Π ΡΡΠΎΠΌ ΠΏΠΎΡΡΠ΅ Π±ΡΠ΄Π΅Ρ ΠΎΠΏΠΈΡΠ°Π½Π° Π½Π°ΡΡΡΠΎΠΉΠΊΠ° Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΠΎΠ½Π½ΡΡ
ΠΏΠ°Π½Π΅Π»Π΅ΠΉ ELK ΠΈ SIEM Π² ELK
Π‘ΡΠ°ΡΡΡ ΡΠ°Π·Π΄Π΅Π»Π΅Π½Π° Π½Π° ΡΠ»Π΅Π΄ΡΡΡΠΈΠ΅ ΡΠ°Π·Π΄Π΅Π»Ρ:
1- ΠΠ±Π·ΠΎΡ ELK SIEM
2- ΠΠ°ΡΠ±ΠΎΡΠ΄Ρ ΠΏΠΎ ΡΠΌΠΎΠ»ΡΠ°Π½ΠΈΡ
3- Π‘ΠΎΠ·Π΄Π°Π½ΠΈΠ΅ Π²Π°ΡΠΈΡ
ΠΏΠ΅ΡΠ²ΡΡ
Π΄Π°ΡΠ±ΠΎΡΠ΄ΠΎΠ²
ΠΠ³Π»Π°Π²Π»Π΅Π½ΠΈΠ΅ Π²ΡΠ΅Ρ ΠΏΠΎΡΡΠΎΠ².
ΠΠ²Π΅Π΄Π΅Π½ΠΈΠ΅. Π Π°Π·Π²Π΅ΡΡΡΠ²Π°Π½ΠΈΠ΅ ΠΈΠ½ΡΡΠ°ΡΡΡΡΠΊΡΡΡΡ ΠΈ ΡΠ΅Ρ Π½ΠΎΠ»ΠΎΠ³ΠΈΠΉ Π΄Π»Ρ SOC ΠΊΠ°ΠΊ Service (SOCasS) ELK stack β ΡΡΡΠ°Π½ΠΎΠ²ΠΊΠ° ΠΈ Π½Π°ΡΡΡΠΎΠΉΠΊΠ° ΠΡΠΎΠ³ΡΠ»ΠΊΠ° ΠΏΠΎ open Distro ΠΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡ Dashboards ΠΈ ELK SIEM - ΠΠ½ΡΠ΅Π³ΡΠ°ΡΠΈΡ Ρ WAZUH
- ΠΠΏΠΎΠ²Π΅ΡΠ΅Π½ΠΈΠ΅ (Alerting)
- ΠΡΡΠ΅ΡΠ½ΠΎΡΡΡ
- Case Management
1-ΠΠ±Π·ΠΎΡ ELK SIEM
ELK SIEM Π±ΡΠ» Π½Π΅Π΄Π°Π²Π½ΠΎ Π΄ΠΎΠ±Π°Π²Π»Π΅Π½ Π² ΡΡΠ΅ΠΊ elk Π² Π²Π΅ΡΡΠΈΠΈ 7.2 ΠΎΡ 25 ΠΈΡΠ½Ρ 2019 Π³.
ΠΡΠΎ SIEM-ΡΠ΅ΡΠ΅Π½ΠΈΠ΅, ΡΠΎΠ·Π΄Π°Π½Π½ΠΎΠ΅ elastic.co, ΡΡΠΎΠ±Ρ ΡΠ΄Π΅Π»Π°ΡΡ ΠΆΠΈΠ·Π½Ρ Π°Π½Π°Π»ΠΈΡΠΈΠΊΠ° Π±Π΅Π·ΠΎΠΏΠ°ΡΠ½ΠΎΡΡΠΈ Π½Π°ΠΌΠ½ΠΎΠ³ΠΎ ΠΏΡΠΎΡΠ΅ ΠΈ ΠΌΠ΅Π½Π΅Π΅ ΡΡΠΎΠΌΠΈΡΠ΅Π»ΡΠ½ΠΎΠΉ.
Π Π½Π°ΡΠ΅ΠΉ Π²Π΅ΡΡΠΈΠΈ ΡΠ°Π±ΠΎΡΡ ΠΌΡ ΡΠ΅ΡΠΈΠ»ΠΈ ΡΠΎΠ·Π΄Π°ΡΡ ΡΠΎΠ±ΡΡΠ²Π΅Π½Π½ΡΠΉ SIEM ΠΈ Π²ΡΠ±ΡΠ°ΡΡ ΡΠΎΠ±ΡΡΠ²Π΅Π½Π½ΡΡ ΠΏΠ°Π½Π΅Π»Ρ ΡΠΏΡΠ°Π²Π»Π΅Π½ΠΈΡ.
ΠΠΎ ΠΌΡ ΡΡΠΈΡΠ°Π΅ΠΌ Π²Π°ΠΆΠ½ΡΠΌ ΡΠ½Π°ΡΠ°Π»Π° ΠΈΠ·ΡΡΠΈΡΡ ELK SIEM.
