প্রতিনিয়ত সাইবার অ্যটাকের সংখ্যা বৃদ্ধির ফলে আমাদের নিরাপত্তা ব্যবস্থার উন্নতির প্রয়োজনীয়তা উপলব্ধি করতে পারি। বর্তমান সাইবার ওয়ার্ল্ডে নিরাপদ থাকতে প্রয়োজন সঠিক নিরাপত্তা ব্যবস্থা এবং মনিটরিং সিসটেম। একটি ইনফ্রাস্ট্রাকচার এর সিকিউরিটি মনিটরিং গুরুত্তপূর্ণ একটি কাজ। আমরা একটি Open-Source SIEM Solution ব্যবহার করে Log Analysis করব এবং এর Installation Process দেখব।
এ পর্বে আমরা শুধু Wazuh ইনস্টলেশন স্ট্রাকচার সম্পর্কে জানব, কিভাবে কাজ করে, কিভাবে ইন্সটল করতে হয় ইত্যাদি বিষয়ে ধারণা নিবো।
Wazuh হলো OSSEC এর SIEM Solution based একটি Opensource SIEM Solution. পুরো SIEM Solution এ Wazuh-manager, Wazuh-agent, Filebeat, Kibana, Elasticsearch এর ব্যবহার করা হয়। এ সার্ভিসগুলো প্রতিটি আলাদা আলাদাভাবে ইনস্টল করে একটির সাথে আরেকটির সমন্বয় করতে হয়।
আমরা সকল সার্ভিস একটি মেশিনে ইনস্টল করবো এবং একটি এজেন্ট অন্য একটি মেশিনে ইনস্টল করবো।
এই প্রসেসটির নাম অল ইন ওয়ান ডিপ্লয়মেন্ট। আমরা ইনস্টলেশন এর জন্য Wazuh এর অফিসিয়াল ডকুমেন্ট অনুসরণ করবো। সম্পুর্ণ ইন্সটলেশনের জন্য ভার্চুয়ালবক্স ব্যবহার করব। উপরে ডিজাইন আর্কিটেকচার দেখে বোঝা যাচ্ছে, সকল সার্ভিস ইন্সটলেশনের জন্য একটি মাত্র অপারেটিং সিস্টেম ব্যবহার করা হবে। সম্পূর্ণ প্রসেসটি আমরা ভার্চুয়ালবক্সে সিমুলেট করব। যদিও হোস্ট মেশিনে এক সাথে সকল সার্ভিস ইন্সটল করব, তদুপরি এর মাঝে কিছু প্রসেস ধাপে ধাপে সম্পন্ন হয়ে থাকে। অর্থাৎ, এজেন্ট থেকে লগ কালেকশন করে Wazuh-Manager এর কাছে লগ পাঠানো এবং লগ Visualization এর মাঝে যে প্রসেসগুলো হয় তার একটি সামারি তুলে ধরছি।
Wazuh-Agent থেকে লগ নিয়ে Wazuh-manager এ পাঠানো হয়, Wazuh-manager এ সেট করা রুলস অনুযায়ী লগ গুলো প্রসেস করে Filebeat এর সাহায্যে Elasticsearch এর কাছে পাঠানো হয়। Elasticsearch এখানে Database এর মত কাজ করে। Elasticsearch লগ গুলো Kibana তে পাঠায়, এর পর Kibana এর মাধ্যমে লগ গুলো ড্যাশবোর্ড এ বোধগম্যভাবে উপস্থাপন করা হয়।
সম্পূর্ণ প্রোসেসটি সিমুলেট করতে Operating System হিসেবে Ubuntu ব্যবহার করব।
Ubuntu আমরা হোস্ট মেশিন হিসেবে ব্যবহার করব। ভার্চুয়াল বক্সে OS টিতে Minimum 2 GB RAM, 1 টি CPU দিতে হবে, যেহেতু সেখানে সকল Service Install হবে। Network Adapter এ Bridge Adapter (Host/main OS এর সাথে Communicate করতে চাইলে) অথবা Nat-Network রেখে, Allow VMs অথবা Allow All করতে হবে।
এই ধাপে আমরা শুধু হোস্ট মেশিন রেডি করব। অর্থাৎ Wazuh-Manager, Filebeat, Elasticsearch, Kibana এগুলো install করে হোস্ট মেশিন রেডি করব।
ইন্সটলেশনের প্রথম ধাপে, Ubuntu মেশিন আপডেট করে নিতে হবে, এর পর সিরিয়াল অনুযায়ী একটার পর একটা Command দিয়ে যেতে হবে।
Command গুলো Run করার সময় Administrative privilege প্রয়োজন হবে।
প্রথমে আমরা Elasticsearch ইন্সটল করব
Installation এর শুরুতে প্যাকেজগুলো Install করে নিতে হবে
apt-get install apt-transport-https zip unzip lsb-release curl gnupg১। Install GPG Key
