## OpenCTI
OpenCTI is an open source platform allowing organizations to manage their cyber threat intelligence knowledge and observables. It has been created in order to structure, store, organize and visualize technical and non-technical information about cyber threats.
https://github.com/OpenCTI-Platform/opencti
## CrowdSec
Curated Threat Intelligence Powered by the Crowd
https://www.crowdsec.net/
### Installation de CrowdSec
```bash
curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec
iptables -V
```
Si `(nf_tables)` est indiqué, installez le paquet `crowdsec-firewall-bouncer-nftables` au lieu du packet `crowdsec-firewall-bouncer-iptables`.
```bash
sudo apt install crowdsec-firewall-bouncer-nftables
```
### Réécrire le fichier de credentials de la local API ?
```bash
sudo cscli machines add --auto
```
### Activer la réception des décisions par la console CrowdSec ?
```bash
sudo cscli console status
╭────────────────────┬───────────┬──────────────────────────────────────────────────────╮
│ _Option Name_ │ _Activated_ │ _Description_ │
├────────────────────┼───────────┼──────────────────────────────────────────────────────┤
│ custom │ ✅ │ Forward alerts from custom scenarios to the console │
│ manual │ ✅ │ Forward manual decisions to the console │
│ tainted │ ✅ │ Forward alerts from tainted scenarios to the console │
│ context │ ✅ │ Forward context with alerts to the console │
│ console_management │ ❌ │ Receive decisions from console │
╰────────────────────┴───────────┴──────────────────────────────────────────────────────╯
```
Si vous souhaitez activer la réception des décisions par la console :
```bash
sudo cscli console enable console_management
sudo systemctl reload crowdsec.service
sudo cscli console status
╭────────────────────┬───────────┬──────────────────────────────────────────────────────╮
│ _Option Name_ │ _Activated_ │ _Description_ │
├────────────────────┼───────────┼──────────────────────────────────────────────────────┤
│ custom │ ✅ │ Forward alerts from custom scenarios to the console │
│ manual │ ✅ │ Forward manual decisions to the console │
│ tainted │ ✅ │ Forward alerts from tainted scenarios to the console │
│ context │ ✅ │ Forward context with alerts to the console │
│ console_management │ ✅ │ Receive decisions from console │
╰────────────────────┴───────────┴──────────────────────────────────────────────────────╯
```
### Installation multi-serveurs de CrowdSec
#### 1. Configurer le serveur central
##### 2.1 Installer CrowdSec et exposer l'API
Installer CrowdSec et exposer le port de l'API en veillant à vos règles de pare-feu :
```bash
curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec
sudo $EDITOR /etc/crowdsec/config.yaml
```
```yaml
api:
server:
listen_uri: <IP>:8080
```
#### 2. Installer et configurer CrowdSec sur les hôtes
##### 2.1 Installer CrowdSec, désactiver le serveur API local de chaque hôte et s'enregistrer auprès du serveur central
Installer CrowdSec et désactiver le serveur API local :
```bash
curl -s https://install.crowdsec.net | sudo sh
sudo apt install crowdsec
sudo $EDITOR /etc/crowdsec/config.yaml
```
```yml
api:
server:
enable: false
```
S'enregistrer auprès du serveur central :
```bash
sudo cscli lapi register -u http://<SERVER_IP>:8080
```
##### 2.2. Valider les hôtes et ajouter un bouncer pour chaque hôte sur le serveur central
Valider l'hôte et ajouter un `bouncer` en récupérant sa clé d'API :
```bash
sudo cscli machines list
sudo cscli machines validate <NAME>
sudo cscli bouncers add <NAME>
```
##### 2.3. Configurer le bouncer sur chaque hôte
Installer et configurer le `bouncer` pour `iptables` avec la clé d'API générée sur le serveur central :
```bash
iptables -V
```
Si `(nf_tables)` est indiqué, installez le paquet `crowdsec-firewall-bouncer-nftables` au lieu du packet `crowdsec-firewall-bouncer-iptables`.
```bash
sudo apt install crowdsec-firewall-bouncer-nftables
sudo $EDITOR /etc/crowdsec/bouncers/crowdsec-firewall-bouncer.yaml
```
```yml
api_url: http://<SERVER_IP>:8080
api_key: <BOUNCER_API_KEY>
```
Relancer les services :
```bash
sudo systemctl restart crowdsec
sudo systemctl restart crowdsec-firewall-bouncer
```
### Bloquer manuellement des adresses IP provenant d'un fichier CSV
#### Exemple 1 : bloquer les adresses IP d'un CSV à une seule colonne sans ligne d'en-tête pour 4h
```bash
sudo cscli decisions import -i decisions.csv
sudo cscli decisions list
```
Pour en savoir plus : https://docs.crowdsec.net/docs/cscli/cscli_decisions_import/
#### Exemple 2 : bloquer les adresses IP de DigitalOcean pour 4h
Les adresses IP de DigitalOcean sont récupérables via ce lien : https://docs.digitalocean.com/platform/
1. Créer un script :
```bash
#!/bin/sh
curl -L https://digitalocean.com/geo/google.csv | awk -F, '{ print $1 }' | sudo cscli decisions import -i - --format values
```
2. Rendre exécutable et exécuter le script. Vous devriez avoir une sortie vous indiquant l'import des décisions dans CrowdSec :
```
INFO Parsing values
INFO You are about to add 1141 decisions, this may take a while
INFO Imported 1141 decisions
```
3. Vérifier le bon import des décisions dans CrowdSec :
```bash
sudo cscli decisions list
```
### Ressources officielles
https://docs.crowdsec.net/u/getting_started/installation/linux
https://www.crowdsec.net/blog/multi-server-setup