3. Еластичен стек: анализ на регистрационни файлове за сигурност. Табла за управление

В предишни статии се запознахме малко със стека на елк и настройката на конфигурационния файл на Logstash за анализатора на журнала. В тази статия ще преминем към най-важното нещо от аналитична гледна точка, какво искате да вижте от системата и за какво е създадено всичко - това са графики и таблици, комбинирани в табла за управление. Днес ще разгледаме по-отблизо системата за визуализация Kibana, ще разгледаме как да създаваме графики и таблици и в резултат ще изградим просто табло за управление, базирано на регистрационни файлове от защитната стена на Check Point.

Първата стъпка в работата с kibana е да създавате модел на индекса, логично това е база от индекси, обединени по определен принцип. Разбира се, това е чисто настройка, за да направи Kibana по-удобно да търси информация във всички индекси едновременно. Задава се чрез съпоставяне на низ, да речем “checkpoint-*” и името на индекса. Например „checkpoint-2019.12.05“ ще отговаря на шаблона, но просто „checkpoint“ вече не съществува. Струва си да се спомене отделно, че при търсене е невъзможно да се търси информация за различни модели на индекси едновременно; малко по-късно в следващите статии ще видим, че заявките за API се правят или по името на индекса, или само по един линия на шаблона, картината може да се кликне:

След това проверяваме в менюто Discover дали всички регистрационни файлове са индексирани и правилният анализатор е конфигуриран. Ако бъдат открити някакви несъответствия, например промяна на типа данни от низ на цяло число, трябва да редактирате конфигурационния файл на Logstash, в резултат на което новите регистрационни файлове ще бъдат записани правилно. За да могат старите регистрационни файлове да приемат желаната форма преди промяната, помага само процесът на преиндексиране; в следващите статии тази операция ще бъде разгледана по-подробно. Нека се уверим, че всичко е наред, снимката може да се кликне:

Дневниците са на мястото си, което означава, че можем да започнем да изграждаме табла за управление. Въз основа на анализа на таблата за управление от продукти за сигурност можете да разберете състоянието на информационната сигурност в организацията, ясно да видите уязвимостите в текущата политика и впоследствие да разработите начини за тяхното отстраняване. Нека изградим малко табло с помощта на няколко инструмента за визуализация. Таблото ще се състои от 5 компонента:

1. таблица за изчисляване на общия брой трупи по остриета
2. таблица за критични IPS подписи
3. кръгова диаграма за събития за предотвратяване на заплахи
4. диаграма на най-популярните посещавани сайтове
5. диаграма за използването на най-опасните приложения

За да създадете фигури за визуализация, трябва да отидете в менюто Визуализирайте, и избираме желаната фигура, която искаме да построим! Да вървим по ред.

Таблица за изчисляване на общия брой трупи по нож

За да направите това, изберете фигура Таблица с данни, попадаме в оборудването за създаване на графики, отляво са настройките на фигурата, отдясно как ще изглежда в текущите настройки. Първо ще демонстрирам как ще изглежда готовата таблица, след което ще преминем през настройките, картината може да се кликне:

По-подробни настройки на фигурата, картината може да се кликне:

Нека да разгледаме настройките.

Първоначално конфигуриран показател, това е стойността, по която ще бъдат обобщени всички полета. Метриките се изчисляват въз основа на стойности, извлечени по един или друг начин от документи. Стойностите обикновено се извличат от полета документ, но може да се генерира и с помощта на скриптове. В този случай поставяме Агрегиране: Брой (общ брой трупи).

След това разделяме таблицата на сегменти (полета), по които ще се изчислява метриката. Тази функция се изпълнява от настройката Buckets, която от своя страна се състои от 2 опции за настройка:

1. split rows - добавяне на колони и последващо разделяне на таблицата на редове
2. разделена таблица - разделяне на няколко таблици въз основа на стойностите на конкретно поле.

В кофи можете да добавите няколко раздела, за да създадете няколко колони или таблици, ограниченията тук са доста логични. При агрегиране можете да изберете кой метод ще се използва за разделяне на сегменти: ipv4 диапазон, период от време, условия и т.н. Най-интересният избор е именно условия и Значими термини, разделянето на сегменти се извършва според стойностите на конкретно индексно поле, разликата между тях е в броя на върнатите стойности и тяхното показване. Тъй като искаме да разделим таблицата по името на остриетата, избираме полето - продукт.ключова дума и задайте размера на 25 върнати стойности.

Вместо низове, elasticsearch използва 2 типа данни - текст и ключова дума. Ако искате да извършите пълнотекстово търсене, трябва да използвате типа текст, много удобно нещо, когато пишете вашата услуга за търсене, например, търсейки споменаване на дума в конкретна стойност на поле (текст). Ако искате само точно съвпадение, трябва да използвате типа ключова дума. Също така типът данни на ключова дума трябва да се използва за полета, които изискват сортиране или агрегиране, т.е. в нашия случай.

