важливі для запису активності трафіку в мережі. Ця інформація збирається з різних джерел, і, як очевидно, файли PCAP використовуються для пошуку, виявлення та отримання загального уявлення про події в мережі. Для більш ефективного моніторингу може значно допомогти інтеграція з такими інструментами, як Snort, Suricata та Wireshark.

Це, мабуть, усе, що вам слід знати про встановлення та налаштування Security Onion у VirtualBox. Сподіваємося, що цей огляд був корисним і тепер ви чітко розумієте, з чого почати.