Создание SIEM-системы в Termux: Elasticsearch, Logstash, Kibana

В современном мире мобильных устройств безопасность играет ключевую роль. Termux, как мощная платформа для Linux на Android, предоставляет возможности для создания сложных систем, включая системы мониторинга и реагирования на инциденты (SIEM). В этой статье мы рассмотрим, как настроить базовую SIEM-систему в Termux на базе Elasticsearch, Logstash и Kibana (ELK Stack). Данное руководство предназначено для образовательных целей и для анализа логов на вашем устройстве. Использование VPN описывается исключительно в контексте создания локальной сети для тестирования и не подразумевает обход каких-либо блокировок.

Необходимые компоненты

Termux: Установленное приложение Termux на вашем Android-устройстве.
Java: Elasticsearch требует установленную Java.
Elasticsearch: Поисковый движок и база данных для хранения логов.
Logstash: Инструмент для сбора, обработки и пересылки логов.
Kibana: Интерфейс для визуализации и анализа данных из Elasticsearch.

Установка Java

В Termux выполните следующие команды:

pkg update && pkg upgrade

pkg install openjdk

Проверьте установку:

java -version

Установка Elasticsearch

1. Скачайте последнюю версию Elasticsearch с официального сайта (убедитесь, что версия совместима с вашим устройством и архитектурой). Для примера, предположим, вы скачали файл elasticsearch-8.12.0-linux-arm64.tar.gz.

2. Переместите скачанный файл в Termux. Используйте утилиты передачи файлов, такие как scp (если настроен SSH-доступ к устройству) или просто перенесите файл через файловый менеджер на Android.

3. Распакуйте архив:

tar -xzf elasticsearch-8.12.0-linux-arm64.tar.gz

4. Перейдите в каталог Elasticsearch:

cd elasticsearch-8.12.0

5. Настройте Elasticsearch. Создайте файл jvm.options и elasticsearch.yml в каталоге config. Отредактируйте эти файлы, указав соответствующие настройки (например, память, сетевые параметры). Минимальные настройки:

elasticsearch.yml:

cluster.name: my-cluster
network.host: 0.0.0.0
http.port: 9200
discovery.seed_hosts: ["127.0.0.1"]
cluster.initial_master_nodes: ["node-1"]

6. Запустите Elasticsearch:

./bin/elasticsearch

Проверьте, что Elasticsearch запущен, перейдя в браузере по адресу http://localhost:9200 (или http://127.0.0.1:9200). Вы должны увидеть информацию о вашем кластере.

Установка Logstash

1. Скачайте Logstash с официального сайта (убедитесь в совместимости версии с Elasticsearch).

2. Распакуйте архив в Termux.

3. Создайте файл конфигурации для Logstash (например, logstash.conf) в каталоге Logstash. Пример конфигурации:

input {
  file {
    path => "/data/logstash/input/*.log"
    start_position => "beginning"
  }
}

filter {
  grok {
    match => { "message" => "%{COMBINEDAPACHELOG}" }
  }
}

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "my-index"
  }
}

4. Запустите Logstash:

./bin/logstash -f logstash.conf

Установка Kibana

1. Скачайте Kibana с официального сайта (убедитесь в совместимости версии с Elasticsearch).

2. Распакуйте архив в Termux.

3. Отредактируйте файл kibana.yml в каталоге config. Укажите адрес Elasticsearch:

elasticsearch.hosts: ["http://localhost:9200"]
server.port: 5601
server.host: "0.0.0.0"

4. Запустите Kibana:

./bin/kibana

5. Откройте Kibana в браузере по адресу http://localhost:5601. Создайте индексный шаблон, соответствующий индексу, который вы указали в конфигурации Logstash.

Создание локальной сети (опционально)

Для доступа к Kibana с других устройств в локальной сети (например, с компьютера), можно использовать VPN для создания защищенного соединения. Это позволит анализировать логи с более удобного интерфейса. Настройте VPN-сервер в Termux (например, используя openvpn или wireguard) и подключитесь к нему с других устройств.

Заключение

В этой статье мы рассмотрели базовую настройку SIEM-системы в Termux. Данная система может быть расширена и настроена для различных целей, таких как мониторинг системных событий, анализ сетевого трафика и обнаружение аномалий. Важно помнить о необходимости регулярного обновления компонентов и анализа логов для обеспечения безопасности вашего устройства.

Если вам требуется более глубокая настройка SIEM-систем, аудит безопасности или профессиональная помощь в обеспечении информационной безопасности, обращайтесь в РыбинскЛАБ. Мы предлагаем широкий спектр услуг в области кибербезопасности, включая разработку и внедрение SIEM-систем, анализ уязвимостей и тестирование на проникновение.