The Hive (platforma pro reakci na bezpečnostní incidenty)

Tato stránka je průvodce instalací a konfigurací krok za krokem, jak zprovoznit a spustit instanci TheHive 4. Tato příručka je ilustrována příklady pro systémy založené na balíčcích Debianu a pro instalaci z binárních balíčků.

Virtuální stroj Java

apt-get install -y openjdk-8-jre-headless
echo JAVA_HOME="/usr/lib/jvm/java-8-openjdk-amd64" >> /etc/environment
export JAVA_HOME="/usr/lib/jvm/java-8-openjdk-amd64"

Poznámka

TheHive lze načíst pomocí Java 11, ale ne stabilní verze Cassandry, která stále vyžaduje Java 8. Pokud nastavíte cluster pro databázi odlišnou od serverů TheHive:

• Uzly Cassandra lze načíst pomocí Java 8
• Uzel TheHive lze načíst pomocí Java 11

Pro samostatné servery s TheHive a Cassandrou na stejném OS doporučujeme mít pro obě aplikace nainstalovanou pouze Java 8.

Databáze Cassandra

Apache Cassandra je škálovatelná a vysoce dostupná databáze. TheHive podporuje nejnovější stabilní verzi 3.11.x Cassandry.

Instalovat z úložiště

Přidat reference úložiště Apache

curl -fsSL https://www.apache.org/dist/cassandra/KEYS | sudo apt-key add -
echo "deb http://www.apache.org/dist/cassandra/debian 311x main" | sudo tee -a /etc/apt/sources.list.d/cassandra.sources.list

Nainstalujte balíček

sudo apt update
sudo apt install cassandra

Ve výchozím nastavení jsou data uložena v /var/lib/cassandra .

Konfigurace

Začněte změnou parametru cluster_name s thp . Spusťte příkaz cqlsh :

cqlsh localhost 9042

cqlsh> UPDATE system.local SET cluster_name = 'thp' where key='local';

Ukončete a poté spusťte:

nodetool flush

Nakonfigurujte Cassandru úpravou /etc/cassandra/cassandra.yaml soubor.

# content from /etc/cassandra/cassandra.yaml

cluster_name: 'thp'
listen_address: 'xx.xx.xx.xx' # address for nodes
rpc_address: 'xx.xx.xx.xx' # address for clients
seed_provider:
    - class_name: org.apache.cassandra.locator.SimpleSeedProvider
      parameters:
          # Ex: "<ip1>,<ip2>,<ip3>"
          - seeds: 'xx.xx.xx.xx' # self for the first node
data_file_directories:
  - '/var/lib/cassandra/data'
commitlog_directory: '/var/lib/cassandra/commitlog'
saved_caches_directory: '/var/lib/cassandra/saved_caches'
hints_directory: 
  - '/var/lib/cassandra/hints'

Poté restartujte službu:

service cassandra restart

Ve výchozím nastavení Cassandra poslouchá na 7000/tcp (mezi uzlem), 9042/tcp (klient).

Úložiště souborů

Soubory nahrané do TheHive (v protokolech úloh nebo v pozorovatelných položkách ) mohou být uloženy v místním systému, v souborovém systému Hadoop (doporučeno) nebo v databázi grafů.

Pro samostatné produkční a testovací servery doporučujeme použít místní souborový systém. Pokud uvažujete o vytvoření clusteru s TheHive, máte několik možných řešení:pomocí služeb Hadoop nebo S3.

Tato možnost je ideální pro samostatné servery . Pokud máte v úmyslu vytvořit cluster pro vaši instanci TheHive 4, doporučujeme:

• používá sdílenou složku NFS, společnou pro všechny uzly
• podívat se na řešení úložiště implementující S3 nebo HDFS.

Chcete-li uložit soubory do místního souborového systému, začněte výběrem vyhrazené složky:

mkdir -p /opt/thp/thehive/files

Tato cesta bude použita při konfiguraci aplikace.

Později, po instalaci TheHive, se ujistěte, že uživatel thehive vlastní cestu zvolenou pro ukládání souborů:

chown -R thehive:thehive /opt/thp/thehive/files

TheHive

Tato část obsahuje pokyny k instalaci The Hive a následné konfiguraci.

TheHive4 nelze nainstalovat na stejný server jako starší verze. Doporučujeme jej nainstalovat na nový server, zvláště pokud se předpokládá migrace

Instalace

Všechny balíčky jsou zveřejněny v našem úložišti balíčků. . Jeho otisk je 0CD5 AC59 DE5C 5A8E 0EE1 3849 3D99 BB18 562C BC1C .

curl https://raw.githubusercontent.com/TheHive-Project/TheHive/master/PGP-PUBLIC-KEY | sudo apt-key add -

Úl také vydává stabilní a beta verzi aplikací.

Stabilní verze

echo 'deb https://deb.thehive-project.org release main' | sudo tee -a /etc/apt/sources.list.d/thehive-project.list
sudo apt-get update
sudo apt-get install thehive4

Beta verze

echo 'deb https://deb.thehive-project.org beta main' | sudo tee -a /etc/apt/sources.list.d/thehive-project.list
sudo apt-get update
sudo apt-get install thehive4

Doporučujeme používat nebo hrát s beta verzí pouze pro účely testování.

Konfigurace

Pro úspěšné spuštění aplikace jsou vyžadovány následující konfigurace:

• Konfigurace tajného klíče
• Konfigurace databáze
• Konfigurace úložiště souborů

Konfigurace tajného klíče

The secret key is automatically generated and stored in /etc/thehive/secret.conf by package installation script.

Databáze

Chcete-li použít databázi Cassandra, konfigurační soubor TheHive (/etc/thehive/application.conf ) je třeba upravit a aktualizovat pomocí následujících řádků:

db {
  provider: janusgraph
  janusgraph {
    storage {
      backend: cql
      hostname: ["127.0.0.1"] # seed node ip addresses
      #username: "<cassandra_username>"       # login to connect to database (if configured in Cassandra)
      #password: "<cassandra_passowrd"
      cql {
        cluster-name: thp       # cluster name
        keyspace: thehive           # name of the keyspace
        local-datacenter: datacenter1   # name of the datacenter where TheHive runs (relevant only on multi datacenter setup)
        # replication-factor: 2 # number of replica
        read-consistency-level: ONE
        write-consistency-level: ONE
      }
    }
  }
}

Systém souborů

1:If you chose to store files on the local filesystem:

Ensure permission of the folder


chown -R thehive:thehive /opt/thp/thehive/files
2: add following lines to TheHive configuration file (https://1118798822.rsc.cdn77.org/etc/thehive/application.conf)


## Storage configuration
storage {
provider = localfs
localfs.location = /opt/thp/thehive/files
}

Spustit

Uložte konfigurační soubor a spusťte službu:

service thehive start

Upozorňujeme, že spuštění služby může chvíli trvat. Po jeho spuštění můžete spustit prohlížeč a připojit se k http://YOUR_SERVER_ADDRESS:9000/ .

Web aplikace