1.1- Π Π°Π·Π΄Π΅Π» Host events
Π‘Π½Π°ΡΠ°Π»Π° ΠΌΡ ΡΠ°ΡΡΠΌΠΎΡΡΠΈΠΌ Ρ ΠΎΡΡ-ΡΠ°Π·Π΄Π΅Π». Π Π°Π·Π΄Π΅Π» Ρ ΠΎΡΡΠ° ΠΏΠΎΠ·Π²ΠΎΠ»ΠΈΡ Π²Π°ΠΌ ΡΠ²ΠΈΠ΄Π΅ΡΡ ΡΠΎΠ±ΡΡΠΈΡ, ΠΊΠΎΡΠΎΡΡΠ΅ Π³Π΅Π½Π΅ΡΠΈΡΡΡΡΡΡ Π² ΡΠ°ΠΌΠΎΠΉ ΠΊΠΎΠ½Π΅ΡΠ½ΠΎΠΉ ΡΠΎΡΠΊΠ΅.
ΠΠΎΡΠ»Π΅ Π½Π°ΠΆΠ°ΡΠΈΡ Π½Π° ΠΏΡΠΎΡΠΌΠΎΡΡ Ρ ΠΎΡΡΠΎΠ² Π²Ρ Π΄ΠΎΠ»ΠΆΠ½Ρ ΠΏΠΎΠ»ΡΡΠΈΡΡ ΡΡΠΎ-ΡΠΎ Π²ΡΠΎΠ΄Π΅ ΡΡΠΎΠ³ΠΎ. ΠΠ°ΠΊ Π²ΠΈΠ΄ΠΈΡΠ΅, ΠΊ ΡΡΠΎΠΌΡ ΠΊΠΎΠΌΠΏΡΡΡΠ΅ΡΡ ΠΏΠΎΠ΄ΠΊΠ»ΡΡΠ΅Π½ΠΎ ΡΡΠΈ Ρ ΠΎΡΡΠ°:
1 Windows 10.
2 Π‘Π΅ΡΠ²Π΅Ρ Ubuntu 18.04.
Π£ Π½Π°Ρ Π΅ΡΡΡ Π½Π΅ΡΠΊΠΎΠ»ΡΠΊΠΎ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°Π΅ΠΌΡΡ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΉ, ΠΊΠ°ΠΆΠ΄Π°Ρ ΠΈΠ· ΠΊΠΎΡΠΎΡΡΡ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°Π΅Ρ ΡΠ°Π·Π»ΠΈΡΠ½ΡΠ΅ ΡΠΈΠΏΡ ΡΠΎΠ±ΡΡΠΈΠΉ.
ΠΠ°ΠΏΡΠΈΠΌΠ΅Ρ, ΡΠΎΡ, ΡΡΠΎ ΠΏΠΎΡΠ΅ΡΠ΅Π΄ΠΈΠ½Π΅, ΠΏΠΎΠΊΠ°Π·ΡΠ²Π°Π΅Ρ Π΄Π°Π½Π½ΡΠ΅ ΠΎ Π»ΠΎΠ³ΠΈΠ½Π°Ρ Π½Π° Π²ΡΠ΅Ρ ΡΡΠ΅Ρ ΠΌΠ°ΡΠΈΠ½Π°Ρ .
ΠΡΠΎΡ ΠΎΠ±ΡΠ΅ΠΌ Π΄Π°Π½Π½ΡΡ , ΠΊΠΎΡΠΎΡΡΠΉ Π²Ρ Π²ΠΈΠ΄ΠΈΡΠ΅ Π·Π΄Π΅ΡΡ, Π±ΡΠ» ΡΠΎΠ±ΡΠ°Π½ Π·Π° ΠΏΡΡΡ Π΄Π½Π΅ΠΉ. ΠΡΠΎ ΠΎΠ±ΡΡΡΠ½ΡΠ΅Ρ Π±ΠΎΠ»ΡΡΠΎΠ΅ ΠΊΠΎΠ»ΠΈΡΠ΅ΡΡΠ²ΠΎ Π½Π΅ΡΠ΄Π°ΡΠ½ΡΡ ΠΈ ΡΡΠΏΠ΅ΡΠ½ΡΡ Π²Ρ ΠΎΠ΄ΠΎΠ² Π² ΡΠΈΡΡΠ΅ΠΌΡ. Π£ Π²Π°Ρ, Π²Π΅ΡΠΎΡΡΠ½ΠΎ, Π±ΡΠ΄Π΅Ρ Π½Π΅Π±ΠΎΠ»ΡΡΠΎΠ΅ ΠΊΠΎΠ»ΠΈΡΠ΅ΡΡΠ²ΠΎ ΠΆΡΡΠ½Π°Π»ΠΎΠ², ΠΏΠΎΡΡΠΎΠΌΡ Π½Π΅ Π±Π΅ΡΠΏΠΎΠΊΠΎΠΉΡΠ΅ΡΡ
1.2- Π Π°Π·Π΄Π΅Π» ΡΠ΅ΡΠ΅Π²ΡΡ ΡΠΎΠ±ΡΡΠΈΠΉ
ΠΠ΅ΡΠ΅Ρ ΠΎΠ΄Ρ ΠΊ ΡΠ°Π·Π΄Π΅Π»Ρ ΡΠ΅ΡΠΈ, Π²Ρ Π΄ΠΎΠ»ΠΆΠ½Ρ ΠΏΠΎΠ»ΡΡΠΈΡΡ ΡΡΠΎ-ΡΠΎ Π²ΡΠΎΠ΄Π΅ ΡΡΠΎΠ³ΠΎ. ΠΡΠΎΡ ΡΠ°Π·Π΄Π΅Π» ΠΏΠΎΠ·Π²ΠΎΠ»ΠΈΡ Π²Π°ΠΌ Π²Π½ΠΈΠΌΠ°ΡΠ΅Π»ΡΠ½ΠΎ ΡΠ»Π΅Π΄ΠΈΡΡ Π·Π° Π²ΡΠ΅ΠΌ, ΡΡΠΎ ΠΏΡΠΎΠΈΡΡ ΠΎΠ΄ΠΈΡ Π² Π²Π°ΡΠ΅ΠΉ ΡΠ΅ΡΠΈ, ΠΎΡ ΡΡΠ°ΡΠΈΠΊΠ° HTTP / TLS Π΄ΠΎ ΡΡΠ°ΡΠΈΠΊΠ° DNS ΠΈ Π²Π½Π΅ΡΠ½ΠΈΡ ΠΏΡΠ΅Π΄ΡΠΏΡΠ΅ΠΆΠ΄Π΅Π½ΠΈΠΉ ΠΎ ΡΠΎΠ±ΡΡΠΈΡΡ .
