Troubleshooting del tráfico bloqueadopor la política WAF de Azure Application Gateway

Recientemente solucioné un problema con falsos positivos en Azure Application Gateway WAF. Al revisar las reglas que bloqueaban el tráfico, descubrí que el identificador de regla (ruleid_s) no coincidía con ningún ID de reglas en el WAF.

Este artículo explica cómo detectar la regla que está bloqueado el tráfico y cómo realizar excepciones oportunas.

Paso 1: Configurar logs de Application Gateway. Para hacerlo: Ir a Application Gateway > Sección Monitoring > Diagnostic setting > + Add diagnostic setting.

Leer más

Desplegar Azure Private DNS zones con terraform

¿Que es Terraform?

Terraform es un software de infraestructura como código (infrastructure as code) desarrollado por HashiCorp. Permite a los usuarios definir y configurar la infraestructura de un centro de datos en un lenguaje de alto nivel, generando un plan de ejecución para desplegar la infraestructura en OpenStack,3​ por ejemplo, u otros proveedores de servicio tales como AWSIBM Cloud (antiguamente Bluemix), Google Cloud PlatformLinode,45​ Microsoft AzureOracle Cloud Infrastructure o VMware vSphere.678910​ La infraestructura se define utilizando la sintaxis de configuración de HashiCorp denominada HashiCorp Configuration Language (HCL) o, en su defecto, el formato JSON.11

En este ejemplo, vamos a desplegar el servicio: Azure DNS private zone

Leer más

Desplegar Load Balancer WAF en Azure

Azure Application Gateway Web Application Firewall (WAF) v2 viene con un conjunto de reglas preconfigurado y administrado por la plataforma que ofrece protección contra muchos tipos diferentes de ataques. Estos ataques incluyen secuencias de comandos entre sitios, inyección SQL y otros. Si es un administrador de WAF, es posible que desee escribir sus propias reglas para aumentar las reglas del conjunto de reglas básicas (CRS). Sus reglas personalizadas pueden bloquear, permitir o registrar el tráfico solicitado según los criterios coincidentes. Si la política de WAF está configurada en modo de detección y se activa una regla de bloqueo personalizada, la solicitud se registra y no se realiza ninguna acción de bloqueo.

Leer más

Instalar CA interna (Certification Authority) OpenSSL en GNI/Linux

Las entidades de certificación (CA) son responsables de emitir certificados digitales para verificar identidades en Internet. Las CA públicas son una opción popular para verificar la identidad de sitios web y otros servicios que se proporcionan al público en general, y las CA privadas suelen usarse para grupos cerrados y servicios privados.

Compilar una entidad de certificación privada le permitirá configurar, probar y ejecutar programas que requieren conexiones cifradas entre un cliente y un servidor. Con una CA privada, puede emitir certificados para usuarios, servidores o programas y servicios individuales dentro de su infraestructura.

Leer más

Logstash Port 514 Permission denied

Al intentar iniciar el servicio de logstash con el puerto 514 en escucha podemos apreciar el siguiente problema.

[2022-11-29T10:30:18,202][ERROR][logstash.inputs.udp      ][main][dec7ab89e06b39e0468c97b39e3a559eccb915944cc44830732c52de29f9852a] UDP listener died {:exception=>#<Errno::EACCES: Permission denied - bind(2) for "0.0.0.0" port 514>, :backtrace=>["org/jruby/ext/socket/RubyUDPSocket.java:200:in `bind'", "/usr/share/logstash/vendor/bundle/jruby/2.6.0/gems/logstash-input-udp-3.5.0/lib/logstash/inputs/udp.rb:129:in `udp_listener'", "/usr/share/logstash/vendor/bundle/jruby/2.6.0/gems/logstash-input-udp-3.5.0/lib/logstash/inputs/udp.rb:81:in `run'", "/usr/share/logstash/logstash-core/lib/logstash/java_pipeline.rb:411:in `inputworker'", "/usr/share/logstash/logstash-core/lib/logstash/java_pipeline.rb:402:in `block in start_input'"]}
Leer más

Instalación y configuración de ELK 8.x

¿Qué es ELK?

Es un conjunto de herramientas de gran potencial de código abierto que se combinan para crear una herramienta de administración de registros permitiendo la monitorización, consolidación y análisis de logs generados en múltiples servidores, estas herramientas son: ElasticSearch, Logstash y Kibana.

También pueden ser utilizadas como herramientas independientes, pero la unión de todas ellas hace una combinación perfecta para la gestión de registros como ya hemos mencionado.

Sin mas preambulo empezamos con la con la instalación

Leer más

Cyberdefenders – Elastic-Case

Scenario:

An attacker was able to trick an employee into downloading a suspicious file and running it. The attacker compromised the system, along with that, The Security Team did not update most systems. The attacker was able to pivot to another system and compromise the company. As a SOC analyst, you are assigned to investigate the incident using Elastic as a SIEM tool and help the team to kick out the attacker.

Resources:

  •  https://www.elastic.co/
  •  Threat Hunting with Elastic Stack by Andrew Pease (Book)
  • https://www.youtube.com/playlist?list=PLeLcvrwLe184BoWZhv6Cf2kbi-bKBeDBI
  • https://www.youtube.com/c/OfficialElasticCommunity
  • https://www.elastic.co/blog/
Leer más