Руководство пользователя

Программный продукт «Нокстюрн».

1.Назначение программы

Руководство оператора предназначено для специалистов отделов информационной безопасности и информационных технологий, использующих программный продукт «Нокстюрн» в своей работе. Руководство содержит сведения для обеспечения процедуры общения оператора с вычислительной системой в процессе выполнения программы.

2.Условия выполнения программы

Для работы оператору необходим персональный компьютер с доступом к сети Интернет и установленным современным веб-браузером.

3.Установка

3.1Подготовка окружения

Для внедрения необходимо подготовить экземпляр операционной системы Linux Debian 12 (или новее) либо операционной системы, основанной на Linux Debian 12 (или новее), например Ubuntu 22.04 LTS или Astra Linux Special Edition. Для работы программного продукта требуется 64-битная версия операционной системы.

Для развёртывания программного обеспечения заказчику передаётся архив, содержащий файлы main.sh и onprem.env, а также первичный пароль от стандартной учётной записи пользователя.

3.2Настройка домена

Настройка домена является опциональной. Чтобы настроить домен, укажите его в качестве значения переменной NOXTURN_ADDR_OR_DOMAIN в файле onprem.env.

В этой же переменной может быть указан IP-адрес, чтобы ограничить доступ к программному продукту, например 127.0.0.1.

3.3Настройка SSL-сертификата

Настройка SSL-сертификата является опциональной. Чтобы использовать SSL-сертификат, укажите пути к файлам сертификата в переменных файла onprem.env:

NOXTURN_WEB_CERT_FILE

цепь доверия в формате .pem

NOXTURN_WEB_KEY_FILE

приватный ключ в формате .pem

3.4Настройка уведомлений

Для работы уведомлений требуется подключить почтовый ящик. Почтовый ящик подключается через переменные файла onprem.env:

NOXTURN_SMTP_HOST

адрес почтового сервера

NOXTURN_SMTP_PORT

сетевой порт почтового сервера

NOXTURN_SMTP_USERNAME

адрес почтового ящика отправителя

NOXTURN_SMTP_PASSWORD

пароль от почтового ящика отправителя

3.5Настройка интеграции с Nessus

Чтобы увеличить покрытие уязвимостей, можно настроить интеграцию со сканером уязвимостей Nessus. Интеграция настраивается через переменные файла onprem.env:

NOXTURN_NESSUS_HOST

адрес сервера

NOXTURN_NESSUS_PORT

сетевой порт веб-интерфейса

NOXTURN_NESSUS_USERNAME

имя пользователя

NOXTURN_NESSUS_PASSWORD

пароль

3.6Установка и обновление

Чтобы установить программный продукт, выполните команду:

Чтобы обновить программный продукт, выполните команду:

4.Выполнение программы. Базовые сценарии

4.1Настройка мониторинга компании

4.1.1 Добавление активов

Добавить активы можно через разделы «Активы» и далее «Доменные имена».

При нажатии на плюс откроется страница добавления активов.

На данном этапе достаточно добавить основные домены компании, то есть домены второго уровня. Для их добавления нажмите кнопку «Добавить в подтвержденные».

Добавление IP-адресов может увеличить эффективность сканирования. Для этого перейдите в «Активы» и далее «IP-адреса».

4.1.2 Запуск модуля «Разведка»

После добавления начальных активов компании необходимо запустить разведку. Разведка поможет найти теневые активы, сетевые службы и веб-приложения.

Для создания плановой задачи разведки зайдите в раздел «Планировщик» и нажмите кнопку «Добавить» на карточке задачи «Найти активы».

Откроется интерфейс создания задачи.

В этом разделе можно оставить все значения по умолчанию. Ниже приведены пояснения к полям:

• Название задачи. Используется для удобства работы с задачей.
• Наличие расписания.
• Домены в области работ.
• IP-адреса в области работ.
• Признак того, будут ли сканироваться порты на хостах, найденных в рамках разведки.
• Диапазон сканируемых TCP-портов.
• Диапазон сканируемых UDP-портов. Значительно влияет на скорость сканирования.

По умолчанию выбран запуск разведки ежедневно. Периодичность запуска можно изменить на вкладке «Расписание».

После внесения настроек нажмите кнопку «Сохранить».

Для перехода к следующему этапу настройки нужно, чтобы разведка была проведена хотя бы один раз. Отложенную задачу разведки можно запустить через раздел «Все задачи»: нажмите кнопку «Запустить» справа от задачи.

