En anteriores entradas vimos como Integrar Kaspersky Security Center con Wazuh
en este caso, veremos como integrar las alertas que se produzcan en Wazuh en TheHive.
Para ver como se realiza la integración de Elastic con TheHive mediante ElasticAlert lo podéis ver en la entrada: Implementación de SIRP Open Source
Leer másSeguimos configurando nuestra infraestructura SIRP Open source (https://red-orbita.com/?p=8726) En esta ocasión veremos como integrar Kaspersky Security Center para la detección de amenazas con Wazuh y Thehive
Antes de nada, tenemos que ir a la consola de Kaspersky Security Center > Configurar las notificaciones y la exportación de eventos > Configuración exportación a SIEM (Mas información)
Auditd Se encarga de realizar un seguimiento de todo lo que va sucediendo en nuestro sistema GNU/Linux, en el cual va recopilando eventos sobre reglas pre-configuradas.
En esta entrada veremos como integrar Auditd con wazuh para así poder generar ciertas alertas.
Leer másEn anteriores entradas vimos como Bloquear ataques fuerza bruta con Wazuh o Bloquear ataques web con Wazuh
en este caso, veremos como integrar las alertas cuando se produzca un bloqueo con TheHive.
Seguimos configurando nuestra infraestructura SIRP Open source (http://red-orbita.com/?p=8726) En pasadas entradas vimos como Integrar Sysmon con wazuh, para poder hacer una correcta gestión de las incidencias vamos a integrar dichas alertas a TheHive mediante Elastalert
Leer másAl tratar de configurar una regla en Elastalert nos podemos encontrar con el siguiente error:
Leer más¿Que es Sysmon?
System Monitor ( Sysmon ) es un servicio del sistema de Windows y un controlador de dispositivo que, una vez instalado en un sistema, permanece residente en todos los reinicios del sistema para monitorear y registrar la actividad del sistema en el registro de eventos de Windows. Proporciona información detallada sobre creaciones de procesos, conexiones de red y cambios en el tiempo de creación de archivos. Al recopilar los eventos que genera utilizando Windows Event Collection o los agentes SIEM y luego analizarlos, puede identificar actividades maliciosas o anómalas y comprender cómo operan los intrusos y el malware en su red.
Leer másEn la entrada anterior vimos como eliminar todas las alertas y casos de Thehive, pero al realizar dicha acción las alertas se quedan en estado Ignored, para solucionar este problema debemos eliminarlas de ElasticSearch.
En algunas ocasiones podemos observar como aparecen los siguientes mensajes informáticos en elastalert:
INFO:elastalert:Ignoring match for silenced rule Host-based anomaly detection event
INFO:elastalert:Ignoring match for silenced rule Host-based anomaly detection event
INFO:elastalert:Ignoring match for silenced rule Host-based anomaly detection event
INFO:elastalert:Ignoring match for silenced rule Host-based anomaly detection event
INFO:elastalert:Ignoring match for silenced rule Host-based anomaly detection event