Как ELK помага на инженерите по сигурността да се борят с атаките на уебсайтове и да спят спокойно

Нашият център за киберотбрана отговаря за сигурността на уеб инфраструктурата на клиента и отблъсква атаки към клиентски сайтове. За да се предпазим от атаки, ние използваме защитни стени за уеб приложения FortiWeb (WAF). Но дори и най-готиният WAF не е панацея и не защитава "извън кутията" от целенасочени атаки. 

Следователно, в допълнение към WAF, ние използваме ELK. Той помага да се съберат всички събития на едно място, натрупва статистика, визуализира я и ни позволява да видим целенасочена атака навреме.

Днес ще ви разкажа по-подробно как пресякохме коледната елха с WAF и какво се получи от това.

Историята на една атака: как работи всичко преди да преминете към ELK

В нашия облак клиентът е внедрил приложението зад нашия WAF. От 10 000 до 100 000 потребители, свързани към сайта на ден, броят на връзките достигна 20 милиона на ден. От тях 3-5 потребители са били нарушители и са се опитали да хакнат сайта. 

Обичайната груба сила от един IP адрес беше блокирана от FortiWeb доста лесно. Броят посещения на сайта на минута беше по-висок от този на законните потребители. Просто зададохме прагове на активност от един адрес и отблъснахме атаката.

Много по-трудно е да се справите с "бавните атаки", когато нападателите действат бавно и се маскират като обикновени клиенти. Те използват много уникални IP адреси. Такава дейност не изглеждаше като масивна груба сила за WAF, беше по-трудно да се проследи автоматично. Освен това имаше риск от блокиране на нормални потребители. Потърсихме други признаци на атака и създадохме политика за автоматично блокиране на IP адреси въз основа на този знак. Например много нелегитимни сесии имаха общи полета в заглавките на http заявките. Често трябваше да търсите такива полета ръчно в журналите на събитията на FortiWeb. 

Стана дълго и неудобно. В стандартната функционалност на FortiWeb събитията се записват в текст в 3 различни журнала: открити атаки, информация за заявки и системни съобщения за работа на WAF. Десетки или дори стотици атаки могат да дойдат за минута.

Не толкова много, но трябва ръчно да преминете през няколко журнала и да повторите много редове: 

В регистъра на атаките виждаме потребителските адреси и естеството на дейността. 
 
Не е достатъчно просто да сканирате журналната таблица. За да намерите най-интересното и полезно за естеството на атаката, трябва да погледнете вътре в конкретно събитие:

Маркираните полета помагат за откриване на "бавна атака". Източник: екранна снимка от Уеб сайт на Fortinet. 

Е, основният проблем е, че само специалист на FortiWeb може да го разбере. Ако през работното време все още можехме да проследяваме подозрителна дейност в реално време, тогава разследването на нощните инциденти може да се забави. Когато правилата на FortiWeb не работят по някаква причина, дежурните инженери на нощна смяна не могат да оценят ситуацията без достъп до WAF и събуждат специалиста на FortiWeb. Няколко часа преглеждахме дневниците и открихме момента на нападението. 

С такива обеми информация е трудно да се разбере голямата картина с един поглед и да се действа проактивно. Тогава решихме да съберем данни на едно място, за да анализираме всичко във визуална форма, да открием началото на атаката, да идентифицираме нейната посока и метод на блокиране. 

Какво беше избрано

На първо място, разгледахме вече използвани решения, за да не умножаваме ненужно обекти.

Един от първите варианти беше Nagiosкоито използваме за наблюдение инженерна инфраструктура, мрежова инфраструктура, спешни сигнали. Охранителите също го използват, за да уведомят придружителите в случай на съмнителен трафик, но той не знае как да събира разпръснатите трупи и затова изчезва. 

Имаше вариант всичко да се обедини MySQL и PostgreSQL или друга релационна база данни. Но за да извадите данните, беше необходимо да изваяте приложението си. 

Като събирач на трупи в нашата компания също използват FortiAnalyzer от Fortinet. Но в този случай той също не се вписваше. Първо, той е по-заточен за работа със защитна стена FortiGate. Второ, много настройки липсваха и взаимодействието с него изискваше отлично познаване на SQL заявките. И трето, използването му би оскъпило услугата за клиента.   

Ето как стигнахме до отворен код в лицето ELK. 

Защо да изберете ELK 

ELK е набор от програми с отворен код:

• Elasticsearch - база данни от времеви редове, която току-що беше създадена за работа с големи обеми текст;
• Logstash – механизъм за събиране на данни, който може да конвертира регистрационни файлове в желания формат; 
• Kibana - добър визуализатор, както и доста приятелски интерфейс за управление на Elasticsearch. Можете да го използвате, за да съставите графици, които могат да се наблюдават от дежурните инженери през нощта. 

Входният праг за ELK е нисък. Всички основни функции са безплатни. Какво друго е необходимо за щастие.

Как събрахте всичко това в една система?

Създадени индекси и оставена само необходимата информация. Заредихме и трите журнала на FortiWEB в ELK - изходът беше индекси. Това са файлове с всички събрани журнали за период, например ден. Ако ги визуализирахме веднага, щяхме да видим само динамиката на атаките. За подробности трябва да „пропаднете“ във всяка атака и да разгледате конкретни полета.

