Prev [P.9/19] Next [*No.81-90 of 183] First / Last

01/04: Create your own NSM devices with Suricata using Dualcomm’s ETAP-PI, network tap appliance

カテゴリー: capturing
投稿者: ikeriri
 Create your own NSM devices with Suricata using Dualcomm’s ETAP-PI, network tap appliance
as well as Raspbery Pi with power redundant, graceful shutdown, user defined push buttons and leds.
 

Youtube movie here
https://youtube.com/watch?v=vo6yySnmvFE

Dualcomm社ETAP-PIで作成するSuricata NSMアプライアンス（日本語・Youtube）
Download PDF
https://www.ikeriri.ne.jp/develop/Dualcomm/Create%20your%20own%20NSM%20devices%20with%20Suricata%20using%20Dualcomm%E2%80%99s%20ETAP-PI,%20network%20tap%20appliance.pdf

Dualcomm’s ETAP-PI is a network tap appliance, there are two gigabit port for inline connection, and 1 monitor gigabit port that aggregate the traffic. Not only network tap, ETAP-PI has a raspberry Pi 4 inside the box. We can create our own NSM ( network security monitoring ), NIDS devices using Suricata, Snort and so on. This TAP appliance has dual redundant power supply and graceful shutdown button, as well as user-defined two LEDs and a push button for enterprise use.
I refer the useful websites below: https://jufajardini.wordpress.com/2021/02/15/suricata-on-your-raspberry-pi/ https://www.reddit.com/r/raspberry_pi/comments/np1a8f/building_my_home_intrusion_detection_system/

Step1: Install Suricata for Raspberry Pi4 Install required packages
apt-get install python-pip libnss3-dev liblz4-dev libnspr4-dev libcap-ng-dev git
Install packages for build Suricata
apt install libpcre3 libpcre3-dbg libpcre3-dev build-essential libpcap-dev libyaml-0-2 libyaml-dev pkg-config
zlib1g zlib1g-dev make libmagic-dev libjansson-dev rustc cargo python-yaml python3-yaml liblua5.1-dev Get Suricata source file
wget https://www.openinfosecfoundation.org/download/suricata-6.0.3.tar.gz Extract source file and change directory for source file
tar -xvf suricata-6.0.3.tar.gz
cd suricata-6.0.3
Execute configure script with some option
./configure --prefix=/usr --sysconfdir=/etc --localstatedir=/var --enable-nfqueue --enable-lua Compile and install Suricata
make
sudo make install Setup rules
cd suricata-update
sudo python setup.py build sudo python setup.py install
cd ..
sudo make install-full
    
Step2: Suricata Configuration Update Suricata rules
sudo suricata-update Edit configuration file
Nano /etc/suricata/suricata.yaml
Check #ring-size: 2048 section
And uncomment and change ring buffer size to 30000 ring-size: 30000

Step3: Execute Suricata and Test detection
Execute suricata in background ( -c config file -i interface -S rule file)
sudo suricata -c /etc/suricata/suricata.yaml -i eth0 -S /var/lib/suricata/rules/suricata.rules & Check the latest log file
sudo tail -f /var/log/suricata/fast.log Access malware specific website
wget 3wzn5p2yiumh7akj.onio
and you can find alert event like that
ET MALWARE Cryptowall .onion Proxy Domain [**] [Classification: A Network Trojan was detected] [Priority: 1] ps aux | grep suricata to find process ID and kill the process after testing

Step4: Set Suricata as a service Edit service script
nano /etc/systemd/system/suricata.service Copy and Paste a sample
[Unit]
Description=Suricata Intrusion Detection Service
After=network.target syslog.target
[Service]
ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml -i eth0 -S /var/lib/suricata/rules/suricata.rules ExecReload=/bin/kill -HUP $MAINPID
ExecStop=/bin/kill $MAINPID
[Install]
WantedBy=multi-user.target
Start/Stop/Restart/Check Suricata as a service sudo service suricata [start/stop/restart/status]
 
Step5: Check log and Log rotate
Suricata creates log files at /var/log/suricata
eve.json : huge json file for analysing with Erastic Search and Kibana or Sprunk, etc. fast.log : suspicious event log ( it is useful to just check event )
stats.log : network statistics log
suricata.log : Suricata’s service log
Check the latest suspicious events
sudo tail -n 100 -f /var/log/suricata/fast.log
Suricata may create huge size of log file, so you may configure log rotate setting, so edit log rotate setting file nano /etc/logrotate.d/suricata
/var/log/suricata/*.log /var/log/suricata/*.json {
daily
maxsize 1G
rotate 30
missingok
nocompress
create
sharedscripts
postrotate
systemctl restart suricata.service endscript
}
It means each daily log file limit to 1GB and holds the latest 30 files (for a month) Change logrotate configuration
Sudo logrotate -f /etc/logratate.conf