В резултат на това Elasticsearch отчита броя на регистрационните файлове за определено време, обобщени от стойността в полето за продукта. В Custom Label задаваме името на колоната, която ще се показва в таблицата, задаваме времето, за което да събираме логове, стартираме рендирането - Kibana изпраща заявка до elasticsearch, изчаква отговор и след това визуализира получените данни. Масата е готова!

Кръгова диаграма за събития за предотвратяване на заплахи

Особено интересна е информацията колко реакции има като процент откриване и предотвратяване на относно инциденти със сигурността на информацията в настоящата политика за сигурност. Кръгова диаграма работи добре за тази ситуация. Изберете в Visualize - Кръгова диаграма. Също така в метриката задаваме агрегиране по броя на регистрационните файлове. В кофи поставяме Условия => действие.

Всичко изглежда правилно, но резултатът показва стойности за всички остриета; трябва да филтрирате само по онези остриета, които работят в рамките на предотвратяването на заплахи. Затова определено го настроихме филтър за да търсите информация само за блейдове, отговорни за инциденти със сигурността на информацията - продукт: (“Anti-Bot” ИЛИ “Нов антивирус” ИЛИ “DDoS Protector” ИЛИ “SmartDefense” ИЛИ “Threat Emulation”). Снимката може да се кликне:

И по-подробни настройки, картината може да се кликне:

Таблица на IPS събития

На следващо място, много важно от гледна точка на информационната сигурност е прегледът и проверката на събития на блейд. IPS и Емулация на заплахиче не са блокирани текущата политика, за да промените впоследствие или подписа за предотвратяване, или ако трафикът е валиден, не проверявайте подписа. Създаваме таблицата по същия начин, както в първия пример, с единствената разлика, че създаваме няколко колони: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. Не забравяйте да настроите филтър, за да търсите информация само за блейдове, отговорни за инциденти със сигурността на информацията - продукт: („SmartDefense“ ИЛИ „Емулация на заплахи“). Снимката може да се кликне:

По-подробни настройки, снимката може да се кликне:

Графики за най-популярните посещавани сайтове

За да направите това, създайте фигура - Вертикална лента. Ние също използваме брой (ос Y) като метрика, а на оста X ще използваме името на посетените сайтове като стойности – „appi_name“. Тук има малък трик: ако стартирате настройките в текущата версия, тогава всички сайтове ще бъдат маркирани на диаграмата с един и същи цвят, за да ги направим многоцветни, използваме допълнителна настройка - „разделена серия“, което ви позволява да разделите готова колона на още няколко стойности, в зависимост от избраното поле разбира се! Самото това разделение може да се използва или като една многоцветна колона според стойностите в подреден режим, или в нормален режим, за да се създадат няколко колони според определена стойност на оста X. В този случай тук използваме същата стойност като на оста X, това прави възможно всички колони да бъдат многоцветни; те ще бъдат обозначени с цветове горе вдясно. Във филтъра, който сме задали - продукт: “URL Filtering” за да видите информация само за посетените сайтове, картинката може да се кликне:

Настройки:

Диаграма за използването на най-опасните приложения

За да направите това, създайте фигура - вертикална лента. Също така използваме count (ос Y) като метрика, а на оста X ще използваме името на използваните приложения - “appi_name” като стойности. Най-важната е настройката на филтъра - продукт: „Контрол на приложението“ И app_risk: (4 ИЛИ 5 ИЛИ 3 ) И действие: „приемам“. Ние филтрираме регистрационните файлове чрез блейда за контрол на приложението, като вземаме само онези сайтове, които са категоризирани като сайтове с критичен, висок, среден риск и само ако достъпът до тези сайтове е разрешен. Снимката може да се кликне:

Настройки, с възможност за кликване:

Табло

Прегледът и създаването на табла за управление е в отделен елемент от менюто - Табло. Тук всичко е просто, създава се ново табло, добавя се визуализация към него, поставя се на мястото му и това е!

Създаваме табло за управление, чрез което можете да разберете основната ситуация на състоянието на информационната сигурност в организацията, разбира се, само на ниво Check Point, картината може да се кликне:

Въз основа на тези графики можем да разберем кои критични подписи не са блокирани на защитната стена, къде отиват потребителите и кои са най-опасните приложения, които използват.

Заключение

Разгледахме възможностите на основната визуализация в Kibana и изградихме табло за управление, но това е само малка част. По-нататък в курса ще разгледаме отделно настройването на карти, работата със системата elasticsearch, запознаването с API заявките, автоматизацията и много други!

Така че останете на линияTelegram, Facebook, VK, Блог за TS Solution), Yandex Zen.

Източник: www.habr.com