Cách cài đặt Cortex Observable Analysis Tool trên Ubuntu 22.04

[theanh]

Cortex là một công cụ phân tích quan sát miễn phí và mã nguồn mở do TheHive Project tạo ra. Các chuyên gia bảo mật và nhà phân tích SOC sử dụng công cụ này để phân tích các sự kiện đã thu thập bằng cách truy vấn một công cụ duy nhất. Công cụ này cung cấp giao diện dựa trên web cho phép bạn phân tích địa chỉ IP và email, URL, tên miền, tệp và hàm băm. Cortex có hơn một trăm trình phân tích cho các dịch vụ phổ biến như VirusTotal, Joe Sandbox, DomainTools, PassiveTotal, Google Safe Browsing, Shodan và Onyphe.

Hướng dẫn này sẽ chỉ cho bạn cách cài đặt Cortex engine trên Ubuntu 22.04.

Điều kiện tiên quyết​

• Máy chủ chạy Ubuntu 22.04 với tối thiểu 16GB RAM.
• Mật khẩu gốc được cấu hình trên máy chủ.

Cập nhật Hệ thống​

Trước tiên, bạn nên cập nhật và nâng cấp tất cả các gói hệ thống lên phiên bản cập nhật. Bạn có thể cập nhật tất cả các gói bằng cách chạy lệnh sau.

apt update -y
apt upgrade -y

Sau khi tất cả các gói được cập nhật, bạn có thể tiến hành bước tiếp theo.

Cài đặt Java​

Trước khi bắt đầu, bạn phải cài đặt Java JDK trên máy chủ của mình. Nếu chưa cài đặt, bạn có thể cài đặt bằng lệnh sau.

apt install openjdk-11-jre-headless -y

Sau khi cài đặt thành công, bạn có thể xác minh cài đặt Java bằng lệnh sau.

java --version

Bạn sẽ nhận được thông báo sau đầu ra.

openjdk 11.0.17 2022-10-18
OpenJDK Runtime Environment (build 11.0.17+8-post-Ubuntu-1ubuntu222.04)
OpenJDK 64-Bit Server VM (build 11.0.17+8-post-Ubuntu-1ubuntu222.04, mixed mode, sharing)

Tiếp theo, đặt biến môi trường Java bằng lệnh sau.

echo JAVA_HOME="/usr/lib/jvm/java-11-openjdk-amd64" | tee -a /etc/environment

Tiếp theo, kích hoạt biến môi trường bằng lệnh sau lệnh.

source /etc/environment

Sau khi hoàn tất, bạn có thể tiến hành cài đặt và cấu hình ElasticSearch.

Cài đặt và cấu hình ElasticSearch​

Cortex cũng yêu cầu ElasticSearch phải được cài đặt trên máy chủ của bạn. Trước tiên, hãy cài đặt tất cả các phụ thuộc cần thiết bằng lệnh sau.

apt install wget gnupg2 apt-transport-https git ca-certificates curl jq software-properties-common lsb-release python3-pip iproute2 -y

Tiếp theo, thêm khóa GPG ElasticSearch bằng lệnh sau.

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | gpg --dearmor > /etc/apt/trusted.gpg.d/elasticsearch-keyring.gpg

Sau đó, thêm kho lưu trữ ElasticSearch vào APT bằng lệnh sau lệnh.

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | tee /etc/apt/sources.list.d/elastic-7.x.list

Tiếp theo, hãy cập nhật kho lưu trữ và cài đặt ElasticSearch bằng lệnh sau.

apt update -y
apt install elasticsearch -y

Sau khi cài đặt, hãy chỉnh sửa tệp cấu hình ElasticSearch và xác định cụm của bạn tên.

nano /etc/elasticsearch/elasticsearch.yml

Thay đổi dòng sau:

cluster.name: my-application

Lưu và đóng tệp sau đó tạo jvm.options tệp.

nano /etc/elasticsearch/jvm.options.d/jvm.options

Thêm các dòng sau:

-Xms1g
-Xmx1g
-Dlog4j2.formatMsgNoLookups=true

Lưu và đóng tệp khi bạn hoàn tất. Sau đó, khởi động lại dịch vụ ElasticSearch để áp dụng các thay đổi.

systemctl restart elasticsearch

Bạn có thể kiểm tra trạng thái của ElasticSearch bằng lệnh sau.

systemctl status elasticsearch

Bạn sẽ nhận được thông báo sau đầu ra.

? elasticsearch.service - Elasticsearch Loaded: loaded (/lib/systemd/system/elasticsearch.service; disabled; vendor preset: enabled) Active: active (running) since Mon 2023-02-06 15:35:54 UTC; 2s ago Docs: https://www.elastic.co Main PID: 10788 (java) Tasks: 80 (limit: 38396) Memory: 1.3G CPU: 1min 46.185s CGroup: /system.slice/elasticsearch.service ??10788 /usr/share/elasticsearch/jdk/bin/java -Xshare:auto -Des.networkaddress.cache.ttl=60 -Des.networkaddress.cache.negative.t> ??10999 /usr/share/elasticsearch/modules/x-pack-ml/platform/linux-x86_64/bin/controller
Feb 06 15:35:21 ubuntu2204 systemd[1]: Starting Elasticsearch...
Feb 06 15:35:54 ubuntu2204 systemd[1]: Started Elasticsearch.

Sau khi hoàn tất, bạn có thể tiến hành cài đặt Cortex.

Cài đặt Cortex Ubuntu 22.04​

Theo mặc định, gói Cortex không có sẵn trong kho lưu trữ mặc định của Ubuntu. Vì vậy, bạn sẽ cần thêm kho lưu trữ chính thức của Cortex vào APT.

