Установка CNSL (Correlated Network Security Layer) на Almalinux 8

[baltun]

Большинство инструментов следят за одним журналом и подсчитывают неудачные попытки. CNSL наблюдает за всем сразу.

Когда злоумышленник сканирует ваш веб-сервер, проверяет вашу базу данных, а затем пытается войти по SSH с украденными учётными данными — CNSL видит все три события как одну скоординированную атаку и реагирует до того, как вторжение завершится.

Web scan from 45.33.32.1 --+
SSH brute from 45.33.32.1 --+---> HIGH alert + auto-block
DB auth fail from 45.33.32.1 --+

Он также отслеживает, насколько далеко каждый атакующий продвинулся по цепочке атаки (kill chain), автоматически изучает новые паттерны атак и обменивается данными об угрозах между несколькими серверами в режиме реального времени.

Помимо базового обнаружения: федерация нескольких узлов с единым обзором в хабе, экспорт STIX 2.1 и встроенный сервер TAXII 2.1 для обмена индикаторами компрометации (IOC), интеграция с Wazuh/OSSEC, поддержка PostgreSQL с инструментом миграции, Helm-чарт для Kubernetes, фингерпринтинг атакующих (распознаёт одного и того же актора, меняющего IP-адреса), корреляция кампаний на основе графов, а также опциональная предиктивная блокировка, которая реагирует на траекторию атаки ещё до того, как сработает порог какого-либо отдельного правила.

Проверяем версию python и устанавливаем новую, если требуется и у нас старая:

python3 --version
sudo dnf install python3.11 python3.11-pip -y

Процесс установки:

cd /opt
git clone https://github.com/rahadbhuiya/cnsl.git
cd /opt/cnsl
python3 -m venv venv && source venv/bin/activate
pip install -e ".[full]"

Создание необходимых папок для работы:

sudo mkdir -p /var/lib/cnsl
sudo chown root:root /var/lib/cnsl
sudo chmod 755 /var/lib/cnsl

sudo mkdir -p /var/log/cnsl
sudo chmod 755 /var/log/cnsl

Создание службы для запуска CNSL:

sudo nano /etc/systemd/system/cnsl.service

Содержимое такое:

[Unit]
Description=CNSL -- Correlated Network Security Layer
After=network.target

[Service]
Type=simple
User=root
WorkingDirectory=/opt/cnsl
ExecStart=/opt/cnsl/venv/bin/python -m cnsl --dashboard --no-tcpdump
Restart=always
RestartSec=5
StandardOutput=append:/var/log/cnsl/service.log
StandardError=append:/var/log/cnsl/service.log

[Install]
WantedBy=multi-user.target

Конфигурирование CNSL и ручной запуск для проверки:

sudo /opt/cnsl/venv/bin/python -m cnsl --init
sudo /opt/cnsl/venv/bin/python -m cnsl --dashboard --no-tcpdump

Команды для работы:

sudo systemctl enable --now cnsl
sudo systemctl restart cnsl
sudo systemctl status cnsl
sudo systemctl start cnsl
sudo systemctl stop cnsl

Мониторинг и подключение:

ss -tlnp | grep 8765
ssh -L 8765:127.0.0.1:8765 user@yourserver

Логин и пароль по умолчанию:

Имя пользователя: admin
Пароль: cnsl-change-me