2- ΠΠ°ΡΠ±ΠΎΡΠ΄Ρ ΠΏΠΎ ΡΠΌΠΎΠ»ΡΠ°Π½ΠΈΡ
Π§ΡΠΎΠ±Ρ ΠΎΠ±Π»Π΅Π³ΡΠΈΡΡ ΠΆΠΈΠ·Π½Ρ ΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΠ΅Π»ΡΠΌ, ΡΠ°Π·ΡΠ°Π±ΠΎΡΡΠΈΠΊΠΈ elastic.co ΡΠΎΠ·Π΄Π°Π»ΠΈ ΠΏΠ°Π½Π΅Π»Ρ ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½ΡΠΎΠ² ΠΏΠΎ ΡΠΌΠΎΠ»ΡΠ°Π½ΠΈΡ, ΠΎΡΠΈΡΠΈΠ°Π»ΡΠ½ΠΎ ΠΏΠΎΠ΄Π΄Π΅ΡΠΆΠΈΠ²Π°Π΅ΠΌΡΡ ELK. ΠΠ°ΡΠΈ Π±ΠΈΡΡ Π½Π΅ Π±ΡΠ»ΠΈ ΠΈΡΠΊΠ»ΡΡΠ΅Π½ΠΈΠ΅ΠΌ ΠΈΠ· ΡΡΠΎΠ³ΠΎ ΠΏΡΠ°Π²ΠΈΠ»Π°. ΠΠ΄Π΅ΡΡ Ρ Π±ΡΠ΄Ρ Π±ΡΠ°ΡΡ Π² ΠΊΠ°ΡΠ΅ΡΡΠ²Π΅ ΠΏΡΠΈΠΌΠ΅ΡΠ° ΠΏΠ°Π½Π΅Π»ΠΈ ΠΌΠΎΠ½ΠΈΡΠΎΡΠΈΠ½Π³Π° Packetbeat ΠΏΠΎ ΡΠΌΠΎΠ»ΡΠ°Π½ΠΈΡ.
ΠΡΠ»ΠΈ Π²Ρ ΠΏΡΠ°Π²ΠΈΠ»ΡΠ½ΠΎ Π²ΡΠΏΠΎΠ»Π½ΠΈΠ»ΠΈ ΡΠ°Π³ Π²ΡΠΎΡΠΎΠΉ ΡΡΠ°ΡΡΠΈ. Π£ Π²Π°Ρ Π΄ΠΎΠ»ΠΆΠ½Π° Π±ΡΡΡ Π½Π°ΡΡΡΠΎΠ΅Π½Π° ΠΏΠ°Π½Π΅Π»Ρ ΠΈΠ½ΡΡΡΡΠΌΠ΅Π½ΡΠΎΠ², ΠΊΠΎΡΠΎΡΠ°Ρ ΠΆΠ΄Π΅Ρ Π²Π°Ρ. ΠΡΠ°ΠΊ, ΠΏΡΠΈΡΡΡΠΏΠΈΠΌ.
ΠΠ° Π»Π΅Π²ΠΎΠΉ Π²ΠΊΠ»Π°Π΄ΠΊΠ΅ Kibana Π²ΡΠ±Π΅ΡΠΈΡΠ΅ ΡΠΈΠΌΠ²ΠΎΠ» ΠΏΡΠΈΠ±ΠΎΡΠ½ΠΎΠΉ ΠΏΠ°Π½Π΅Π»ΠΈ. ΠΡΠΎ ΡΡΠ΅ΡΠΈΠΉ, Π΅ΡΠ»ΠΈ ΡΡΠΈΡΠ°ΡΡ ΡΠ²Π΅ΡΡ Ρ.