Đầu tiên, hãy tải xuống và nhập Cortex và khóa GPG thehive bằng lệnh sau.

wget -qO- "https://raw.githubusercontent.com/TheHive-Project/Cortex/master/PGP-PUBLIC-KEY" | gpg --dearmor -o /etc/apt/trusted.gpg.d/cortex.gpg
wget -qO- https://raw.githubusercontent.com/TheHive-Project/Cortex/master/PGP-PUBLIC-KEY | gpg --dearmor -o /etc/apt/trusted.gpg.d/thehive.gpg

Tiếp theo, hãy thêm kho lưu trữ Cortex vào APT bằng lệnh sau.

echo 'deb https://deb.thehive-project.org release main' | tee -a /etc/apt/sources.list.d/thehive-project.list

Tiếp theo, hãy cập nhật kho lưu trữ và cài đặt Cortex bằng lệnh sau lệnh.

apt update -y
apt install cortex -y

Sau khi gói Cortex được cài đặt, bạn có thể tiến hành cấu hình Cortex.

Cấu hình Cortex​

Tiếp theo, bạn sẽ cần tạo một bí mật và định nghĩa nó trong tệp cấu hình Cortex của mình. Trước tiên, hãy tạo một bí mật bằng lệnh sau.

cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 64 | head -n 1

Bạn sẽ thấy thông báo sau đầu ra.

LkSc1rXTf4mx8TWEdmQJytdrJYunwiLwHSaDS7gUR6g4P8B07JKuLWgMNIxI9bcm

Tiếp theo, chỉnh sửa tệp cấu hình Cortex và xác định bí mật của bạn..

nano /etc/cortex/application.conf

Xác định bí mật của bạn như được hiển thị bên dưới:

play.http.secret.key="LkSc1rXTf4mx8TWEdmQJytdrJYunwiLwHSaDS7gUR6g4P8B07JKuLWgMNIxI9bcm"

Lưu và đóng tệp khi bạn hoàn tất. Sau đó, hãy khởi động và kích hoạt dịch vụ Cortex bằng lệnh sau.

systemctl enable --now cortex

Bạn có thể kiểm tra trạng thái của Cortex bằng lệnh sau.

systemctl status cortex

Bạn sẽ nhận được thông báo sau đầu ra.

? cortex.service - cortex Loaded: loaded (/etc/systemd/system/cortex.service; enabled; vendor preset: enabled) Active: active (running) since Mon 2023-02-06 15:40:21 UTC; 12s ago Docs: https://thehive-project.org Main PID: 12544 (java) Tasks: 49 (limit: 38396) Memory: 491.9M CPU: 32.669s CGroup: /system.slice/cortex.service ??12544 java -Duser.dir=/opt/cortex -Dconfig.file=/etc/cortex/application.conf -Dlogger.file=/etc/cortex/logback.xml -Dpidfile.p> ??13051 /usr/bin/python3 /usr/bin/pip show cortexutils
Feb 06 15:40:21 ubuntu2204 systemd[1]: Started cortex.

Tại thời điểm này, Cortex được khởi động và lắng nghe trên cổng 9001. Bạn có thể kiểm tra nó bằng lệnh sau.

ss -antpl | grep 9001

Bạn sẽ thấy cổng lắng nghe Cortex trong đầu ra.

LISTEN 0 100 *:9001 *:* users:(("java",pid=12544,fd=293))

Sau khi hoàn tất, bạn có thể tiến hành bước tiếp theo.

Truy cập Cortex Web UI​

Cortex hiện đã được cài đặt và định cấu hình. Tiếp theo, hãy mở trình duyệt web và truy cập giao diện web Cortex bằng URL

Đang tải…

your-server-ip

Bạn sẽ thấy cơ sở dữ liệu được cập nhật trên màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22259%22%3E%3C/svg%3E


Nhấp vào nút Cập nhật cơ sở dữ liệu để cập nhật cơ sở dữ liệu. Bạn sẽ thấy màn hình tạo tài khoản.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22303%22%3E%3C/svg%3E


Xác định tên đăng nhập, tên, mật khẩu và nhấp vào nút Tạo. Bạn sẽ được chuyển hướng đến trang đăng nhập Cortex:


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22362%22%3E%3C/svg%3E


Cung cấp tên người dùng, mật khẩu và nhấp vào nút Đăng nhập. Bạn sẽ thấy bảng điều khiển Cortex trên màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22366%22%3E%3C/svg%3E


Tiếp theo, bạn sẽ cần thêm Tổ chức của mình vào Cortex. Nhấp vào nút Thêm tổ chức. Bạn sẽ thấy màn hình tạo tổ chức.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22339%22%3E%3C/svg%3E


Xác định tên tổ chức của bạn và nhấp vào nút Lưu. Bạn sẽ thấy tổ chức mới tạo của mình trên màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22367%22%3E%3C/svg%3E


Nhấp vàotổ chức mới tạo của bạn. Bạn sẽ thấy màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22337%22%3E%3C/svg%3E


Nhấp vào nút Thêm người dùng. Bạn sẽ thấy màn hình tạo người dùng.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22252%22%3E%3C/svg%3E


Xác định tên người dùng, vai trò của bạn và nhấp vào nút Lưu người dùng để tạo người dùng. Bạn sẽ thấy màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22356%22%3E%3C/svg%3E

Kết luận​

Xin chúc mừng! Bạn đã cài đặt và cấu hình thành công Cortex engine trên máy chủ Ubuntu 22.04. Bây giờ bạn có thể sử dụng Cortex làm công cụ phân tích quan sát và phản hồi tích cực của tổ chức mình. Hãy thoải mái hỏi tôi nếu bạn có bất kỳ câu hỏi nào.