4.1.3 Управление активами

После завершения разведки будет собрана информация о хостах. Для поиска уязвимостей хосты и веб-приложения должны быть лицензированы.

Чтобы лицензировать хосты и веб-приложения на них, перейдите в раздел «Активы» и далее «IP-адреса». В этом разделе доступны действия «Подтвердить» и «Лицензировать хосты». При лицензировании хоста появится всплывающее окно, позволяющее лицензировать веб-приложения на этом хосте.

4.1.4 Запуск модуля «Поиск уязвимостей»

После лицензирования всех необходимых активов можно приступить к созданию задачи сканирования уязвимостей. Зайдите в раздел «Планировщик» и нажмите кнопку «Добавить» в задаче «Найти уязвимости».

На странице создания задачи выберите «Все лицензируемые хосты» в качестве области работ. Тогда область работ будет автоматически обновляться при включении хоста в список лицензируемых.

Для поиска уязвимостей рекомендуется настроить ежедневный запуск сканирования.

4.1.5 Мониторинг

После настройки оператору будут приходить уведомления об изменениях на внешнем сетевом периметре компании. Обнаруженные инструментом активы рекомендуется оперативно подтверждать или исключать в зависимости от того, принадлежат ли они компании.

4.2Управление уязвимостями

Для отслеживания актуальных уязвимостей перейдите в раздел «Уязвимости».

В этом разделе доступен ряд операций. Уязвимости можно фильтровать по уровню риска с помощью статистики в верхней части экрана. Расширенные фильтры включаются кнопкой фильтрации.

Напротив каждой уязвимости отображается статус:

ложное срабатывание

ставится вручную, если уязвимость является ложным срабатыванием

неактивно

ставится автоматически, если при повторном сканировании сервис или уязвимость на нем не были обнаружены

активно

ставится автоматически и обозначает действующую уязвимость

в работе

ставится вручную для обозначения работы над исправлением уязвимости

исправлено

ставится вручную и обозначает исправление уязвимости

Кнопки управления статусами находятся в правой части экрана. Чтобы пометить уязвимость как исправленную, сначала возьмите ее в работу кнопкой «В работу», затем нажмите «Исправлено». После нажатия на троеточие откроется контекстное меню, в котором уязвимость можно пометить как ложное срабатывание.

Уязвимости со статусами «Неактивно», «Ложное срабатывание» и «Исправлено» не отражаются в общей статистике действующих уязвимостей.

4.3Использование модуля «Фишинг»

4.3.1 Создание фишинговой кампании

Для начала работы с модулем «Фишинг» перейдите в раздел «Фишинг» и добавьте задачу «Фишинговая кампания».

4.3.2 Копирование фишингового сайта

Программа позволяет выбрать название компании и фишингового сайта из набора заранее подготовленных шаблонов. Другой вариант: скопировать веб-сайт и автоматизированно преобразовать его в фишинговый.

При размещении копии сайта на стороннем хостинге веб-приложение будет записывать пользовательский ввод.

Для копирования сайта переключите опцию «Способ получения веб-сайта» в значение «Скопировать веб-сайт» и укажите адрес легитимного веб-приложения.

После завершения копирования файлы станут доступны для скачивания через страницу задачи фишинговой кампании.

4.3.3 Загрузка сайта на хостинг

После скачивания разместите фишинговый сайт на хостинге. Требуется хостинг с веб-сервером Apache.

Также потребуется зарегистрировать домен. Рекомендуется выбирать домен с визуально похожим названием.

После размещения проверьте, что сайт открывается и успешно записывает данные.

4.3.4 Подготовка и запуск рассылки

Перед началом рассылки создайте почтовый ящик, с которого будут отправляться письма.

Для запуска рассылки перейдите на страницу ранее созданной задачи фишинговой кампании и укажите данные для рассылки:

• расписание: позволяет настроить регулярную рассылку фишинговых писем;
• базовая фишинговая ссылка: адрес фишинговой страницы, повторяет изначальную ссылку, но с новым доменом в начале;
• данные для подключения к серверу по SMTP;
• учетные данные для отправки электронной почты;
• тема письма;
• адрес отправителя, на который будет подменен адрес отправителя;
• выбор получателей: можно ввести список адресов электронной почты;
• выбор шаблона письма.

После заполнения всех полей рассылку можно запустить или сохранить.