pfSense Firewall content pack (контент багц)

← Контент багцууд

pfSense Firewall content pack (контент багц)

pfSense болон OPNsense нь FreeBSD дээр суурилсан үнэгүй, нээлттэй эхийн галт хана болон чиглүүлэгчийн (router) програм хангамж юм. Тэдгээр нь сүлжээний дэвшилтэт боломжуудыг санал болгодог бөгөөд сүлжээний олон төрлийн тохиргоонд ашиглах боломжтой.

Энэ технологийн багц pfSense болон OPNsense мессежүүдийг боловсруулна.

Шаардлага

Дэмжигдэх хувилбарууд: pfSense CE edition 2.6 болон OPNsense 23.1.

Дэмжигдэх логууд

• dhcpd (DHCP logs)
• filterlog (Firewall logs)
• nginx / lighttpd (Traffic logs)
• unbound (DNS logs, query)
• sshd (Login/Logout via SSH)
• GUI login (Login)
• sshguard (SSHGuard logs)
• audit / php-fpm (Authentication)
• php-fpm (User creation and deletion)

Beta дэмжлэг:

• ntpd (NTP logs)
• kea-dhcp4 (Kea DHCP logs)
• openvpn (OpenVPN logs)
• radvd (Routing advertisement logs)
• suricata (Intrusion Detection)
• snort (Snort 2.9, Intrusion Detection)
• /usr/sbin/cron (Cron System logs)
• dpinger (Gateway logs)
• charon (IPSec)
• dnsmasq (DNSMasq)
• pkg_static (Packet Manager)
• shutdown (Shutdown command)
• rc.gateway_alarm (Gateway alarm)
• snmpd (SNMP)
• arpwatch (Arpwatch)
• squid (Proxy Server, тусгай input шаардлагатай)
• Bind (Alternative DNS Server)
• tailscaled (Tailscale successful connection)

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

• "Illuminate:pfsense_firewall Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

• "pfsense_firewall Logs"

Лог форматын жишээ

dhcpd (DHCP logs):

DHCPREQUEST for 192.168.1.50 from 52:54:00:06:aa:11 (tsterkal) via vtnet1

filterlog (Firewall logs):

71,,,1eb94a38e58994641aff378c21d5984f,vtnet0,match,block,in,4,0x0,,255,43376,0,DF,17,udp,73,192.168.122.40,224.0.0.251,5353,5353,53

nginx / lighttpd (Traffic logs):

192.168.1.50 192.168.1.10 - [23/Mar/2023:14:48:28 +0000] "GET /api/core/system/status HTTP/2.0" 200 317 "https://192.168.1.10/services_dhcp.php?if=lan" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0"

unbound (DNS logs):

[61142:0] info: reply from <cnn.com.> 205.251.192.47#53
[98871:0] query: 192.168.1.100 safebrowsing.googleapis.com. A IN

sshguard (SSHGuard logs):

Attack from "192.168.7.1" on service 100 with danger 10.

sshd (Login/Logout via SSH):

Accepted keyboard-interactive/pam for admin from 192.168.1.100 port 53214 ssh2

audit / php-fpm (Authentication):

/index.php: Successful login for user 'root' from: 192.168.1.50

login (Login to a shell)

Beta дэмжлэгтэй логууд

ntpd (NTP logs):

65.182.224.60 local addr 192.168.122.34 -> <null>

kea-dhcp4 (Kea DHCP logs):

INFO [kea-dhcp4.leases.0x317efda18900] DHCP4_LEASE_ADVERT [hwtype=1 c4:bd:e5:1b:94:fa], cid=[01:c4:bd:e5:1b:94:fa], tid=0x3bfb1946 lease 192.168.6.173 will be advertised

openvpn (OpenVPN logs):

myusercert/192.168.1.100:35609 SENT CONTROL [myusercert]: 'PUSH_REPLY,redirect-gateway def1,route-gateway 192.168.2.1,topology subnet,ping 10,ping-restart 60,ifconfig 192.168.2.2 255.255.255.0,peer-id 0,cipher AES-256-GCM' (status=1)

radvd (Routing advertisement logs):

ignoring RA from fe80::abcd:1234:5678:aaaa on igb0: not enough addresses for subnet

suricata (Intrusion Detection):

[46424]: [Drop] [1:2001219:20] ET SCAN Potential SSH Scan [Classification: Attempted Information Leak] [Priority: 2] {TCP} 118.123.10.10:1566 -> 192.168.1.25:22

snort (Snort 2.9):

[119:4:1] (http_inspect) BARE BYTE UNICODE ENCODING [Classification: Not Suspicious Traffic] [Priority: 3] {TCP} 192.168.1.100:49922 -> 192.168.1.1:3128

/usr/sbin/cron (Cron System logs):

(root) CMD (/usr/bin/nice -n20 /usr/local/sbin/expiretable -v -t 3600 virusprot)

dpinger (Gateway logs):

dpinger[11000]: WAN_GW 198.51.100.1: Alarm latency 4807us stddev 1790us loss 21%

charon (IPSec):

16[CFG] loaded 0 RADIUS server configurations

Зөвхөн charon процесс болон pid-ийг задлана.

dnsmasq (DNSMasq):

1 192.168.1.50/49952 query[A] cnn.com from 192.168.1.50

pkg_static / pkg (Packet Manager):

opnsense upgraded: 23.1 -> 23.1.4_1

shutdown (Shutdown command):

power-down by root:

rc.gateway_alarm (Gateway alarm):

