Creando un honeypot potente en Windows Server con Wazuh

Hola a todos. 

El otro dia, se me ocurrió crear un honeypot para Windows Server con Wazuh.

La idea es crear una carpeta jugosa, de tal manera que si un usuario malevolo entra por SMB a ella nos demos cuenta enseguida y nos lo muestre nuestro Wazuh.

Al fin y a cabo, una de las primeras cosas que se hacen cuando entran a nuestra intranet corporativa es ver que recursos compartidos tenemos disponibles y que hay dentro de ellos.

Por cierto, se presupone que tenemos una instalación de Wazuh:

https://documentation.wazuh.com/current/quickstart.html

Y un equipo Windows Server 20222 unido a el:

https://documentation.wazuh.com/current/installation-guide/index.html#installing-the-wazuh-agent

Me puse manos a la obra, creé un usuario jugoso "Admin1" con una contraseña de esas que están en listas como rockyou y demas.. facilonas de averiguar..

Además, por seguridad, he puesto la cosa para que no pueda iniciar sesión en ningun lado y que el usuario esté muy limitadido..

Creé una carpeta compartida con un nombre interesante para cualquier atacante solo con acceso a este usuario:

Lo siguiente que hice, fue crear una GPO para poder auditar la carpeta, y activar la auditoría en la carpeta jugosa. No voy a explicar paso como se hace.. hay mil tutoriales en Internet de como hacerlo, aquí teneis uno:

https://www.manageengine.com/latam/active-directory-audit/how-to/auditar-los-cambios-de-acceso-a-las-carpetas-compartidas.html

Y me puse a seguir un tutorial que hay en el blog de Wazuh, donde explican como monitorizar el acceso a carpetas en Windows..

https://wazuh.com/blog/how-to-monitor-folder-access-on-windows/

Pero !NO!
!No funciona!

He echo lo imposible para que Wazuh pille el evento en cuestión y me lo muestre pero no habia manera..

He visto que hay más gente que lo ha intentado y tampoco ha podido, si alguien puede, se agradece que me lo comente..

Asi que se me ocurrio un plan B: 

Que avise a Wazuh a través de una tarea programada.

El evento que nos interesa es el 4663

Creamos una tarea programada para que cuando se desencadene el evento, ejecute un archivo que sea capaz de añadir una linea de lo que ha ocurrido a un log personalizado en C:\Logs:

El archivo log_creator.bat que será lo que ejecute la tarea programada lo tengo ubicado en C:\Scripts y tiene el siguiente contenido:

Una vez creada la tarea programada, podemos comprobar que si entramos en la carpeta monitorizada, se añaden los registros a nuestro fichero de log:

Ahora, toca el turno de configurar Wazuh.

Para que Wazuh maneje este fichero de log, debemos crear un decodificador especifico para ello.

Añadimos lo siguiente en /var/ossec/etc/decoders/local_decoder.xml

<decoder name="custom_log">

 <prematch>Alerta del evento del honeypot</prematch>

 <regex>^(\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}) - (.*)$</regex>

 <order>timestamp, log_message</order>

</decoder>

Y añadimos una regla especifca para ello en el fichero /var/ossec/etc/rules/local_rules.xml

<group name="custom_logs,scheduled_task">

  <rule id="174002" level="12">

    <decoded_as>custom_log</decoded_as>

    <description>Alerta del evento del honeypot</description>

  </rule>

</group>

Tenemos que reiniciar Wazuh para que los cambios se hagan efecto. lo podeis hacer desde la misma página de modificación de ficheros de reglas.

También, en el agente de Wazuh del equipo Windows Server que estamos monitorizando, debemos de añadir en su archivo de configuración C:\Program Files (x86)\ossec-agent\ossec.conf lo siguiente para que nos pille el archivo de log que hemos creado:

Ahora hay que reiniciar el cliente de Wazuh en el cliente  (Se puede hacer desde el mismo programa de configuracion del cliente):

!Bien!

Todo configurado..

¿Lo probamos?

Entramos al portal de Wazuh, nos vamos al equipo monitoriado, Threat Hunting y events..

Aparece el evento en Wazuh!

Ahora, si un malechor entra a la carpeta señuelo, nos deberia de alertar Wazuh.

Si entramos en los detalles del evento, nos dirá que está pasando.

Una vez que Wazuh nos avisa del tema, se nos puede ocurrir mil ideas para gestionar esta alerta como la posibilidad de que nos avise por correo:

https://wazuh.com/blog/how-to-send-email-notifications-with-wazuh/

O alguna respuesta personalizada con Active Response como hacer algo con el firewall de Windows..

O cualquier cosa que se nos ocurra..

Espero que les haya gustado este artículo.

Gracias.

Un saludo.