TheHive - 开源安全事件响应平台（SIEM or CIRP）

admin

107281
文章

89
评论

2024年5月25日00:16:10评论10 views字数 2879阅读9分35秒阅读模式

TheHive 是什么

TheHive 是一个可扩展的、开源安全事件响应平台，旨在简化安全运营中心 (SOC)、计算机安全事件响应团队 (CSIRT)、计算机应急响应团队 (CERT) 以及几乎所有需要快速调查和处理安全事件的从业者工作。

它可以和 MISP（恶意软件信息共享平台）做很好的集成。当咱们用 TheHive 时，可以将 TheHive 与多个 MISP 实例同步，从 MISP 事件中开始启动对一次安全事件的调查；我们还可以将调查结果导出为 MISP 事件，供团队参考。此外，TheHive 还能与 Cortex 一起使用，可以自动化和简化安全事件的分析过程。

TheHive 的关键特点

事件管理：TheHive 允许安全团队记录、跟踪和管理所有的安全事件，并提供了一个集中化的 UI，可以用它方便地查看和更新事件的状态；
协作：团队成员可以在平台上协作处理事件，共享信息和调查结果，从而提高整体响应效率；
调查功能：TheHive 支持详细的调查记录，允许用户添加证据、注释和任务，这类特性可以帮助安全团队系统化地处理每一个事件；
自动化：TheHive 可以与多种工具集成，如 Cortex 之类，实现事件处理的自动化。例如，可以自动执行威胁情报查询、漏洞扫描等任务；
可定制性：根据自己的需求自定义 TheHive 的功能，包括事件类型、工作流程和报告模板；
多平台支持：TheHive 可以部署在多种操作系统上，如 Linux 和 Windows，适应不同的 IT 环境。

TheHive4 部署 & 试用

以为 TheHive 4.1.24 + Cortex 为例，给出一个好用的yml吧：

version: '3.8'services:  elasticsearch:    image: 'elasticsearch:7.11.1'    container_name: elasticsearch    restart: unless-stopped    ports:      - '0.0.0.0:9200:9200'    environment:      - http.host=0.0.0.0      - discovery.type=single-node      - cluster.name=hive      - script.allowed_types=inline      - thread_pool.search.queue_size=100000      - thread_pool.write.queue_size=10000      - gateway.recover_after_nodes=1      - xpack.security.enabled=false      - bootstrap.memory_lock=true      - ES_JAVA_OPTS=-Xms256m -Xmx256m    ulimits:      nofile:        soft: 65536        hard: 65536    volumes:      - './vol/elasticsearch/data:/usr/share/elasticsearch/data'      - './vol/elasticsearch/logs:/usr/share/elasticsearch/logs'  cortex:    image: 'thehiveproject/cortex:latest'    container_name: cortex    restart: unless-stopped    command:      --job-directory /opt/cortex/jobs    environment:      - 'JOB_DIRECTORY=/opt/cortex/jobs'    volumes:      - './vol/cortex/application.conf:/etc/cortex/application.conf'      - '/opt/cortex/jobs:/opt/cortex/jobs'      - '/var/run/docker.sock:/var/run/docker.sock'    depends_on:      - elasticsearch    ports:      - '0.0.0.0:9001:9001'  thehive:    image: 'thehiveproject/thehive4:latest'    container_name: thehive4    restart: unless-stopped    ports:      - '0.0.0.0:9000:9000'    volumes:      - './vol/thehive/application.conf:/etc/thehive/application.conf'      - './vol/thehive/db:/opt/thp/thehive/db'      - './vol/thehive/index:/opt/thp/thehive/index'      - './vol/thehive/data:/opt/thp/thehive/data'    command: '--no-config --no-config-secret'

直接 up -d 启动，这时候我们需要先去配置数据库，到这里：

http://ip:9001

进去设好用户名密码就可以了，这个数据库是给 Cortex 用的：