Разбрахме, че първо трябва да настроим анализирането на неструктурирана информация. Взехме дълги полета като низове, като „Съобщение“ и „URL“, и ги анализирахме, за да получим повече информация за вземане на решения. 

Например, използвайки синтактичен анализ, отделихме местоположението на потребителя отделно. Това помогна незабавно да се подчертаят атаките от чужбина срещу сайтове за руски потребители. Като блокирахме всички връзки от други страни, ние намалихме броя на атаките с 2 пъти и можехме лесно да се справим с атаките в Русия. 

След разбора те започнаха да търсят каква информация да съхраняват и визуализират. Оставянето на всичко в дневника беше неподходящо: размерът на един индекс беше голям - 7 GB. ELK отне много време да обработи файла. Не цялата информация обаче беше полезна. Нещо беше дублирано и заемаше допълнително място - беше необходимо да се оптимизира. 

Първоначално просто прегледахме индекса и премахнахме ненужните събития. Това се оказа още по-неудобно и по-дълго от работата с логове на самия FortiWeb. Единственият плюс от "Коледната елха" на този етап е, че успяхме да визуализираме голям период от време на един екран. 

Не се отчаяхме, продължихме да ядем кактуса и да изучаваме ELK и вярвахме, че ще успеем да извлечем необходимата информация. След почистване на индексите започнахме да визуализираме какво е. Така стигнахме до големи табла за управление. Пуснахме джаджи - визуално и елегантно, истинска ЁLКа! 

Уловен моментът на нападението. Сега беше необходимо да разберем как изглежда началото на атаката на графиката. За да го открием, разгледахме отговорите на сървъра към потребителя (кодове за връщане). Интересувахме се от отговори на сървъра с такива кодове (rc): 

Код (rc)

Име

описание

0

Капка

Заявката към сървъра е блокирана

200

Ok

Заявката е обработена успешно

400

Неправилна заявка

Неправилна заявка

403

забранен

Упълномощаването е отказано

500

Вътрешна грешка в сървъра

Услугата е недостъпна

Ако някой започне да атакува сайта, съотношението на кодовете се променя: 

• Ако имаше повече грешни заявки с код 400 и същия брой нормални заявки с код 200, значи някой се опитваше да хакне сайта. 
• Ако в същото време заявките с код 0 също нараснаха, тогава политиците на FortiWeb също "видяха" атаката и приложиха блокове към нея. 
• Ако броят на съобщенията с код 500 се увеличи, тогава сайтът не е достъпен за тези IP адреси - също вид блокиране. 

До третия месец бяхме създали табло за проследяване на тази дейност.

За да не следим всичко ръчно, ние настроихме интеграция с Nagios, която анкетира ELK на определени интервали. Ако регистрира постигането на прагови стойности по кодове, изпраща известие до дежурните служители за подозрителна дейност. 

Комбинирани 4 графики в системата за мониторинг. Сега беше важно да се види на графиките момента, в който атаката не е блокирана и е необходима намесата на инженер. На 4 различни графики окото ни беше замъглено. Затова комбинирахме графиките и започнахме да наблюдаваме всичко на един екран.

При наблюдение наблюдавахме как се променят графики с различни цветове. Изблик на червено показва, че атаката е започнала, докато оранжевите и сини графики показват реакцията на FortiWeb:

Тук всичко е наред: имаше скок на „червена“ активност, но FortiWeb се ​​справи и графикът за атака се провали.

Ние също така начертахме за себе си пример за графика, която изисква намеса:

Тук можем да видим, че FortiWeb има повишена активност, но червената графика на атаките не е намаляла. Трябва да промените настройките на WAF.

Разследването на нощни инциденти също стана по-лесно. Графиката веднага показва момента, в който е време да се пристъпи към защита на сайта. 

Това понякога се случва през нощта. Червена графика - атаката е започнала. Синьо - активност на FortiWeb. Атаката не беше напълно блокирана, трябваше да се намесим.

Къде отиваме

Сега обучаваме дежурни администратори за работа с ELK. Служителите се научават да оценяват ситуацията на таблото за управление и да вземат решение: време е да ескалира до специалист на FortiWeb или политиките на WAF ще бъдат достатъчни, за да отблъснат автоматично атаката. Така намаляваме натоварването на инженерите по информационна сигурност през нощта и разделяме ролите в поддръжката на системно ниво. Достъпът до FortiWeb остава само с центъра за киберзащита и само те правят промени в настройките на WAF, когато е необходимо спешно.

Работим и по отчитане за клиенти. Планираме данните за динамиката на работата на WAF да бъдат достъпни в личния акаунт на клиента. ELK ще направи ситуацията по-ясна, без да е необходимо да се позовавате на самия WAF.

Ако клиентът иска да следи собствената си защита в реално време, ELK също ще бъде полезен. Не можем да дадем достъп до WAF, тъй като намесата на клиента в работата може да повлияе на останалото. Но можете да вземете отделен ELK и да го дадете да си „играете“. 

Това са сценариите за използване на коледната елха, които натрупахме напоследък. Споделете вашите мисли по този въпрос и не забравяйте настройте всичко правилноза да избегнете изтичане на база данни. 

Източник: www.habr.com