ΠΠ²Π΅Π΄ΠΈΡΠ΅ Π½Π°Π·Π²Π°Π½ΠΈΠ΅ Π΄ΠΎΠ»ΠΈ Π²ΠΎ Π²ΠΊΠ»Π°Π΄ΠΊΠ΅ ΠΏΠΎΠΈΡΠΊΠ°
ΠΡΠ»ΠΈ Π² Π±ΠΈΡΠ΅ Π½Π΅ΡΠΊΠΎΠ»ΡΠΊΠΎ ΠΌΠΎΠ΄ΡΠ»Π΅ΠΉ. ΠΡΠ΄Π΅Ρ ΡΠΎΠ·Π΄Π°Π½Π° ΠΏΠ°Π½Π΅Π»Ρ ΡΠΏΡΠ°Π²Π»Π΅Π½ΠΈΡ Π΄Π»Ρ ΠΊΠ°ΠΆΠ΄ΠΎΠ³ΠΎ ΠΈΠ· Π½ΠΈΡ . ΠΠΎ ΡΠΎΠ»ΡΠΊΠΎ ΡΠΎΡ, Ρ ΠΊΠΎΠ³ΠΎ Π°ΠΊΡΠΈΠ²Π΅Π½ ΠΌΠΎΠ΄ΡΠ»Ρ, Π±ΡΠ΄Π΅Ρ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°ΡΡ Π½Π΅ΠΏΡΡΡΡΠ΅ Π΄Π°Π½Π½ΡΠ΅.
ΠΡΠ±Π΅ΡΠΈΡΠ΅ ΡΠΎΡ, Ρ ΠΊΠΎΡΠΎΡΠΎΠ³ΠΎ Π΅ΡΡΡ Π½Π°Π·Π²Π°Π½ΠΈΠ΅ Π²Π°ΡΠ΅Π³ΠΎ ΠΌΠΎΠ΄ΡΠ»Ρ.
ΠΡΠΎ ΠΎΡΠ½ΠΎΠ²Π½ΠΎΠΉ ΡΠ°Π±Π»ΠΎΠ½ PacketBeat.
ΠΡΠΎ ΠΏΠ°Π½Π΅Π»Ρ ΡΠΏΡΠ°Π²Π»Π΅Π½ΠΈΡ ΡΠ΅ΡΠ΅Π²ΡΠΌΠΈ ΠΏΠΎΡΠΎΠΊΠ°ΠΌΠΈ. ΠΠ½Π° ΡΠΎΠΎΠ±ΡΠΈΡ Π½Π°ΠΌ ΠΎ Π²Ρ ΠΎΠ΄ΡΡΠ΅ΠΌ ΠΈ ΠΈΡΡ ΠΎΠ΄ΡΡΠ΅ΠΌ ΠΏΠ°ΠΊΠ΅ΡΠ΅, ΠΈΡΡΠΎΡΠ½ΠΈΠΊΠ°Ρ ΠΈ Π½Π°Π·Π½Π°ΡΠ΅Π½ΠΈΡΡ IP-Π°Π΄ΡΠ΅ΡΠΎΠ², Π° ΡΠ°ΠΊΠΆΠ΅ Π΄Π°ΡΡ ΠΌΠ½ΠΎΠ³ΠΎ ΠΏΠΎΠ»Π΅Π·Π½ΠΎΠΉ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΠΈ Π΄Π»Ρ Π°Π½Π°Π»ΠΈΡΠΈΠΊΠ° ΡΠ΅Π½ΡΡΠ° Π±Π΅Π·ΠΎΠΏΠ°ΡΠ½ΠΎΡΡΠΈ.
3 β Π‘ΠΎΠ·Π΄Π°Π½ΠΈΠ΅ Π²Π°ΡΠΈΡ ΠΏΠ΅ΡΠ²ΡΡ Π΄Π°ΡΠ±ΠΎΡΠ΄ΠΎΠ²
3β1- ΠΡΠ½ΠΎΠ²Π½ΡΠ΅ ΠΏΠΎΠ½ΡΡΠΈΡ
A- Π’ΠΈΠΏΡ Π΄Π°ΡΠ±ΠΎΡΠ΄ΠΎΠ²:
ΠΡΠΎ ΡΠ°Π·Π»ΠΈΡΠ½ΡΠ΅ ΡΠΈΠΏΡ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΉ, ΠΊΠΎΡΠΎΡΡΠ΅ Π²Ρ ΠΌΠΎΠΆΠ΅ΡΠ΅ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΡ Π΄Π»Ρ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ Π²Π°ΡΠΈΡ Π΄Π°Π½Π½ΡΡ .
Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ Ρ Π½Π°Ρ Π΅ΡΡΡ:
- ΠΠΈΡΡΠΎΠ³ΡΠ°ΠΌΠΌΠ°
- ΠΠ°ΡΡΠ°
- ΠΠΈΠ΄ΠΆΠ΅Ρ Markdown
- ΠΡΡΠ³ΠΎΠ²Π°Ρ Π΄ΠΈΠ°Π³ΡΠ°ΠΌΠΌΠ°
B- KQL (ΡΠ·ΡΠΊ Π·Π°ΠΏΡΠΎΡΠΎΠ² Kibana):
ΠΡΠΎ ΡΠ·ΡΠΊ, ΠΈΡΠΏΠΎΠ»ΡΠ·ΡΠ΅ΠΌΡΠΉ Π² ΠΠΈΠ±Π°Π½Π° Π΄Π»Ρ ΡΠ΄ΠΎΠ±Π½ΠΎΠ³ΠΎ ΠΏΠΎΠΈΡΠΊΠ° Π² Π΄Π°Π½Π½ΡΡ . ΠΡΠΎ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ΅Ρ Π²Π°ΠΌ ΠΏΡΠΎΠ²Π΅ΡΠΈΡΡ, ΡΡΡΠ΅ΡΡΠ²ΡΡΡ Π»ΠΈ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½Π½ΡΠ΅ Π΄Π°Π½Π½ΡΠ΅, ΠΈ ΠΌΠ½ΠΎΠ³ΠΈΠ΅ Π΄ΡΡΠ³ΠΈΠ΅ ΠΏΠΎΠ»Π΅Π·Π½ΡΠ΅ ΡΡΠ½ΠΊΡΠΈΠΈ. Π§ΡΠΎΠ±Ρ ΡΠ·Π½Π°ΡΡ Π±ΠΎΠ»ΡΡΠ΅, Π²Ρ ΠΌΠΎΠΆΠ΅ΡΠ΅ ΠΈΠ·ΡΡΠΈΡΡ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ ΠΏΠΎ ΡΡΠΎΠΉ ΡΡΡΠ»ΠΊΠ΅
ΠΡΠΎ ΠΏΡΠΈΠΌΠ΅Ρ Π·Π°ΠΏΡΠΎΡΠ° Π½Π° ΠΏΠΎΠΈΡΠΊ Ρ ΠΎΡΡΠ° Ρ ΡΠΈΡΡΠ΅ΠΌΠΎΠΉ Windows 10 pro.
C- Π€ΠΈΠ»ΡΡΡΡ:
ΠΡΠ° ΡΡΠ½ΠΊΡΠΈΡ ΠΏΠΎΠ·Π²ΠΎΠ»ΠΈΡ Π²Π°ΠΌ ΡΠΈΠ»ΡΡΡΠΎΠ²Π°ΡΡ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½Π½ΡΠ΅ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΡ, Π½Π°ΠΏΡΠΈΠΌΠ΅Ρ, ΠΈΠΌΡ Ρ ΠΎΡΡΠ°, ΠΊΠΎΠ΄ ΠΈΠ»ΠΈ ΠΈΠ΄Π΅Π½ΡΠΈΡΠΈΠΊΠ°ΡΠΎΡ ΡΠΎΠ±ΡΡΠΈΡ ΠΈ Ρ. Π. Π€ΠΈΠ»ΡΡΡΡ Π·Π½Π°ΡΠΈΡΠ΅Π»ΡΠ½ΠΎ ΡΠ»ΡΡΡΠ°Ρ ΡΠ°Π·Ρ ΡΠ°ΡΡΠ»Π΅Π΄ΠΎΠ²Π°Π½ΠΈΡ Ρ ΡΠΎΡΠΊΠΈ Π·ΡΠ΅Π½ΠΈΡ Π²ΡΠ΅ΠΌΠ΅Π½ΠΈ ΠΈ ΡΡΠΈΠ»ΠΈΠΉ, Π·Π°ΡΡΠ°ΡΠΈΠ²Π°Π΅ΠΌΡΡ Π½Π° ΠΏΠΎΠΈΡΠΊ ΡΠ»ΠΈΠΊ.
D- ΠΠ΅ΡΠ²Π°Ρ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡ:
Π‘ΠΎΠ·Π΄Π°Π΄ΠΈΠΌ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡ Π΄Π»Ρ MITER ATT & CK.
Π‘Π½Π°ΡΠ°Π»Π° Π½Π°ΠΌ Π½ΡΠΆΠ½ΠΎ ΠΏΠ΅ΡΠ΅ΠΉΡΠΈ Π² Dashboard β Create new dashboardβcreate new βPie dashboard
Π£ΡΡΠ°Π½ΠΎΠ²ΠΈΡΠ΅ ΡΠΈΠΏ Π΄Π»Ρ ΠΈΠ½Π΄Π΅ΠΊΡΠ½ΠΎΠ³ΠΎ ΠΏΠ°ΡΡΠ΅ΡΠ½Π°, Π·Π°ΡΠ΅ΠΌ ΠΊΠΎΡΠ½ΠΈΡΠ΅ΡΡ Π½Π°Π·Π²Π°Π½ΠΈΡ ΡΠ²ΠΎΠ΅Π³ΠΎ Π±ΠΈΡΠ°.
ΠΠ°ΠΆΠΌΠΈΡΠ΅ ΠΠ²ΠΎΠ΄. Π ΡΡΠΎΠΌΡ ΠΌΠΎΠΌΠ΅Π½ΡΡ Π²Ρ Π΄ΠΎΠ»ΠΆΠ½Ρ ΡΠ²ΠΈΠ΄Π΅ΡΡ Π·Π΅Π»Π΅Π½ΡΠΉ ΠΏΠΎΠ½ΡΠΈΠΊ.
