セキュリティツールおよびセキュリティ向けLinuxディストリビューションというとkali linuxなどが有名ですが、今回はSecurity OnionというLinuxディストリビューションを紹介します。

Security Onionとは

Security Onionをとてもざっくり説明すると守りのセキュリティ向けDebianベースのLinuxディストリビューションです。kali linuxはペネトレーションツールなどを多く含んだ攻めのセキュリティ向けLinuxディストリビューションですが、Security Onionはパケットキャプチャや侵入検知・エンドポイント監視などを中心に搭載している特に運用者向きのOSになっています。

ネットワークのトラフィックをこのOSに流すことで、見やすく監視しつつ、やばいトラフィックにアラート鳴らしてくれるとかをやってくれます。筆者はこれを書いている段階で学生なので実務でどの程度まで用いられているかは推測になりますが、ある程度のセキュリティ運用現場においては使われている様子だと思われる一方、一般向けには日本語ドキュメントが少ないため公式ドキュメントをしっかり読み解きましょう。

搭載されているツール

Playbook
FleetDM
osquery
CyberChef
Elasticsearch
Logstash
Kibana
Suricata
Zeek
Wazuh

そしてこれらを利用するためのwebコンソールとして

Security Onion Console

細かい内容に関しては以下の公式ドキュメント内introductionなどを参照すると色々書いてあります

インストール形態

Security Onionにはいくつかの形態が含まれています。

Import
- 簡易的にpcapファイルやlogファイルを解析するだけの形態
Evaluation
- 小規模ネットワーク向けでログとかを少なめに取るようにした評価版らしい
Production
- 中大規模ネットワーク向けでこっちは本番環境向けらしい
  - Standalone
    - 一台で動かすためのもの。一台でなんとかなるスペックで全部ネットワークを収容できるならこっちで十分
  - Distributed Deployment
    - 複数台で構築するためのもので恐らく複数のサブネットを跨いで構築できる。セキュリティポリシーとかの関係でいっぺんに全部のサブネットを一台にさせなかったりしたら多分こっち
Analyst
- GNOMEが搭載されててWiresharkとNetworkMinerが使える。Productionと組み合わせて別で立てることを推奨している様子だが、その他の形態に無理矢理相乗りさせることも可能。

今回はProductionのStandaloneで構築していきます。

なお本記事執筆時点でのバージョンは2.3.260でした

セットアップ

今回は原則公式ドキュメントの手順に則ってインストールを行なっていきます。

環境紹介

今回筆者はESXi上のVMに以下の環境で構築します。

CPU : 4core
RAM : 16GB
Storage : 256GB
NIC : 10個

Requirementsは以下に書いてあります

また、各環境におけるインストール手順が公式ドキュメントにまとまっているので、異なる環境でよくわからない部分はそれらをそれぞれ参照してください。オンプレからクラウドまで一通り揃っています。

余談ですが、ESXiを使うような人間に説明はいらないだろと、なぜかESXiの部分だけ適当です

ネットワーク環境に関してはVLANが9個あるので、マネジメント用のNICを一つ足したVMに仮想NICを10個刺しています。
ベースのOSがCentOS7なのでESXiのVM側にはCentOS7として設定しました。

また、ブラウザから各ツールにアクセスするために、IPは固定します。

isoのダウンロード

こちらにやり方が書いてありますが、isoファイルのダウンロードリンクと署名の検証方法がついています。分野の特性上署名の検証までやれるようになっています。めんどくさいと思う人は自己責任で飛ばしてください。

VMへのインストール

isoからの起動

ESXiでは事前にNICを接続し、isoファイルをドライブにマウントしてあります。この状態でシステムをドライブから立ち上げ以下の順番でこなしていきます。

OSインストールで全部消えるのはもちろんそうなのでyesでenter
adminのユーザー名を入力
adminのパスワードを入力
adminのパスワードを再入力
インストールプロセスが勝手に進んできます。次の画面までそこそこ時間かかります
この画面に到達したらenterでreboot

この段階でVMだとドライブのマウントが外されます。実機やその他の環境でもそのようにしてください。

再起動後ストレージからの起動

インストール完了後

再起動後ログインするとYou may need to run so-allow first if you haven't yetと出ているので

sudo so-allow

と実行しましょう。
色々なツールを立ち上げられますが、aを選択することでwebコンソールに接続できるようになります。

アクセス元のIPを求められるので適切なものを設定してください。(制限が特になければ0.0.0.0/0で大丈夫です)

以上で初期設定は完了です。先ほど設定した固定IPに別の端末からアクセスするとこのように表示されて正常にウェブコンソールが見れることがわかります。

長くなりましたので一旦ここで区切ります。各ツールの使い方・適用方法は続きの記事に書きます。(書けたら)