F16-开源态势感知系统liuying单机版使用方法

# 教程说明
国内开源的态势感知系统仅此一家，但文档写得不清不楚，配置操作难度比较大，而且又没有交流群和客服，问题很难解决，只能做体验之用。
不一定能实现所有功能，但是可以通过这个虚拟机理解态势感知系统的架构与工作机制。

# 准备工作
先安装好vmware，并且准备一个Kali机器。
参考：
[A01-Windows安装VMWare Workstation](/doc/589/ "A01-Windows安装VMWare Workstation")
[A11-虚拟机安装Kali和远程连接](/doc/595/ "A11-虚拟机安装Kali和远程连接")

# 下载虚拟机
流影态势感知系统实际上可以分成四个节点：
1、采集节点
2、分析节点
3、管理节点
4、可视化界面
这个四个软件是拆分的，都可以单独安装，以满足大规模分布式扩展的需求。
但是我们学习不需要弄这么多机器，也没必要装单独安装每个软件。

## 下载
我们这里直接下载CentOS的虚拟机单机版，里面已经安装、运行了四个节点：
2024-01-16 发布，百度网盘：流影v1.1.1 OVF镜像
https://pan.baidu.com/s/1PpdnvV-cCQYR6kL1nJ11_A
提取码：AFOS

## 解压
解压以后，用vmware**打开**（不需要安装）。
填写虚拟机的名字，设置虚拟机文件的路径（建议所有的虚拟机都放在同一个几种管理的目录）。

开机，这个虚拟机是最小化版本的，没有图形化界面。
虚拟机用户名：`root`，密码：`ShyLiuying`

## 关闭和禁用防火墙
这台机器默认开启了防火墙，端口会过滤拦截
停止并禁止防火墙开机启动
```
systemctl stop firewalld.service
systemctl disable firewalld.service
```

# 查看采集节点
`ps aux|grep lyprobe`

![](/media/202503/2025-03-27_150423_3263070.6902191420527585.png)

这里我们看到采集工具的启动命令是：
`lyprobe -T IPV4_SRC_ADDR %IPV4_DST_ADDR %IN_PKTS %IN_BYTES %FIRST_SWITCHED %LAST_SWITCHED %L4_SRC_PORT %L4_DST_PORT %TCP_FLAGS %PROTOCOL %SRC_TOS %DNS_REQ_DOMAIN %DNS_REQ_TYPE %HTTP URL %HTTP_REQ_METHOD %HTTP_HOST %HTTP_MIME %HTTP_RET_CODE %HTTP_USER_AGENT %THREAT_TYPE %THREAT_NAME %THREAT_VERS %ICMP_DATA %ICMP_SEQ_NUM %ICMP_PAYLOAD_LEN %THREAT_TIME -n 127.0.0.1:9995 -e 0 -w 32768 -k 1 -K /data/cap/3 -i ens34 -G`

```
-T：后面跟着的是采集的数据字段模板，包括源 IP 地址、目的 IP 地址、源端口、目的端口、TCP 标志、协议类型、源 TOS、DNS 请求域名、DNS 请求类型、HTTP URL、HTTP 请求方法、HTTP 主机、HTTP MIME 类型、HTTP 响应代码、HTTP 用户代理、威胁类型、威胁名称、威胁版本、ICMP 数据、ICMP 序列号、ICMP 负载长度和威胁时间。
-n 127.0.0.1:9995：指定 NetFlow 收集器的地址和端口，这里是本地地址 127.0.0.1 和端口 9995。
-e 0：设置流量导出的延迟时间为 0 毫秒，即立即导出。
-w 32768：设置哈希表的大小为 32768，用于存储流量信息。
-k 1：设置哈希表的负载因子为 1。
-K /data/cap/3：指定用于存储捕获数据的目录。
-i ens34：指定监听的网络接口为 ens34。
-G：以守护进程模式运行。
```

也就是说，把本机ens34网卡的上述协议的流量发送到分析主机（也是这台虚拟机）的9995端口，并保存到/data/cap/3目录下。

我们可以看到本机的9995端口正在监听：
`netstat -an|grep 9995`

# 查看本机IP
使用命令`ifconfig`查看本机IP。注意，IP是`ens34`这张网卡的IP，而不是`ens33`这张网卡的IP。记住这个IP，例如：192.168.110.71

![](/media/202503/2025-03-27_151740_6621520.7386516928571011.png)

# 在Kali测试攻击：
```
nmap 192.168.110.71
dirb http://192.168.110.71
hping3 -S -p 80 192.168.110.71
sqlmap -u http://192.168.110.71?id=1
nikto -host 192.168.110.71
```

也可以使用Goby或者Nessus等漏扫工具对这个IP进行扫描。

# 查看管理界面
访问虚拟机的18080端口，例如：
http://192.168.110.71:18080/ui

管理员账号 `admin`
密码 `LoginLY@2016`

选择时间：

![](/media/202503/2025-03-27_152133_7681430.6712682121478227.png)

查看攻击概况：

![](/media/202503/2025-03-27_152039_6970310.08557119345046615.png)

# 如果收不到流量
使用以下命令查看网卡流量（正常情况是一直有流量，在滚动）：
`tcpdump -i ens34`

查看流量保存文件（正常情况是文件有大小，而且文件数可能增多）：
`cd /data/cap/3`

# 参考资料
https://abyssalfish-os.github.io/getting-started/quick-start/

# 开源安全产品全系列
F12-Linux安装雷池WAF
https://wiki.bafangwy.com/doc/704/

F13-Ubuntu安装开源堡垒机JumpServer
https://wiki.bafangwy.com/doc/820/

F14-Ubuntu安装开源蜜罐HFish
https://wiki.bafangwy.com/doc/821/

F15-Ubuntu安装开源杀软ClamAV
https://wiki.bafangwy.com/doc/822/

F16-开源态势感知系统liuying单机版使用方法
https://wiki.bafangwy.com/doc/823/

F17-Ubuntu安装开源IDS/IPS系统Suricata
https://wiki.bafangwy.com/doc/825/

D14-Windows虚拟机安装OpenEDR
https://wiki.bafangwy.com/doc/826/