ΠΠΎ Π²ΠΊΠ»Π°Π΄ΠΊΠ΅ Buckets ΡΠ»Π΅Π²Π° Π²Ρ Π½Π°ΠΉΠ΄Π΅ΡΠ΅:
β Split slices ΡΠ°Π·Π΄Π΅Π»ΠΈΡ ΠΏΠΎΠ½ΡΠΈΠΊ Π½Π° ΡΠ°Π·Π½ΡΠ΅ ΡΠ°ΡΡΠΈ Π² Π·Π°Π²ΠΈΡΠΈΠΌΠΎΡΡΠΈ ΠΎΡ ΡΠ°Π·Π±ΡΠΎΡΠ° Π΄Π°Π½Π½ΡΡ .
β Split Chart ΡΠΎΠ·Π΄Π°ΡΡ Π΅ΡΠ΅ ΠΎΠ΄ΠΈΠ½ ΠΏΠΎΠ½ΡΠΈΠΊ ΡΡΠ΄ΠΎΠΌ Ρ ΡΡΠΈΠΌ.
ΠΡ Π±ΡΠ΄Π΅ΠΌ ΠΈΡΠΏΠΎΠ»ΡΠ·ΠΎΠ²Π°ΡΡ ΡΠ°Π·Π΄Π΅Π»Π΅Π½Π½ΡΠ΅ ΡΡΠ΅Π·Ρ.
ΠΡ Π±ΡΠ΄Π΅ΠΌ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·ΠΈΡΠΎΠ²Π°ΡΡ Π½Π°ΡΠΈ Π΄Π°Π½Π½ΡΠ΅ Π² Π·Π°Π²ΠΈΡΠΈΠΌΠΎΡΡΠΈ ΠΎΡ Π²ΡΠ±ΡΠ°Π½Π½ΠΎΠ³ΠΎ Π½Π°ΠΌΠΈ ΡΠ΅ΡΠΌΠΈΠ½Π°. Π ΡΡΠΎΠΌ ΡΠ»ΡΡΠ°Π΅ ΡΠ΅ΡΠΌΠΈΠ½ Π±ΡΠ΄Π΅Ρ ΠΎΡΠ½ΠΎΡΠΈΡΡΡΡ ΠΊ MITER ATT & CK.
Π Winlogbeat ΠΏΠΎΠ»Π΅, ΠΊΠΎΡΠΎΡΠΎΠ΅ Π±ΡΠ΄Π΅Ρ ΠΏΡΠ΅Π΄ΠΎΡΡΠ°Π²Π»ΡΡΡ Π½Π°ΠΌ ΡΡΡ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ, Π½Π°Π·ΡΠ²Π°Π΅ΡΡΡ:
winlog.event_data.RuleName
ΠΡ ΡΡΡΠ°Π½ΠΎΠ²ΠΈΠΌ ΠΌΠ΅ΡΡΠΈΠΊΡ ΠΏΠΎΠ΄ΡΡΠ΅ΡΠ°, ΡΡΠΎΠ±Ρ ΡΠΏΠΎΡΡΠ΄ΠΎΡΠΈΡΡ ΡΠΎΠ±ΡΡΠΈΡ Π² Π·Π°Π²ΠΈΡΠΈΠΌΠΎΡΡΠΈ ΠΎΡ ΠΊΠΎΠ»ΠΈΡΠ΅ΡΡΠ²Π° ΠΈΡ ΠΏΠΎΡΠ²Π»Π΅Π½ΠΈΠΉ.
ΠΠΊΠ»ΡΡΠΈΡΠ΅ ΡΡΠ½ΠΊΡΠΈΡ βΠΡΡΠΏΠΏΠΈΡΠΎΠ²Π°ΡΡ Π΄ΡΡΠ³ΠΈΠ΅ Π·Π½Π°ΡΠ΅Π½ΠΈΡ Π² ΠΎΡΠ΄Π΅Π»ΡΠ½ΠΎΠΌ ΡΠ΅Π³ΠΌΠ΅Π½ΡΠ΅β.
ΠΡΠΎ Π±ΡΠ΄Π΅Ρ ΡΠ΄ΠΎΠ±Π½ΠΎ, Π΅ΡΠ»ΠΈ ΡΠ΅ΡΠΌΠΈΠ½Ρ, ΠΊΠΎΡΠΎΡΡΠ΅ Π²Ρ Π²ΡΠ±ΡΠ°Π»ΠΈ, ΠΈΠΌΠ΅ΡΡ ΠΌΠ½ΠΎΠ³ΠΎ ΡΠ°Π·Π½ΡΡ Π·Π½Π°ΡΠ΅Π½ΠΈΠΉ, ΠΈΡΡ ΠΎΠ΄ΡΡΠΈΡ ΠΈΠ· ΡΠΈΡΠΌΠ°. ΠΡΠΎ ΠΏΠΎΠΌΠΎΠ³Π°Π΅Ρ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·ΠΈΡΠΎΠ²Π°ΡΡ ΠΎΡΡΠ°Π»ΡΠ½ΡΠ΅ Π΄Π°Π½Π½ΡΠ΅ ΠΊΠ°ΠΊ Π΅Π΄ΠΈΠ½ΠΎΠ΅ ΡΠ΅Π»ΠΎΠ΅. ΠΡΠΎ Π΄Π°ΡΡ Π²Π°ΠΌ ΠΏΡΠ΅Π΄ΡΡΠ°Π²Π»Π΅Π½ΠΈΠ΅ ΠΎ ΠΏΡΠΎΡΠ΅Π½ΡΠ΅ ΠΎΡΡΠ°Π»ΡΠ½ΡΡ ΡΠΎΠ±ΡΡΠΈΠΉ.
