El Rincon de Jose

Cortex El Laboratorio Científico (El músculo analítico)

En la "Santísima Trinidad" de la respuesta a incidentes: TheHive, MISP y Cortex.

Vamos a abrir Cortex el motor de análisis de código abierto desarrollado por el mismo equipo de TheHive.

No confundir con Cortex de Palo Alto Networks.

Cortex de Palo Alto Networks y Cortex de StrangeBee (para TheHive) son tecnologías completamente distintas que comparten el mismo nombre. Palo Alto utiliza Cortex para su ecosistema de seguridad comercial (XDR y SOAR), mientras que el Cortex de código abierto actúa como un motor de análisis junto a TheHive para la investigación de incidentes.

Para entender la relación entre TheHive, Cortex y MISP sin rodeos ni tecnicismos raros, imagínate que tu SOC es una comisaría de policía de élite.

TheHive: El Investigador Jefe (El cuaderno de bitácora)
TheHive es la oficina central. No analiza virus ni busca IP maliciosas por sí mismo; es el gestor de casos.
Cuando Wazuh o Shuffle (Que instalaremos) detectan algo raro, abren un "caso" aquí.
Como se a visto en pantallas anteriores, aquí es donde tú, como Analista, entras a escribir, organizar las pruebas y decidir qué hacer. Es el cerebro organizativo.

Cortex: El Laboratorio Científico (El músculo analítico)
Cortex es el laboratorio que está en la habitación de al lado. No sabe qué casos hay abiertos ni le importa la burocracia; él solo sabe analizar cosas.
¿Cuál es su relación con TheHive? TheHive es el jefe que le manda trabajo a Cortex.
Ejemplo real: Te llega un incidente a TheHive con un archivo sospechoso. Tú, con un solo clic desde TheHive, le dices: "Cortex, analiza esto". Cortex coge su bisturí (los llamados Analyzers), lo pasa por VirusTotal o URLScan, y en dos segundos le devuelve el resultado a TheHive: "Jefe, esto es un troyano como una catedral".

MISP: La Base de Datos de la Interpol (La Inteligencia)
MISP (Malware Information Sharing Platform) es un gran archivo de inteligencia de amenazas compartida por expertos de todo el mundo. Es como el tablón de anuncios de los criminales más buscados.
¿Cuál es su relación con las otras dos? Es la biblioteca a la que consultan.
Cuando entra una IP sospechosa a TheHive, el sistema mira automáticamente en MISP para ver si esa IP ya ha atacado a otros hospitales o empresas antes. Si hay coincidencia, te avisa: "¡Ojo, Jose, que esta IP está fichada en MISP por campañas de Ransomware!".

Con este pequeño prologo vamos a por Cortex.

Entramos en Cortex mediante la IP

http://192.168.1.101:9001

Nos llevara a una primera pantalla en la que nos pedirá actualizar la base de datos.

Actualizar la base de datos.

Nos lleva al formulario para crear la cuenta del Administrador.

Ponemos un acceso de usuario, un nombre y una contraseña.

Entonces, si. Nos da la pagina de login para acceder a la herramienta. Entramos con las credenciales anteriores.

Añadimos la organización. +Add organization

El nombre de la organización, muy Importante, el mismo que en TheHive. Mi SOC

¡¡¡OJO Las imágenes reflejan MiSOC. Pero como me confundí toda la plataforma esta diseñada para que la organización, mi organización sea MI SOC. Con una separación.

Es muy importante que el nombre de la organización sea exactamente igual en todas las herramientas. De lo contrario nos va a dar error.

En TheHive pude editar el nombre de la Organización. En Cortex no me deja.!!!

Save

Una vez que hemos creado la organización, creamos el usuario.

Vamos a Users

+Add user

Nos da este formulario.

En mi caso:

Full name: Analista MiSOC

Organization: Mi SOC

Roles: Abre el desplegable gris y elige la opción máxima: read, analyze, orgadmin.

Save user

El siguiente paso inmediato: La Contraseña
Al darle a guardar, la ventana flotante se cerrará y volverás a la lista general de usuarios. Para ponerle la contraseña a este usuario que acabas de crear:
Busca la fila del nuevo usuario (jose-analista).
Verás una columna central llamada Password con un botón que dice Set password (o Edit password).
Haz clic ahí, escribe tu contraseña del laboratorio directamente en la casilla y pulsa Enter para fijarla.

¡Y listo! Con esto el usuario queda blindado, bautizado y asignado a su correspondiente búnker.

Tendríamos creada la Organización y el usuario en Cortex.

Como en TheHive si entramos con las credenciales de Administrador vamos al dashboard.

Al panel global de control de Cortex.

¿Qué haces ahí? Gestión pesada de infraestructura. Es el único sitio donde puedes ver todas las organizaciones, configurar y habilitar los Analyzers (los motores de VirusTotal, URLScan, etc.), y auditar a los usuarios de todo el sistema. Como bien dices, desde aquí controlas el estado de jose-analista, aunque la API Key concreta la generas a nivel de su organización.

Entrar como el Analista de la Organización (jose-analista)

¿A dónde te lleva? Al espacio de trabajo operativo de tu organización Mi SOC.
¿Qué haces ahí? Es la zona donde se cocina la acción, el "historial de trabajos" (Jobs History). Aunque el analista puede ver y lanzar análisis de forma manual desde esta interfaz web, en el mundo real Cortex trabaja a la sombra.
Tu usuario jose-analista en Cortex tiene asignado el rol de orgadmin (administrador de su propia organización). Esto significa que si entras con él, también puedes ir a su perfil, darle al botón Create API Key y obtener la llave. Una vez que le des esa llave a TheHive, no te hará falta volver a entrar a la web de Cortex como analista; ¡TheHive se encargará de enviarle los datos por detrás y Cortex le responderá automáticamente!