Cyberdefenders – Elastic-Case

Scenario:

An attacker was able to trick an employee into downloading a suspicious file and running it. The attacker compromised the system, along with that, The Security Team did not update most systems. The attacker was able to pivot to another system and compromise the company. As a SOC analyst, you are assigned to investigate the incident using Elastic as a SIEM tool and help the team to kick out the attacker.

Resources:

  •  https://www.elastic.co/
  •  Threat Hunting with Elastic Stack by Andrew Pease (Book)
  • https://www.youtube.com/playlist?list=PLeLcvrwLe184BoWZhv6Cf2kbi-bKBeDBI
  • https://www.youtube.com/c/OfficialElasticCommunity
  • https://www.elastic.co/blog/
Leer más

Bloquear ataques web en FreeBSD con Wazuh

En anteriores entradas vimos como Bloquear ataques web con Wazuh pero estos bloqueos se basaba en servidores GNU/Linux

En este post, veremos cómo bloquear un ataques web en FreeBSD  usando la funcionalidad de active response en Wazuh. 

Active Response de wazuh ejecuta comandos en los agentes en respuesta de ciertas alertas.  En este ejemplo, veremos como bloquear un ataque de fuerza bruta. 

Leer más

Integrar Kaspersky Security Center con Wazuh

Seguimos configurando nuestra infraestructura SIRP Open source (https://red-orbita.com/?p=8726) En esta ocasión veremos como integrar Kaspersky Security Center  para la detección de amenazas con Wazuh y Thehive

Antes de nada, tenemos que ir a la consola de Kaspersky Security Center > Configurar las notificaciones y la exportación de eventos > Configuración exportación a SIEM (Mas información)

Leer más

ElasticSearch [FORBIDDEN/12/index read-only / allow delete (api)]

Si intenta indexar un documento en ElasticSearch y ve un mensaje de error como este:

elasticsearch.exceptions.AuthorizationException: AuthorizationException(403, 'cluster_block_exception', 'blocked by: [FORBIDDEN/12/index read-only / allow delete (api)];')

puede desbloquear escrituras en su clúster (todos los índices) usando

curl -XPUT -H "Content-Type: application/json" http://localhost:9200/_all/_settings -d '{"index.blocks.read_only_allow_delete": null}'