Π’Π΅ΠΏΠ΅ΡΡ, ΠΊΠΎΠ³Π΄Π° ΠΌΡ Π·Π°ΠΊΠΎΠ½ΡΠΈΠ»ΠΈ Π½Π°ΡΡΡΠΎΠΉΠΊΡ Π²ΠΊΠ»Π°Π΄ΠΊΠΈ Π΄Π°Π½Π½ΡΡ , ΠΏΠ΅ΡΠ΅ΠΉΠ΄Π΅ΠΌ ΠΊ Π²ΠΊΠ»Π°Π΄ΠΊΠ΅ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΎΠ²
ΠΡ Π΄ΠΎΠ»ΠΆΠ½Ρ ΡΠΎΠ²Π΅ΡΡΠΈΡΡ ΡΠ»Π΅Π΄ΡΡΡΠΈΠ΅:
** Π£Π΄Π°Π»ΠΈΡΠ΅ ΡΠΎΡΠΌΡ ΠΏΠΎΠ½ΡΠΈΠΊΠ°, ΡΡΠΎΠ±Ρ Π½Π° Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ ΠΏΠΎΡΠ²ΠΈΠ»ΡΡ ΠΏΠΎΠ»Π½ΡΠΉ ΠΊΡΡΠ³.
** ΠΡΠ±Π΅ΡΠΈΡΠ΅ ΠΏΠΎΠ·ΠΈΡΠΈΡ Π»Π΅Π³Π΅Π½Π΄Ρ, ΠΊΠΎΡΠΎΡΠ°Ρ Π²Π°ΠΌ Π½ΡΠ°Π²ΠΈΡΡΡ. Π ΡΡΠΎΠΌ ΡΠ»ΡΡΠ°Π΅ ΠΌΡ ΠΎΡΠΎΠ±ΡΠ°Π·ΠΈΠΌ ΠΈΡ ΡΠΏΡΠ°Π²Π°.
** Π£ΡΡΠ°Π½ΠΎΠ²ΠΈΡΠ΅ Π·Π½Π°ΡΠ΅Π½ΠΈΡ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ΅Π½ΠΈΡ, ΡΡΠΎΠ±Ρ ΠΎΠ½ΠΈ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°Π»ΠΈΡΡ ΡΡΠ΄ΠΎΠΌ Ρ ΠΈΡ ΡΡΠ°Π³ΠΌΠ΅Π½ΡΠΎΠΌ Π΄Π»Ρ ΠΎΠ±Π»Π΅Π³ΡΠ΅Π½ΠΈΡ ΡΡΠ΅Π½ΠΈΡ, Π° ΠΎΡΡΠ°Π»ΡΠ½ΡΠ΅ ΠΎΡΡΠ°Π²ΡΡΠ΅ ΠΏΠΎ ΡΠΌΠΎΠ»ΡΠ°Π½ΠΈΡ
Π£ΡΠ΅ΡΠ΅Π½ΠΈΠ΅ ΠΎΠΏΡΠ΅Π΄Π΅Π»ΡΠ΅Ρ, ΡΠΊΠΎΠ»ΡΠΊΠΎ Π²Ρ Ρ ΠΎΡΠΈΡΠ΅ ΠΎΡΠΎΠ±ΡΠ°Π·ΠΈΡΡ ΠΈΠ· ΠΈΠΌΠ΅Π½ΠΈ ΡΠΎΠ±ΡΡΠΈΡ.
Π£ΡΡΠ°Π½ΠΎΠ²ΠΈΡΠ΅ Π²ΡΠ΅ΠΌΡ, Ρ ΠΊΠΎΡΠΎΡΠΎΠ³ΠΎ Π΄ΠΎΠ»ΠΆΠ½Π° Π½Π°ΡΠΈΠ½Π°ΡΡΡΡ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡ, Π° Π·Π°ΡΠ΅ΠΌ ΡΠ΅Π»ΠΊΠ½ΠΈΡΠ΅ ΡΠΈΠ½ΠΈΠΉ ΠΊΠ²Π°Π΄ΡΠ°Ρ.
