Создание мобильного SOC: сбор журналов с Syslog‑NG, их агрегация в Graylog и автоматическое реагирование через Wazuh в Termux

В современном мире мобильные устройства становятся все более важной частью нашей жизни, храня конфиденциальную информацию и участвуя в критически важных процессах. Обеспечение безопасности этих устройств приобретает первостепенное значение. В этой статье мы рассмотрим, как создать базовую систему обнаружения и реагирования на инциденты (SOC) прямо на вашем Android-устройстве, используя Termux – эмулятор терминала, позволяющий запускать Linux-окружение. Мы будем использовать Syslog‑NG для сбора журналов, Graylog для их агрегации и Wazuh для автоматического реагирования на инциденты.

Необходимые инструменты

Android-устройство с установленным Termux.
Termux API (для доступа к хранилищу и другим функциям устройства).
Syslog‑NG
Graylog
Wazuh

Установка и настройка Termux

Установите Termux из F-Droid (https://f-droid.org/en/packages/com.termux/) или Google Play Store. После установки предоставьте необходимые разрешения, включая доступ к хранилищу (через Termux API). Обновите пакеты:

pkg update && pkg upgrade

Установка Syslog‑NG

Syslog‑NG будет использоваться для сбора журналов с устройства и отправки их на Graylog. Установите Syslog‑NG:

pkg install syslog-ng

Настройте Syslog‑NG для отправки журналов на Graylog. Создайте файл конфигурации /data/data/com.termux/files/home/.syslog-ng/syslog-ng.conf (если директории не существует, создайте ее командой mkdir -p /data/data/com.termux/files/home/.syslog-ng) со следующим содержимым (замените <graylog_ip> на IP-адрес вашего Graylog-сервера и <graylog_port> на порт приема журналов Graylog – обычно 514 или UDP 514):

source s_src {
  system();
  internal();
};

destination d_graylog {
  udp("<graylog_ip>" port <graylog_port>);
};

log {
  source(s_src);
  destination(d_graylog);
};

Запустите Syslog‑NG:

syslog-ng -d -f /data/data/com.termux/files/home/.syslog-ng/syslog-ng.conf

Установка и настройка Graylog

Graylog будет использоваться для агрегации и анализа журналов. Установите Graylog на отдельный сервер (это выходит за рамки данной статьи, но существуют инструкции в интернете). Настройте вход для UDP Syslog (обычно порт 514).

Установка и настройка Wazuh

Wazuh будет использоваться для автоматического реагирования на инциденты. Установите Wazuh на тот же сервер, где установлен Graylog (опять же, подробные инструкции доступны онлайн). Настройте Wazuh для получения журналов из Graylog (через Graylog output plugin).

В Termux установите Wazuh agent:

pkg install curl
curl -s https://packages.wazuh.com/install.sh | bash

Настройте агент Wazuh для отправки журналов на ваш Wazuh-сервер. Отредактируйте файл /var/ossec/etc/ossec.conf (может потребоваться su для получения прав доступа) и укажите IP-адрес и порт вашего Wazuh-сервера в секции <client>.

Автоматическое реагирование

Настройте правила в Wazuh для автоматического реагирования на определенные события (например, блокировка IP-адреса при обнаружении подозрительной активности). Используйте Graylog для визуализации журналов и создания дашбордов для мониторинга безопасности.

Заключение

В этой статье мы рассмотрели базовый способ создания мобильного SOC с использованием Termux, Syslog‑NG, Graylog и Wazuh. Это позволяет значительно повысить безопасность вашего Android-устройства и оперативно реагировать на потенциальные угрозы. Помните, что это лишь отправная точка, и для обеспечения максимальной безопасности необходимо постоянно совершенствовать систему и адаптировать ее к меняющимся условиям.

РыбинскЛАБ предоставляет услуги по информационной безопасности, включая настройку и поддержку систем SOC, проведение аудитов безопасности и реагирование на инциденты. Обратитесь к нам для получения консультации и разработки индивидуального решения для защиты ваших данных и инфраструктуры. Вы можете узнать больше о наших услугах на сайте https://rybinsklab.ru.