CHƯƠNG 3 : THỰC HIỆN THU THẬP VÀ PHÂN TÍCH LOGFILE
3.1. Phân tích logfile sử dụng splunk enterprise
3.1.2. Các bước thực hiện
Bước 1: Cài đặt XAMPP
Xampp là chương trình tạo máy chủ Web (Web Server) được tích hợp sẵn Apache, PHP, MySQL, FTP Server, Mail Server và các công cụ như phpMyAdmin. Khơng như Appserv, Xampp có chương trình quản lý khá tiện lợi, cho phép chủ động bật tắt hoặc khởi động lại các dịch vụ máy chủ bất kỳ lúc nào.
-Tải XAMPP tại https://www.apachefriends.org/index.html nhấn vào dowload XAMPP for windows để tiến hành tải về
24
Hình 3. 2: Trang tải về Xampp
- Tiến hành cài đặt XAMPP
- Chỉ cần kích vào next để tiến hành cài đặt tại mục Location ấn vào change để chọ thư mục cài đặt cuối cùng ấn finish để hoàn tất
- Ấn Start để chạy các dịch vụ máy chủ Apache, MySQL (Nếu lỗi xảy ra có thể do trùng port trên máy tính ấn vào config để thay đổi)
25
Bước 2: Tải và cài đặt DVWA
Damn Vulnerable Web Application (DVWA) là một ứng dụng mã nguồn PHP/MySQL tập hợp sẵn các lỗi logic về bảo mật ứng dụng web trong mã nguồn PHP. Lỗi logic khi lập trình có thể áp dụng đối với các loại ngơn ngữ lập trình nhằm giảm thiểu khả năng tạo ra lổ hổng bảo mật từ tư duy lập trình chưa cẩn thận. Mục tiêu chính của DVWA đó là tạo ra một mơi trường thực hành hacking/pentest hợp pháp. Giúp cho các nhà phát triển ứng dụng web hiểu hơn về hoạt động lập trình an tồn và bảo mật hơn.
- Tải DVWA tại https://dvwa.co.uk/ nhấn vào dowload để tiến hành tải về - Sau khi tải về được một tệp tin .zip giải nén tập tin được một folder DVWA- master
26
Hình 3. 3: Trang tải DVWA
- Copy folder DVWA-master vào đường dẫn path-to-xampp/xampp/htdocs
Hình 3. 4: Folder htdocs chứa folder DVWA-master
- Mở dổi tên tệp config.inc.php.bak tại folder config thành config.inc.php mở tệp và cấu hình
27 $_DVWA[ 'db_user' ] = 'root';
$_DVWA[ 'db_password' ] = '';
$_DVWA[ 'db_port'] = '3308';(Cần giống port ở MySQL của XAMPP)
Hình 3. 5: Tệp tin config.inc.php sau khi cấu hình lại
- Tiến hành truy cập vào DVWA tại địa chỉ localhost/DVWA/setup.php - Ấn vào Creat/Resetdatabase để khởi chạy DVWA
- Sau khi ấn Creat/Resetdatabase đợi 1 thời gian sẽ tự động chuyển sang trang login.php nhập user: admin, password: password để tiến hành đăng nhập vào dvwa
28
Hình 3. 6: Khởi tạo DVWA
Hình 3. 7: Giao diện khi khởi tạo DVWA thành công
Bước 3: Dowload vào cài đặt Splunk Entersprise
-Tải Splunk Entersprise https://www.splunk.com/ nhấn vào dowload phiên bản cho window 10
29 -Sau khi cài đặt thành công truy cập vào http://localhost:8000 để truy cập vào splunk
-Đăng nhập với username và password đã lưu ở quá trình cài đặt
Hình 3. 8: Giao diện đăng nhập Splunk
Bước 4: Sử dụng DVWA thiết lập một vài cuộc tấn công lên máy chủ apache rồi thu
logfile để phân tích bằng splunk
30
Hình 3. 9: Tấn cơng SQL Injection
- Vào file log máy chủ apache kiểm tra xem đã thu được log hay chưa (đường dẫn path-to-xampp/xampp/apache/logs/access.log)
Hình 3. 10: Log file thu được sau tấn công SQL Injection
- Vào splunk để khởi tạo phân tích log file
31
Hình 3. 11: Thêm dữ liệu Splunk
- Chọn đường dẫn đi vào file sau đó chọn Continuously Monitor để kiểm tra liên tục ấn next để tiếp tục
Hình 3. 12: Màn hình chọn file log
- Tiếp đến chọn định dạng file log sau đó ấn next để tiếp tục đến hết
32 - Sau khi cấu hình hồn tất ta thu được bản phân tích log của apache từ splunk