Discussione Creazione "SOC in casa"

[J.A.R.V.I.S.]

Buongiorno a tutti!

Stavo pensando di creare un SOC in casa per cominciare a prendere mano con l'utilizzo dei principali tool, io pensavo di strutturarlo full open source visto che è una prova.
Cercando online una soluzione ho trovato il seguente setup:

ElasticSearch
Wazuh
MISP
Zeek/Suricata
pfsense
Siemplify

Inoltre vorrei installare anche OpenVAS per prendere mano con eventuali VA automatici
Penso che tutto ciò mi sarebbe molto utile per fare un po' di esperienza

Cosa ne pensate?

 

[0xbro]

Buongiorno a tutti!

Stavo pensando di creare un SOC in casa per cominciare a prendere mano con l'utilizzo dei principali tool, io pensavo di strutturarlo full open source visto che è una prova.
Cercando online una soluzione ho trovato il seguente setup:

ElasticSearch
Wazuh
MISP
Zeek/Suricata
pfsense
Siemplify

Inoltre vorrei installare anche OpenVAS per prendere mano con eventuali VA automatici
Penso che tutto ciò mi sarebbe molto utile per fare un po' di esperienza

Cosa ne pensate?

Piuttosto che OpenVAS io installerei Nessus (Community), visto che la versione enterprise di Nessus è molto diffusa tra le aziende. Non saranno uguali, ma almeno inizi a prendere la mano su un prodotto molto più utilizzato.

Per il resto ne so ben poco, conosco OSSIM (un SIEM open source) ma non l'ho mai usato in prima persona. ElasticSearch so che viene usato abbastanza anche nel mondo lavorativo, per cui se impari a configurarlo e usarlo è un'ottima cosa. Credo comunque che crearti il tuo lab casalingo sia una splendida idea

 

[J.A.R.V.I.S.]

Piuttosto che OpenVAS io installerei Nessus (Community), visto che la versione enterprise di Nessus è molto diffusa tra le aziende. Non saranno uguali, ma almeno inizi a prendere la mano su un prodotto molto più utilizzato.

Per il resto ne so ben poco, conosco OSSIM (un SIEM open source) ma non l'ho mai usato in prima persona. ElasticSearch so che viene usato abbastanza anche nel mondo lavorativo, per cui se impari a configurarlo e usarlo è un'ottima cosa. Credo comunque che crearti il tuo lab casalingo sia una splendida idea

Grazie mille per le dritte, seguirò i tuoi consigli
Colgo l'occasione per ringraziarti per i consigli che mi hai dato fino ad ora, domenica scorsa ho ottenuto la certificazione eJPT v2 e credo di aver imparato moltissimo sia dal corso che dall'esame.
Un buon punto di partenza per le prossime certificazioni!

Durante il weekend comincerò a fare il setup di questo lab, ti terrò informato sullo svolgimento, magari può essere un ottimo spunto per altri nella community

 

[0xbro]

Grazie mille per le dritte, seguirò i tuoi consigli
Colgo l'occasione per ringraziarti per i consigli che mi hai dato fino ad ora, domenica scorsa ho ottenuto la certificazione eJPT v2 e credo di aver imparato moltissimo sia dal corso che dall'esame.
Un buon punto di partenza per le prossime certificazioni!

Durante il weekend comincerò a fare il setup di questo lab, ti terrò informato sullo svolgimento, magari può essere un ottimo spunto per altri nella community

Lieto che i consigli siano stati utili, ma soprattutto complimenti per il tuo risultato, ad maiora!

Sono sicuro che anche qualcun altro troverà utile la creazione di questo lab, per cui tienici aggiornati (e se altri utenti avessero degli ulteriori consigli sono sempre ben accetti!)

 

[J.A.R.V.I.S.]

Ciao a tutti! Dopo una lunga pausa volevo aggiornarvi sullo stato di questo progetto, al momento ho implementato internamente un IDS e un IPS, giusto per vedere le differenze, proseguendo poi con il SIEM mi sono "schiantato" sul elasticsearch a pagamento, in sostanza al momento l'elk stak è attivo ma non posso creare le policy di sicurezza che mi interesserebbero.
Avreste qualche alternativa?

 

[0xbro]

Ciao a tutti! Dopo una lunga pausa volevo aggiornarvi sullo stato di questo progetto, al momento ho implementato internamente un IDS e un IPS, giusto per vedere le differenze, proseguendo poi con il SIEM mi sono "schiantato" sul elasticsearch a pagamento, in sostanza al momento l'elk stak è attivo ma non posso creare le policy di sicurezza che mi interesserebbero.
Avreste qualche alternativa?

So che esiste AlienVault OSSIM, dovrebbe essere un SIEM Open Source che magari può fare al caso tuo

 

[J.A.R.V.I.S.]

Ci stavo lavorando proprio oggi e ho notato che dalla fine del 2022 è stata aggiornata la licenza di elasticsearch, ora dovrebbe essere gratuita.
Il prossimo step sarà installare i plugin di elasticsearch per la sicurezza e successivamente the hive, così dovrei avere un siem basico con
- ELK stack
- The Hive
- Snort

Così forse posso iniziare a vedere se riesco a simulare qualche attacco e vedere se vengono lanciati degli alert