>>> Gateway alarm: WAN_DHCP (Addr:192.168.122.1 Alarm:0 RTT:1.241ms RTTsd:10.968ms Loss:0%)

snmpd (SNMP):

disk_OS_get_disks: adding device 'cd0' to device list

php-fpm (User creation and deletion):

/system_usermanager.php: Configuration Change: admin@192.168.1.100 (Local Database): Successfully deleted user: stefan

arpwatch (Arpwatch):

new station 192.168.1.100 52:54:00:06:57:10

kernel:

vtnet0: promiscuous mode enabled

squid (Proxy Server, тусгай input шаардлагатай):

1680109171.634 171177 192.168.1.100 TCP_TUNNEL/200 111 CONNECT 192.169.3.4:443 - HIER_DIRECT/10.10.10.10 -

php/php_pfb (Software Updates/News):

[pfBlockerNG] Starting cron process.

Bind/named (Alternative DNS Server):

queries: info: client @0x802512d60 192.168.1.100#54251 (heise.de): query: heise.de IN A +E(0)K (192.168.1.1)

tailscaled (Tailscale connection):

UDP{100.121.10.10:60074 > 192.168.2.10:53} 70 ok

Шаардлага (логийг чиглүүлэх)

Энэ багц нь логийг зөв багц руу чиглүүлэх гурван өөр аргаас сонгох боломжийг олгоно.

Сонголт 1 (төхөөрөмжийн нэрээр):
pfSense/OPNsense төхөөрөмжийн нэр pfSense эсвэл OPNsense-ээр эхлэх ёстой. Эдгээр тэмдэгт мөр том, жижиг үсгийг ялгана (case-sensitive).

Сонголт 2 (статик талбараар):
Шаардлагатай талбарын нэр RoutedFrom, шаардлагатай утга Route - PFSense Logs. Хоёр утга хоёулаа том, жижиг үсгийг ялгана.

Сонголт 3 (тусгай input-оор):
Security Data Lake дотор pfSense/OPNsense-д зориулсан тусгай input болон Illuminate lookup override-ыг мөн тохируулж болно.

Тусгай input-д зориулсан Security Data Lake-ийн тохиргоо

1. 1
   Шинэ Syslog input үүсгэж, ашиглагдаагүй порт сонгоно. (Хэрэв зөвхөн pfSense/OPNSense логийг боловсруулдаг input аль хэдийн байгаа бол тэр input-ыг ашиглана. Шинэ эсвэл одоо байгаа forwarder ашиглаж байгаа бол forwarder тохируулах үйл явцын нэг хэсэг болгон шинэ input үүсгэнэ, эсвэл одоо байгаа forwarder-тэй холбоотой input-ыг ашиглана.)
2. 2
   Input үүссэний дараа input ID-г авахын тулд Show received messages-ийг сонгоно. Энэ нь All Time хугацаатай хайлтын цонхыг харуулна. Лог олон байвал үйл явцыг түргэсгэхийн тулд хугацааны хүрээг тохируулж болно.
3. 3
   gl2_source_input утгыг хуулна.
4. 4
   Enterprise > Illuminate руу очиж, Customization табыг дарна.
5. 5
   lookup_adapter_input_routing-ийг олж, Edit-ийг сонгоно. content_name түлхүүрт pfsense_firewall-ийг, input_id утгад өмнө нь хуулсан gl2_source_input ID-г оруулна.
6. 6
   Баталгаажуулахын тулд Configure value-г дарна.

Одоо тохируулсан input руу илгээсэн бүх лог pfSense/OPNSense лог гэж таних тул Illuminate-ийн зөв боловсруулалтыг хангана.

pfSense/OPNsense-ийн тохиргоо

1. 1
   pfSense/OPNsense дээр алсын логийг (remote logging) идэвхжүүлж, логийн зорилтот хаягаа тохируулна.
2. 2
   Харахыг хүсэж буй логуудаа сонгоно. Зарим үйлчилгээ лог үүсгэхийн тулд тухайн үйлчилгээн доторх тохиргоог сонгохыг шаарддаг. Ихэнх лог эх сурвалж үндсэнээр идэвхжээгүй байдаг. unbound/dns зэрэг зарим үйлчилгээ их хэмжээний лог үүсгэдэг.
3. 3
   Hostname нь таны Bitdefender Forwarder-ийн IP байна.
4. 4
   Порт тохируулна. (Энэ нь Security Data Lake дахь Syslog input-тэй таарах ёстой.) Үндсэн протокол нь udp.
5. 5
   syslog rfc5424-ийг сонгох эсвэл идэвхжүүлнэ.

Юу багтсан бэ

• pfSense болон OPNSense лог мессежийг нормчилж, баяжуулах дүрмүүд.

pfSense/OPNsense лог мессежийн боловсруулалт

Illuminate-ийн pfSense/OPNsense лог мессежийн боловсруулалт дараахыг хангана:

• pfSense/OPNsense лог мессежүүдийн талбар гаргаж авах, нормчлох, мессеж баяжуулах.
• Дараах мессежүүдийг GIM ангилах:

pfSense/OPNsense Spotlight content pack

pfSense/OPNsense нь ерөнхий харагдацтай dashboard болон filter log, alert-тэй нэг dashboard санал болгоно.