Step6: Automatically update Suricata rules at midnight
Edit crontab to update and restart suricata at 3:33 am
33 3 * * * sudo suricata-update && sudo service suricata restart
 
It is a typical setting of maintain Suricata by Raspberry Pi but works best with ETAP-PI
Create and customize your own stable NSM device and be ready for cyber security.
I recommend to connect other packet capturing devices at external port of ETAP-PI.
We can check actual pcap/pcapng file with Wireshark, if you find some important security event!!
Megumi Takeshita, ikeriri network service co., ltd. (Twitter@ikeriri / megumi@ikeriri.ne.jp)
https://www.ikeriri.ne.jp/develop/Dualcomm/rapsberrypinetworkappliance.html 
 

12/03: tcp.completeness in Wireshark3.6.0

カテゴリー: capturing
投稿者: ikeriri

Wireshark3.6.0 tcp.completeness field is a integer value to understand connection state.
the value consists of
1 : SYN
2 : SYN-ACK
4 : ACK
8 : DATA
16 : FIN
32 : RST
when you see the value in your trace file at the Client side, it may be
1: just a SYN(1) packet, the firewall blocked the connection on server side.
3: SYN(1)+SYN/ACK(2), half connection, server is stressful or DoS attaked.
7: SYN(1)+SYN/ACK(2)+ACK(4) just a ESTABLISHED TCP connection without data

259680078_4559933510752622_2507805259764045514_n

so Incomplete, DATA(15) means SYN(1)+SYN/ACK(2),+ACK(4)+DATA(8), TCP connection has been established and start data stream and not finished yet.

11/18: 10がリリースされました">Wireshark3.4.10がリリースされました

カテゴリー: capturing
投稿者: ikeriri
Wireshark 3.4.10がリリースされました。
主な変更は将来へ向けIOグラフ設定修正、Bluetoothプロトコル他のセキュリティ対応、TCP、HTTP2他のダイセクタの修正、pcap形式の更新などです。
まもなく登場次期大型更新3.6はrc3となり、表示フィルタの動作がより分かりやすくなります
http://www.wireshark.org/download.html

08/27: Wireshark3.4.8がリリースされました

カテゴリー: capturing
投稿者: ikeriri

wireshark_logo
Wireshark3.4.8がリリースされました。
主な更新はBluetooth、Raknet、CoAPダイセクタのバグ修正、VCランタイム削除問題の訂正、
editcap -Tオプションを無線LAN関係で用いた際ファイルが保存される問題修正などです。
Bluetooth関連、SIM、GSMなどのプロトコル更新を含みます
ダウンロードは →Wireshark · Download をご覧ください。

07/23: Duaslcomm社ネットワークアプライアンス ETAP-PI取扱開始。特別割引中

カテゴリー: capturing
投稿者: ikeriri

ラズベリーパイネットワークアプライアンス
ETAP-PI

ギガビット対応のタップとラズベリーパイ４を統合し、
GPIO対応のカスタマイズ可能な冷却ファン、プッシュスイッチと３つのLED、
安全シャットダウン機構および冗長電源で安定した長時間運用が可能です。
自由にカスタマイズしたネットワークモニタ・IDS/IPS・ビックデータ
AI・セキュリティアプリをインストールして
企業レベルのネットワークアプライアンスを安価に作成できます。
外部LANポートに別のキャプチャ機器を接続し
独立したタップとしての利用も可能です。
ETAP-2003＋RapsberryPi4
Aggregation Gigabit TAP + Rapsbery Pi4 (8GB+64GB MicroSD)
Aluminium Case + Customizable Cooling Fan＋Dual Power supply+
Grace Shutdown + Customizable SW and three LED
PoEパススルー対応10/100/1000MBASE-Tネットワークタップ＋
ラズベリーパイ４（８GB RAM＋MicroSD64GB）＋
アルミニウムケース＋カスタマイズ可能冷却ファン＋冗長電源
＋安全シャットダウン機構＋カスタマイズ可能スイッチおよびLED
↓
ETAP-PI
ETAP-PI Rapsberry Pi Network TAP Appliance
ラズベリーパイ４ネットワークアプライアンス
ETAP-PI
 
 
ラズパイ４とギガビット対応タップとカスタマイズ可能なプッシュSW、LED、冷却ファンおよび冗長電源を１つに。ネットワークアプライアンスやサイバーセキュリティプラットフォームを安価に構築できるDuaslcomm社ネットワークアプライアンス ETAP-PI→詳細はこちらへ

Dualcomm社 ラズベリーパイネットワークアプライアンス ETAP-PI (ikeriri.ne.jp)