curl -s https://artifacts.elastic.co/GPG-KEY-elasticsearch | gpg –no-default-keyring –keyring gnupg-ring:/usr/share/keyrings/elasticsearch.gpg –import && chmod 644 /usr/share/keyrings/elasticsearch.gpg2. Repo Add করব।
echo “deb [signed-by=/usr/share/keyrings/elasticsearch.gpg] https://artifacts.elastic.co/packages/7.x/apt stable main” | tee /etc/apt/sources.list.d/elastic-7.x.list৩। আপডেট করে নিব।
apt-get updateআমাদের মেশিন এখন Elasticsearch Install এর জন্য প্রস্তুত।
এখন Elasticsearch Install এবং Configure করব।
১। Elasticsearch পাকেজগুলো ইন্সটল করে নিই।
apt-get install elasticsearch=7.17.9২। Configuration file download করি।
curl -so /etc/elasticsearch/elasticsearch.yml https://packages.wazuh.com/4.4/tpl/elastic-basic/elasticsearch_all_in_one.ymlএই অংশে সার্টিফিকেট Create করা এবং Deploy করা দেখব
১। সার্টিফিকেট তৈরীর জন্য Configuration ফাইল Download করি।
curl -so /usr/share/elasticsearch/instances.yml https://packages.wazuh.com/4.4/tpl/elastic-basic/instances_aio.yml২। নিচের কমান্ড রান করলে elasticsearch-certutil tool এর মাধ্যমে সার্টিফিকেট তৈরী হবে।
/usr/share/elasticsearch/bin/elasticsearch-certutil cert ca –pem –in instances.yml –keep-ca-key –out ~/certs.zip৩। সার্টিফিকেট রেডি! এখন সার্টিফিকেট এর zip ফাইল unzip করতে হবে।
unzip ~/certs.zip -d ~/certs৪। এই ধাপে Elasticsearch এর সার্টিফিকেটের জন্য একটি directory তৈরী করব এবং সার্টিফিকেটগুলো Directory তে রাখব।
mkdir /etc/elasticsearch/certs/ca -p
cp -R ~/certs/ca/ ~/certs/elasticsearch/* /etc/elasticsearch/certs/
chown -R elasticsearch: /etc/elasticsearch/certs
chmod -R 500 /etc/elasticsearch/certs
chmod 400 /etc/elasticsearch/certs/ca/ca.* /etc/elasticsearch/certs/elasticsearch.*
rm -rf ~/certs/ ~/certs.zip৫। এখন Elasticsearch service enable করব এবং service start করব।
systemctl daemon-reload
systemctl enable elasticsearch
systemctl start elasticsearch৬। Elasticsearch এর সকল User এবং প্রয়োজনীয় রুলসের জন্য credential তৈরী করব।
/usr/share/elasticsearch/bin/elasticsearch-setup-passwords autoএই কমান্ডটি নিচের মত আউটপুট দিবে, এগুলো সেভ করে রাখতে হবে, পরবর্তীতে ব্যবহার করার জন্য।
Changed password for user apm_system
PASSWORD apm_system = 4w3qt8Q7fC4bs956W84r
Changed password for user kibana_system
PASSWORD kibana_system = CUANVQIaChV6P6U86Ups
Changed password for user kibana
PASSWORD kibana = CUANVQIaChV6P6U86Ups
Changed password for user logstash_system
PASSWORD logstash_system = gz3lCnmLZWsZUQ6uw0F3
Changed password for user beats_system
PASSWORD beats_system = H2Qfc1UUqCvxYSfJcoR2
Changed password for user remote_monitoring_user
PASSWORD remote_monitoring_user = AwbIMfrafL1aM1GKrMQc
Changed password for user elastic
PASSWORD elastic = dQYzrlwVZPhdKANPlHOBএখন চেক করা যেতে পারে, সার্ভিসগুলো ঠিকভাবে ইন্সটল হলো কি না।
