Π‘Π»Π΅Π΄ΠΈΠΌ Π·Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Alerting OpenDistro for Elasticsearch

БСгодня Π²ΠΎΠ·Π½ΠΈΠΊΠ»Π° ΠΏΠΎΡ‚Ρ€Π΅Π±Π½ΠΎΡΡ‚ΡŒ Π² ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΠ½Π³Π΅ ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠΉ ΠΎΠΏΡ€Π΅Π΄Π΅Π»Π΅Π½Π½Ρ‹Ρ… Ρ„Π°ΠΉΠ»ΠΎΠ² Π½Π° сСрвСрС, сущСствуСт ΠΌΠ½ΠΎΠ³ΠΎ Ρ€Π°Π·Π½Ρ‹Ρ… способов Π½Π°ΠΏΡ€ΠΈΠΌΠ΅Ρ€ osquery ΠΎΡ‚ facebook, Π½ΠΎ Ρ‚Π°ΠΊ ΠΊΠ°ΠΊ Π½Π΅Π΄Π°Π²Π½ΠΎ я Π½Π°Ρ‡Π°Π» ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚ΡŒΡΡ Open Distro for Elasticsearch Ρ€Π΅ΡˆΠΈΠ» ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΡ‚ΡŒ Ρ„Π°ΠΉΠ»Ρ‹ эластиком, ΠΎΠ΄Π½ΠΈΠΌ ΠΈΠ· Π΅Π³ΠΎ beat’ΠΎΠ².

Установку Elastics stack ΠΈ Auditbeat ΠΎΠΏΠΈΡΡ‹Π²Π°Ρ‚ΡŒ Π½Π΅ Π±ΡƒΠ΄Ρƒ, всС ΠΏΠΎ ΠΌΠ°Π½ΡƒΠ°Π»Π°ΠΌ, СдинствСнноС, послС установки ΠΎΡ‚Ρ€Π΅Π΄Π°ΠΊΡ‚ΠΈΡ€ΡƒΠΉΡ‚Π΅ Ρ„Π°ΠΉΠ» auditbeat.yml, Π² ΠΌΠΎΠ΄ΡƒΠ»ΡŒ file_integrity Π΄ΠΎΠ±Π°Π²ΡŒΡ‚Π΅ ΠΏΡƒΡ‚ΡŒ ΠΊ отслСТиваСмому Ρ„Π°ΠΉΠ»Ρƒ.

ПослС настройки ΠΈ запуска Π² kibana появится индСкс auditbeat-*

Π‘Π»Π΅Π΄ΠΈΠΌ Π·Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Alerting OpenDistro for Elasticsearch

Π”Π°Π»Π΅Π΅ создаСм ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΠ½Π³, ΡƒΠΊΠ°Π·Ρ‹Π²Π°Π΅ΠΌ имя ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΠ½Π³Π°, ΠΈΠ½Ρ‚Π΅Ρ€Π²Π°Π» ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΊΠΈ, Π° Ρ‚Π°ΠΊ ΠΆΠ΅ Ρ‚ΠΈΠΏ ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΠ½Π³Π° ΠΈ Ρ„Π°ΠΉΠ» индСкса:

Π‘Π»Π΅Π΄ΠΈΠΌ Π·Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Alerting OpenDistro for Elasticsearch

Π² Define extraction query пишСм ΡΠ»Π΅Π΄ΡƒΡŽΡ‰Π΅Π΅:

Define extraction query

{
    "query": {
        "bool": {
            "must": [
                {
                    "match_phrase": {
                        "file.path": {
                            "query": "<ΠΏΡƒΡ‚ΡŒ/ΠΊ отслСТиваСмому Ρ„Π°ΠΉΠ»Ρƒ>"

                        }
                    }
                }
            ],
            "filter": [
                {
                    "term": {
                        "event.action": {
                            "value": "attributes_modified"    #измСнСния Π°Ρ‚Ρ€ΠΈΠ±ΡƒΡ‚ΠΎΠ², Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎ created  ΠΈΠ»ΠΈ deleted

                        }
                    }
                },
                {
                    "range": {
                        "@timestamp": {
                            "from": "now-1m" #ΠΏΠ΅Ρ€ΠΈΠΎΠ΄ Π·Π° ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ отслСТиваСм ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ 

                        }
                    }
                }
            ],
            "adjust_pure_negative": true,
            "boost": 1
        }
    }
}

ПослС Π½Π°ΠΆΠΈΠΌΠ°Π΅ΠΌ ΠΊΠ½ΠΎΠΏΠΊΡƒ Run ΠΈ провСряСм запрос, Π΄ΠΎΠ»ΠΆΠ½ΠΎ ΠΏΠΎΡΠ²ΠΈΡ‚ΡŒΡΡ Π²ΠΎΡ‚ Ρ‚Π°ΠΊΠΎΠ΅:

Π‘Π»Π΅Π΄ΠΈΠΌ Π·Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Alerting OpenDistro for Elasticsearch

ΠŸΡ€ΠΎΠ±ΡƒΠ΅ΠΌ ΠΈΠ·ΠΌΠ΅Π½ΠΈΡ‚ΡŒ Ρ†Π΅Π»Π΅Π²ΠΎΠΉ Ρ„Π°ΠΉΠ» ΠΈ ΠΎΠΏΡΡ‚ΡŒ Π·Π°ΠΏΡƒΡΡ‚ΠΈΡ‚ΡŒ запрос:

Π‘Π»Π΅Π΄ΠΈΠΌ Π·Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Alerting OpenDistro for Elasticsearch

ΠΊΠ°ΠΊ Π²ΠΈΠ΄ΠΈΡ‚Π΅ hits измСнился Π½Π° 2, Π½Π°ΠΆΠΈΠΌΠ°Π΅ΠΌ update ΠΈ создаСм Ρ‚Ρ€ΠΈΠ³Π΅Ρ€ Π½Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ значСния:

Π‘Π»Π΅Π΄ΠΈΠΌ Π·Π° ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ Ρ„Π°ΠΉΠ»ΠΎΠ² с ΠΏΠΎΠΌΠΎΡ‰ΡŒΡŽ Alerting OpenDistro for Elasticsearch

ΠžΡΡ‚Π°Π²Π»ΡΠ΅ΠΌ всС, ΠΊΠ°ΠΊ Π½Π° ΠΊΠ°Ρ€Ρ‚ΠΈΠ½ΠΊΠ΅.

Π”Π°Π»Π΅Π΅ ΠΌΠΎΠΆΠ½ΠΎ Π½Π°ΡΡ‚Ρ€ΠΎΠΈΡ‚ΡŒ увСдомлСния Π² slack ΠΈΠ»ΠΈ Π΄Ρ€ΡƒΠ³ΠΎΠΉ мСссСндТСр.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: habr.com