Cortex memecahkan dua masalah umum yang sering dihadapi oleh SOC, CSIRT, dan peneliti keamanan dalam rangka intelijen ancaman, forensik digital, dan respons insiden:
Bagaimana cara menganalisis observasi yang telah mereka kumpulkan, dalam skala besar, dengan menanyakan satu alat, bukan beberapa?
Bagaimana cara aktif menanggapi ancaman dan berinteraksi dengan konstituen dan tim lain?
Berkat banyak penganalisisnya dan RESTful API-nya, Cortex membuat analisis yang dapat diamati menjadi mudah, terutama jika dipanggil dari TheHive, Security Incident Response Platform (SIRP) kami yang sangat populer, gratis, dan open source. TheHive juga dapat memanfaatkan responden Cortex untuk melakukan tindakan spesifik pada peringatan, kasus, tugas, dan pengamatan yang dikumpulkan selama penyelidikan:mengirim email ke konstituen, memblokir alamat IP di tingkat proxy, memberi tahu anggota tim bahwa peringatan perlu diurus segera dan banyak lagi.
Mulai dari Cortex versi 2, Anda dapat membuat dan mengelola beberapa organisasi (yaitu multi-penyewaan), mengelola pengguna terkait dan memberi mereka peran yang berbeda. Anda juga dapat menentukan konfigurasi penganalisis per-org dan batas kecepatan untuk menghindari penggunaan semua kuota Anda sekaligus. Kami juga telah menambahkan cache sehingga analisis tidak dieksekusi ulang untuk observable yang sama jika analyzer tertentu dipanggil pada observable tersebut beberapa kali dalam rentang waktu tertentu (10 menit secara default, dapat disesuaikan untuk
Dalam posting ini, Anda akan mempelajari proses instalasi Cortex.
Persyaratan Perangkat Keras
Cortex menggunakan Java VM. Kami merekomendasikan menggunakan mesin virtual dengan 8vCPU, 8 GB RAM dan 10 GB disk. Anda juga dapat menggunakan mesin fisik dengan spesifikasi serupa.
Instalasi Korteks
Paket Debian diterbitkan dalam repositori paket DEB. Semua paket ditandatangani menggunakan kunci GPG 562CBC1C. Sidik jarinya adalah:
0CD5 AC59 DE5C 5A8E 0EE1 3849 3D99 BB18 562C BC1C Siapkan konfigurasi yang tepat dengan release penyimpanan:
curl https://raw.githubusercontent.com/TheHive-Project/TheHive/master/PGP-PUBLIC-KEY | sudo apt-key add -
echo 'deb https://deb.thehive-project.org release main' | sudo tee -a /etc/apt/sources.list.d/thehive-project.list
sudo apt-get update
Kemudian Anda akan dapat menginstal Cortex 3.1.0+ paket menggunakan apt perintah:
apt install cortex
Mulai pertama
Disarankan untuk menggunakan akun pengguna khusus yang tidak memiliki hak istimewa untuk memulai Cortex. Jika demikian, pastikan bahwa akun yang dipilih dapat membuat file log di /opt/cortex/logs .
Jika Anda lebih suka memulai aplikasi sebagai layanan, gunakan perintah berikut:
sudo addgroup cortex
sudo adduser --system cortex
sudo cp /opt/cortex/package/cortex.service /usr/lib/systemd/system
sudo chown -R cortex:cortex /opt/cortex
sudo chgrp cortex /etc/cortex/application.conf
sudo chmod 640 /etc/cortex/application.conf
sudo systemctl enable cortex
sudo service cortex start
Satu-satunya parameter yang diperlukan untuk memulai Cortex adalah kunci server (play.http.secret.key ). Kunci ini digunakan untuk mengotentikasi cookie yang berisi data. Jika Cortex berjalan dalam mode cluster, semua instance harus berbagi kunci yang sama. Anda dapat membuat konfigurasi minimal dengan perintah berikut (mereka menganggap bahwa Anda telah membuat pengguna khusus untuk Cortex, bernama cortex )
sudo mkdir /etc/cortex
(cat << _EOF_
# Secret key
# ~~~~~
# The secret key is used to secure cryptographics functions.
# If you deploy your application to several instances be sure to use the same key!
play.http.secret.key="$(cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 64 | head -n 1)"
_EOF_
) | sudo tee -a /etc/cortex/application.conf
Sekarang Anda dapat memulai Cortex. Untuk melakukannya, ubah direktori Anda saat ini ke direktori instalasi Cortex (/opt/cortex dalam panduan ini), lalu jalankan:
bin/cortex -Dconfig.file=/etc/cortex/application.conf
Harap dicatat bahwa layanan mungkin memerlukan beberapa waktu untuk memulai. Setelah dimulai, Anda dapat meluncurkan browser dan terhubung ke
http://YOUR_SERVER_ADDRESS:9001/
Instalasi Cortex – Buat Cortex Super Administrator
Anda kemudian diundang untuk membuat pengguna pertama. Ini adalah pengguna administrasi global Cortex atau superAdmin . Akun pengguna ini akan dapat membuat organisasi dan pengguna Cortex.
Anda kemudian akan dapat masuk menggunakan akun pengguna ini. Anda akan melihat bahwa cortex default default organisasi telah dibuat dan itu termasuk akun pengguna Anda, administrator global Cortex.
Buat Organisasi
Default cortex organisasi tidak dapat digunakan untuk tujuan lain selain mengelola administrator global (pengguna dengan superAdmin peran), organisasi dan pengguna terkait. Itu tidak dapat digunakan untuk mengaktifkan/menonaktifkan atau mengonfigurasi penganalisis. Untuk melakukannya, Anda perlu membuat organisasi Anda sendiri di dalam Cortex dengan mengklik Add organization tombol.
Buat Administrator Organisasi
Buat akun administrator organisasi (pengguna dengan orgAdmin peran).
Jadi, nikmatilah