Π£ Π²Π°Ρ Π΄ΠΎΠ»ΠΆΠ½ΠΎ ΠΏΠΎΠ»ΡΡΠΈΡΡΡΡ Π½Π΅ΡΡΠΎ ΠΏΠΎΠ΄ΠΎΠ±Π½ΠΎΠ΅:
ΠΡ ΡΠ°ΠΊΠΆΠ΅ ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄ΠΎΠ±Π°Π²ΠΈΡΡ ΡΠΈΠ»ΡΡΡ ΠΊ ΡΠ²ΠΎΠ΅ΠΉ Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΈ, ΡΡΠΎΠ±Ρ ΠΎΡΡΠΈΠ»ΡΡΡΠΎΠ²Π°ΡΡ ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½Π½ΡΠΉ Ρ ΠΎΡΡ, ΠΊΠΎΡΠΎΡΡΠΉ Π²Ρ Ρ ΠΎΡΠΈΡΠ΅ ΠΏΡΠΎΠ²Π΅ΡΠΈΡΡ, ΠΈΠ»ΠΈ Π»ΡΠ±ΡΠ΅ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΡ, ΠΊΠΎΡΠΎΡΡΠ΅, ΠΏΠΎ Π²Π°ΡΠ΅ΠΌΡ ΠΌΠ½Π΅Π½ΠΈΡ, ΠΏΠΎΠ»Π΅Π·Π½Ρ Π΄Π»Ρ Π²Π°ΡΠ΅ΠΉ ΡΠ΅Π»ΠΈ. ΠΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡ Π±ΡΠ΄Π΅Ρ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°ΡΡ ΡΠΎΠ»ΡΠΊΠΎ Π΄Π°Π½Π½ΡΠ΅, ΡΠΎΠΎΡΠ²Π΅ΡΡΡΠ²ΡΡΡΠΈΠ΅ ΠΏΡΠ°Π²ΠΈΠ»Ρ, ΠΏΠΎΠΌΠ΅ΡΠ΅Π½Π½ΠΎΠΌΡ Π² ΡΠΈΠ»ΡΡΡ. Π ΡΡΠΎΠΌ ΡΠ»ΡΡΠ°Π΅ ΠΌΡ Π±ΡΠ΄Π΅ΠΌ ΠΎΡΠΎΠ±ΡΠ°ΠΆΠ°ΡΡ Π΄Π°Π½Π½ΡΠ΅ MITER ATT & CK, ΠΏΠΎΡΡΡΠΏΠ°ΡΡΠΈΠ΅ ΡΠΎΠ»ΡΠΊΠΎ Ρ Ρ ΠΎΡΡΠ° Ρ ΠΈΠΌΠ΅Π½Π΅ΠΌ win10.
3β2- Π‘ΠΎΠ·Π΄Π°Π½ΠΈΠ΅ Π²Π°ΡΠ΅ΠΉ ΠΏΠ΅ΡΠ²ΠΎΠΉ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΠΎΠ½Π½ΠΎΠΉ ΠΏΠ°Π½Π΅Π»ΠΈ:
ΠΠ°Π½Π΅Π»Ρ ΠΌΠΎΠ½ΠΈΡΠΎΡΠΈΠ½Π³Π° β ΡΡΠΎ Π½Π°Π±ΠΎΡ ΠΌΠ½ΠΎΠΆΠ΅ΡΡΠ²Π° Π²ΠΈΠ·ΡΠ°Π»ΠΈΠ·Π°ΡΠΈΠΉ. ΠΠ°ΡΠΈ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΠΎΠ½Π½ΡΠ΅ ΠΏΠ°Π½Π΅Π»ΠΈ Π΄ΠΎΠ»ΠΆΠ½Ρ Π±ΡΡΡ ΡΡΠ½ΡΠΌΠΈ, ΠΏΠΎΠ½ΡΡΠ½ΡΠΌΠΈ ΠΈ ΡΠΎΠ΄Π΅ΡΠΆΠ°ΡΡ ΠΏΠΎΠ»Π΅Π·Π½ΡΠ΅ ΠΈ Π΄Π΅ΡΠ΅ΡΠΌΠΈΠ½ΠΈΡΠΎΠ²Π°Π½Π½ΡΠ΅ Π΄Π°Π½Π½ΡΠ΅. ΠΠΎΡ ΠΏΡΠΈΠΌΠ΅Ρ Π΄Π°ΡΠ±ΠΎΡΠ΄ΠΎΠ², ΠΊΠΎΡΠΎΡΡΠ΅ ΠΌΡ ΡΠΎΠ·Π΄Π°Π»ΠΈ Ρ Π½ΡΠ»Ρ Π΄Π»Ρ winlogbeat.
Π‘ΠΏΠ°ΡΠΈΠ±ΠΎ Π·Π° ΡΠ΄Π΅Π»Π΅Π½Π½ΠΎΠ΅ Π²ΡΠ΅ΠΌΡ. ΠΠ°Π΄Π΅ΡΡΡ, ΡΡΠ° ΡΡΠ°ΡΡΡ Π±ΡΠ»Π° Π²Π°ΠΌ ΠΏΠΎΠ»Π΅Π·Π½Π°. ΠΡΠ»ΠΈ Π²Ρ Ρ
ΠΎΡΠΈΡΠ΅ ΠΏΠΎΠ»ΡΡΠΈΡΡ Π±ΠΎΠ»Π΅Π΅ ΠΏΠΎΠ΄ΡΠΎΠ±Π½ΡΡ ΠΈΠ½ΡΠΎΡΠΌΠ°ΡΠΈΡ ΠΏΠΎ ΡΠ΅ΠΌΠ΅, ΠΌΡ ΡΠ΅ΠΊΠΎΠΌΠ΅Π½Π΄ΡΠ΅ΠΌ Π²Π°ΠΌ ΠΏΠΎΡΠ΅ΡΠΈΡΡ
Π’Π΅Π»Π΅Π³ΡΠ°ΠΌ ΡΠ°Ρ ΠΏΠΎ Elasticsearch:
ΠΡΡΠΎΡΠ½ΠΈΠΊ: habr.com