07/15: Wireshark3.4.7 リリース

カテゴリー: capturing
投稿者: ikeriri

Wireshark3.4.7がリリースされました。

sflogo

主な変更点はCVE-2021-22235(DNPダイセクタのクラッシュ）対応、TCP DSACK、802.11acのDuration、NANのバグ修正およびASTERIXなどのダイセクタ更新、Catapult DCT2000などのファイルサポートの追加更新になります。

ダウンロード→https://www.wireshark.org/download.html

06/03: Wireshark3.4.6がリリースされました。

カテゴリー: capturing
投稿者: ikeriri
Wireshark3.4.6がリリースされました。主な変更点は同梱されるNpcapが1.31、QTは5.12.1へ。表示フィルタマクロやIEEE1588処理などのバグフィックスおよびDNS,TACACSなどのダイセクタやpcapngやNetScalerなどのファイル形式、もちろん日本語化部分も更新されています。
https://www.wireshark.org/download.html

04/22: Wireshark3.4.5がリリースされました

カテゴリー: capturing
投稿者: ikeriri

Wireshark3.4.5がリリースされました。主な変更・修正は以下になります。
wnpa-sec-2021-04のMS-WSPダイセクタのメモリ消費問題の修正、tsharkのGeoIP情報出力やパイプ処理の修正、パケットバイト列画面のASCII表示修正などのほか、DNS、Kerberos、LDAP、MS-WSPなどのプロトコルの更新が含まれます。 https://wireshark.org/download.html

04/14: 11ax WiFi6パケキャプ）">HEフレームのパケキャプについて（IEEE802.11ax WiFi6パケキャプ）

カテゴリー: capturing
投稿者: ikeriri

title="Ey6VyGMVoAAsJew"style="border-top: 0px; border-right: 0px; border-bottom: 0px; border-left: 0px; display: inline"border="0"alt="Ey6VyGMVoAAsJew" 
いけりり＠Interop Tokyo 2021です。CommView for WiFiを用いてIEEE802.11ax環境のパケキャプを行っております。暗号化がWPA2-PSKまででしたら平文化もただしく確認できました。

title="Ey6VyDcVgAIIn_a"style="border-top: 0px; border-right: 0px; border-bottom: 0px; border-left: 0px; display: inline"border="0"alt="Ey6VyDcVgAIIn_a"

HEフォーマットのIEEE802.11axフレームのパケットは次のように表示されます。
残念ながらRadiotapではただの11aのOFDMとWiresharkでは表示されますが、
CommView上ではきちんと解析できます！

0x0000   88 42 30 00 8E F8 3C B8-59 51 00 31 92 8B DC E6   ˆB0.Žø<¸YQ.1’‹Üæ
0x0010   00 31 92 8B DC E8 B0 8C-00 00 F7 08 00 20 00 00   .1’‹Üè°Œ..÷.. ..
0x0020   00 00 BE 57 FD 45 C3 FA-35 1B DF 1B 8A AB BA 2A   ..¾WýEÃú5.ß.Š«º*
0x0030   1A 3B E6 2F 2A 18 0B DF-6B F4 3D 2F 78 7F 19 D0   .;æ/*..ßkô=/x.Ð
0x0040   F2 06 5C 67 C4 12 3C 1B-72 8C 57 BF C0 A9         ò.\gÄ.<.rŒW¿À©

  title="Ey6VyJjVkAImnRX"style="border-top: 0px; border-right: 0px; border-bottom: 0px; border-left: 0px; display: inline"border="0"alt="Ey6VyJjVkAImnRX"
AXの統計を行うこともできます。ぜひご検討くださいませ。

TamoSoft CommView for WiFi IEEE802.11ax WiFi6対応 無線LANパケットキャプチャツール (ikeriri.ne.jp)

» 11ax WiFi6パケキャプ）'">もっと読む

04/13: 1shownet-ax)でのWiFi6のパケキャプ">ShowNet(2021shownet-ax)でのWiFi6のパケキャプ

カテゴリー: capturing
投稿者: ikeriri

 IMG_1978

幕張メッセのShowNet(2021shownet-ax)ではWiFi6およびWPA3での接続を行うことができます。いけりりネットワークサービス株式会社のCommView For WiFiは、Intel AX200などの内臓M.2カードとあわせて用いることで802.11axのパケキャプや解析を行えます

 IMG_1988

IEEE802.11axのAP表示と認識 が行えます。CommView For Wifiはこちらへ

→ https://www.ikeriri.ne.jp/develop/tamosoft/commviewforwifi.html

IMG_1989

Prev [P.9/19] Next [*No.81-90 of 183] First / Last
カテゴリ(Blog一覧）
いけりり★Blogトップ
すべてのカテゴリー
capturing
consulting
infrastructure
server
tips
過去ログ
いけりり★新着