[<pass> এর স্থানে সার্ভিস গুলোর Password দিতে হবে, যেগুলো একটু আগে আমরা কপি করে রাখলাম (আপনার password আপনি সেভ করে রেখেছেন)]
elastic
curl -XGET -u -k
remote monitoring user
curl -XGET -u -k
beast system
curl -XGET -u -k
logsthash system
curl -XGET -u -k
kibana
curl -XGET -u -k
kibana system
curl -XGET -u -k
apm system
curl -XGET -u -k
উপরক্ত কমান্ড দিলে সার্ভিসগুলো চালু থাকলে এমন আউটপুট আসবে।
root@nayem-VirtualBox:/home/nayem# curl -XGET https://localhost:9200 -u elastic:dQYzrlwVZPhdKANPlHOB -k
{
“name” : “elasticsearch”,
“cluster_name” : “elasticsearch”,
“cluster_uuid” : “QoGKtHL0QoyPP_IYkw0s-Q”,
“version” : {
“number” : “7.17.9”,
“build_flavor” : “default”,
“build_type” : “deb”,
“build_hash” : “ef48222227ee6b9e70e502f0f0daa52435ee634d”,
“build_date” : “2023-01-31T05:34:43.305517834Z”,
“build_snapshot” : false,
“lucene_version” : “8.11.1”,
“minimum_wire_compatibility_version” : “6.8.0”,
“minimum_index_compatibility_version” : “6.0.0-beta1”
},
“tagline” : “You Know, for Search”
}
Wazuh-Server ইন্সটল পর্ব
Wazuh repository অ্যাড করার অংশ
১। GPG Key Install করি।
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | gpg –no-default-keyring –keyring gnupg-ring:/usr/share/keyrings/wazuh.gpg –import && chmod 644 /usr/share/keyrings/wazuh.gpg২। Add Repo.
echo “deb [signed-by=/usr/share/keyrings/wazuh.gpg] https://packages.wazuh.com/4.x/apt/ stable main” | tee -a /etc/apt/sources.list.d/wazuh.list৩। Update করে নিই
apt-get updat
Wazuh-manager ইন্সটল পর্ব
১। Wazuh-manager প্যাকেজ ইন্সটল করি
apt-get install wazuh-manager২। Wazuh-manager সার্ভিস Enable & Start
systemctl daemon-reload
systemctl enable wazuh-manager
systemctl start wazuh-manager৩। Wazuh-manager সার্ভিস চালু আছে কি না চেক করি
systemctl status wazuh-managerআশা করছি Wazuh-manager running আছে এবং সব কিছু ঠিক ঠাক Install করতে পেরেছেন। এবার পরের ধাপে আমরা Fileeat ইন্সটল করব।
Filebeat ইন্সটল পর্ব
১। নিচের কমান্ডের মাধ্যমে Filebeat পাকেজ ইন্সটল করি।
apt-get install filebeat=7.17.9২। পূর্বে থেকে কনফিগার করা Filebeat এর config ফাইল ইন্সটল করব। এর মাধ্যমে ফাইলবিট Wazuh alert Elasticsearch এর কাছে পাঠায়।
curl -so /etc/filebeat/filebeat.yml https://packages.wazuh.com/4.4/tpl/elastic-basic/filebeat_all_in_one.yml৩। Elasticsearch এর জন্য Alert Sample ডাউনলোড এবং Permission দেওয়া
curl -so /etc/filebeat/wazuh-template.json https://raw.githubusercontent.com/wazuh/wazuh/4.4/extensions/elasticsearch/7.x/wazuh-template.json
chmod go+r /etc/filebeat/wazuh-template.json৪। Filebeat এর জন্য Wazuh Module ডাউনলোড
curl -s https://packages.wazuh.com/4.x/filebeat/wazuh-filebeat-0.2.tar.gz | tar -xvz -C /usr/share/filebeat/module৫। filebeat.yml ফাইলটি এডিট করার জন্য নির্দিষ্ট লোকেশানে যেতে হবে এবং ফাইলটি এডিট করতে হবে
