Що таке платформа MISP і як нею користуватися?
Tags: cybersecurity, beginners, tutorial, misp
Published: 2022-04-30 12:12:34

**MISP** (Malware Information Sharing Platform) - це спеціалізована платформа для збору та обміну інформацію про кібер-загрози (Threat Intelligence). Платформа базується на Open Source коді, нею користуються професіонали з моніторингу та реагування на кіберінциденти: SOC, CIRC, CIRT, CSIRT, CERT тощо.

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/vrjaaqsf0lbmly4056ku.jpeg)

Проєкт MISP заснований у 2011 році програмістом Христофом Вандепласом. На сьогодні він суттєво розрісся та підтримується великою спільнотою, зокрема Європейським Союзом. Включає в себе десятки Git-репозиторіїв, модулів, додатків, компонентів, API-інтеграцій з іншими платформами, наприклад Maltego, TheHive.

Платформа насправді дуже розгорнута і її можна вивчати місяцями. У даній статті я розгляну лише деякі аспекти, зокрема базові принципи та ази роботи з MISP.

## Встановлення MISP в Linux

Для встановлення MISP підійдуть усі Linux-подібні операційні системи: Ubuntu, Debian, Kali та інші.

Я рекомендую розгортати MISP на окремому сервері.

Перед встановленням рекомендую обов'язково оновити систему: 

```
sudo apt update && sudo apt upgrade -y
```

Інакше можливі помилки при встановленні. 

Для Kali Linux команда установки виглядає наступним чином:

```
wget -O /tmp/misp-kali.sh https://raw.githubusercontent.com/MISP/MISP/2.4/INSTALL/INSTALL.sh && bash /tmp/misp-kali.sh
```

Команди для інших дистрибутивів можна переглянути за посиланням: https://misp.github.io/MISP/INSTALL.ubuntu1804/

Розпочавши установку програма запропонує вказати домен, за яким буде доступна за URL-адресою: https://domain/users/login
Можна залишити порожнім, тоді замість нього буде просто локальний локалхост: https://127.0.0.1

Саме встановлення може зайняти чимало часу, тому варто бути терплячим, адже MISP система габаритна.

Також варто переконатися, що файрвол не блокує порти. Якщо доступу немає, то варто додати правила:

```
sudo ufw allow 80/tcp 
sudo ufw allow 443/tcp
```

Також, якщо ви вказали домен, варто заглянути в /etc/hosts і переконатися, чи "слухає" ваш домен localhost: 127.0.0.1.

Отже, по завешенню установки в консолі з'являться дані для входу в адміністративну частину. По замовчуванюю, ви отримуєте наступні пари доступів:

1. Доступ до веб-інтерфейсу: `admin@admin.test:admin`

2. Доступ до нового користувача системи misp (його буде створено автоматично). Перейти в обліковий запис виконавши команду консолі: `su - misp `

3. Доступ до MySQL бази даних MariaDB для користувачів root/misp (увійти в MISP DB можна через команду `mysql -p`)

## Робота з MISP

Вхід у Панель адміністрування MISP відбувається за URL-адресою: https://domain/users/login або https://127.0.0.1/users/login

Після першого входу в систему, вас відразу попросять змінити пароль. Встановіть надійний, не менше 12 знаків, комбінуючи символи верхнього та нижнього регістру, а також спецсимволи. Це дуже важливо, аби в майбутньому адмінку ніхто не міг взламати.

Що далі? Ви потрапляєте у веб-інтерфейс платформи MISP. Можна почати з створення нової Організації, перейшовши в меню `Administration -> Add Organisation`. Після цього додати нового користувача в ролі адміністратора Організації (`Org Admin`), натиснувши зліва в меню Add User та задавши відповідні налаштування. Тепер можна почати працювати з даними, наприклад додати перший канал інформації про загрози, перейшовши для цього в меню `Sync Actions -> List Feeds` та на лістингу обрати усі наявні фіди і включити їх, застосувавши масову операцію `Enabled selected`.

Фіди можна додавати, видаляти, змінювати, імпортувати (`Import Feeds from JSON`), фактично це як RSS-стрічка новин. Повний список фідів знайдете тут: https://www.misp-project.org/feeds/

Тепер, якщо перейти на головний екран `Dashboard`, то з'являться перші події `Events`. Кожна з них маркується відповідно [таблиці TLP-тегів](https://www.cisa.gov/tlp).

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/7y25kg5pm7gft8nm4lgf.png)

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/5o11x99eq4cpo3wpttb4.png)

Події можна переглядати, позначати, додавати свої, імпортувати і експортувати у різних форматах (у тому числі в вигляді правил для систем кіберзахисту Snort/Surricata).

Перейшовши в меню Galaxies - отримуєте доступ до своєрідної бази-даних. Тут знайдете десятки словників, розбитих за категоріями: APT-угрупування, Malware, атаки, експлойти і так далі.

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/qnlzkklsdey6lpxgvcqy.png)

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/qu7t74y3pkrdzbmkyf1n.png)

## Як переваги дає MISP?

Що тут особливого - запитаєте ви? По-перше, усі дані, які з'являються в MISP - це ексклюзивні дані з першоджерел, які по суті ще ніде не засвітилися. Ви стаєте інсайдером й маєте змогу бути у курсі найсвіжіших та найгарячіших подій. MISP є потужним агрегатором і вмістилищем різноманітної інформації про APT і Malware, тому ви ще й економите свій час на аналітику. По-друге, ця система дає можливість не тільки читати, а й самому активно брати участь, ділитися власними спостереження, створювати нові події про загрози та відправляти їх через MISP у спільноту кіберфахівців усього світу. Як на мене, то це дуже круте opportunity. І по-третє, з MISP ви по-суті розгортаєте власний центр реагування на кіберзагрози (Security Operation Center) абсолютно БЕЗКОШТОВНО.

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/bh6080ivrfins6qjnay3.png)

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/cgd82j9xic69ep8scu45.png)

## Корисні посилання

- https://www.circl.lu/doc/misp/book.pdf
- https://misp.github.io/MISP/
- https://github.com/MISP/MISP
- https://www.misp-project.org/documentation/