nano /etc/filebeat/filebeat.yml৬। এই লাইনটি এডিট করতে হবে <pass> এর স্থানে আপনার Elastic password দিতে হবে
output.elasticsearch.password:এর পর সেভ করার জন্য
[ctrl + o] + enter >> to save
[ctrl + x] >> to exit
৭। সার্টিফিকেটগুলো কপি করার জন্য
cp -r /etc/elasticsearch/certs/ca/ /etc/filebeat/certs/
cp /etc/elasticsearch/certs/elasticsearch.crt /etc/filebeat/certs/filebeat.crt
cp /etc/elasticsearch/certs/elasticsearch.key /etc/filebeat/certs/filebeat.key৮। অতঃপর Filebeat সার্ভিস স্টার্ট করার জন্য কমান্ড
systemctl daemon-reloadsystemctl enable filebeatsystemctl start filebeat৯। Filebeat ঠিক মত ইন্সটল হয়েছে কি না, তা দেখার জন্য
filebeat test outputএর পরের ধাপে Kibana ইন্সটল করব
Kibana ইন্সটল পর্ব
১। Kibana প্যাকেজ ইন্সটল
apt-get install kibana=7.17.9২। Kibana কনফিগারেশন ফোল্ডারে ইলাস্টিকসার্চ সার্টিফিকেট কপি করি
mkdir /etc/kibana/certs/ca -pcp -R /etc/elasticsearch/certs/ca/ /etc/kibana/certs/cp /etc/elasticsearch/certs/elasticsearch.key /etc/kibana/certs/kibana.keycp /etc/elasticsearch/certs/elasticsearch.crt /etc/kibana/certs/kibana.crtchown -R kibana:kibana /etc/kibana/chmod -R 500 /etc/kibana/certschmod 440 /etc/kibana/certs/ca/ca.* /etc/kibana/certs/kibana.*৩। Kibana কনফিগারেশন ফাইল ডাউনলোড
curl -so /etc/kibana/kibana.yml https://packages.wazuh.com/4.4/tpl/elastic-basic/kibana_all_in_one.yml৪। kibana.yml ফাইলটি এডিট করতে হবে
nano /etc/kibana/kibana.yml
elasticsearch.password:সেভ করার জন্য
[ctrl + o] + enter >> to save
[ctrl + x] >> to exit
৫। ডেটা ফোল্ডার তৈরী করা এবং পারমিশন দেওয়া
mkdir /usr/share/kibana/datachown -R kibana:kibana /usr/share/kibana৬। Kibana Plug-in ইন্সটল
cd /usr/share/kibanasudo -u kibana /usr/share/kibana/bin/kibana-plugin install https://packages.wazuh.com/4.x/ui/kibana/wazuh_kibana-4.4.1_7.17.9-1.zip৭। Port 443 এর সাথে Link করা
setcap ‘cap_net_bind_service=+ep’ /usr/share/kibana/node/bin/node৮। এবারে Kibana সার্ভিস Enable & Start করতে হবে
systemctl daemon-reloadsystemctl enable kibanasystemctl start kibanaএবারে Wazuh-manager এর IP (যে মেশিনে এতক্ষণ আমরা সব ইন্সটল করলাম) দিয়ে ব্রাউস করতে হবে।
IP দেখতে ifconfig command টি দিতে হবে।
URL: https:// <IP>
সব কিছু ঠিক থাকলে, Username এবং Password চাইবে
সেখানে Username: elastic এবং Password দিতে হবে Elastic এর Password (যে Password পূর্বে তৈরী করা হয়েছে) ।
সব কিছু ঠিক থাকলে, আপনি Successfully Log-in করতে পারবেন।
এবারে ছোট্ট একটি কাজ করি, যেন অপ্রয়োজনীয় আপডেট হয়ে চেঞ্জ না হয়ে যায়।
sed -i “s/^deb/#deb/” /etc/apt/sources.list.d/wazuh.list
sed -i “s/^deb/#deb/” /etc/apt/sources.list.d/elastic-7.x.list
apt-get updateWazuh-manager এবং প্রয়োজনীয় আনুষাঙ্গিক Element Install করা হয়ে গিয়েছে। আগামী পর্বে আমরা এর সাথে Agent add করব, এবং Agent থেকে লগ কালেক্ট করব।