3. ইলাস্টিক স্ট্যাক: নিরাপত্তা লগ বিশ্লেষণ. ড্যাশবোর্ড

পূর্ববর্তী নিবন্ধগুলিতে, আমরা এলক স্ট্যাকের সাথে একটু পরিচিত হয়েছি এবং লগ পার্সারের জন্য লগস্ট্যাশ কনফিগারেশন ফাইল সেট আপ করেছি৷ এই নিবন্ধে, আমরা বিশ্লেষণাত্মক দৃষ্টিকোণ থেকে সবচেয়ে গুরুত্বপূর্ণ বিষয়ের দিকে এগিয়ে যাব, আপনি কী করতে চান৷ সিস্টেম থেকে দেখুন এবং সবকিছু কিসের জন্য তৈরি করা হয়েছিল - এইগুলি গ্রাফ এবং টেবিলগুলি একত্রিত ড্যাশবোর্ড. আজ আমরা ভিজ্যুয়ালাইজেশন সিস্টেমটি ঘনিষ্ঠভাবে দেখব Kibana, আমরা কীভাবে গ্রাফ এবং টেবিল তৈরি করতে হয় তা দেখব এবং ফলস্বরূপ আমরা চেক পয়েন্ট ফায়ারওয়াল থেকে লগের উপর ভিত্তি করে একটি সাধারণ ড্যাশবোর্ড তৈরি করব।

কিবানার সাথে কাজ করার প্রথম ধাপটি তৈরি করা সূচক প্যাটার্ন, যৌক্তিকভাবে, এটি একটি নির্দিষ্ট নীতি অনুসারে একত্রিত সূচকগুলির একটি ভিত্তি। অবশ্যই, এটি কিবানাকে একই সময়ে সমস্ত সূচকে তথ্যের জন্য আরও সুবিধাজনকভাবে অনুসন্ধান করার জন্য একটি সেটিং। এটি একটি স্ট্রিং মিলে সেট করা হয়, বলুন "চেকপয়েন্ট-*" এবং সূচকের নাম। উদাহরণস্বরূপ, "চেকপয়েন্ট-2019.12.05" প্যাটার্নের সাথে মানানসই হবে, কিন্তু কেবলমাত্র "চেকপয়েন্ট" আর বিদ্যমান নেই। এটি আলাদাভাবে উল্লেখ করার মতো যে অনুসন্ধানে একই সময়ে বিভিন্ন সূচক প্যাটার্নের তথ্য অনুসন্ধান করা অসম্ভব; একটু পরে পরবর্তী নিবন্ধগুলিতে আমরা দেখতে পাব যে API অনুরোধগুলি হয় সূচকের নামে বা শুধুমাত্র একটি দ্বারা করা হয়। প্যাটার্নের লাইন, ছবিটি ক্লিকযোগ্য:

এর পরে, আমরা আবিষ্কার মেনুতে চেক করি যে সমস্ত লগ ইনডেক্স করা হয়েছে এবং সঠিক পার্সার কনফিগার করা হয়েছে। যদি কোনো অসঙ্গতি পাওয়া যায়, উদাহরণস্বরূপ, একটি স্ট্রিং থেকে একটি পূর্ণসংখ্যাতে ডেটা টাইপ পরিবর্তন করা হলে, আপনাকে Logstash কনফিগারেশন ফাইলটি সম্পাদনা করতে হবে, ফলস্বরূপ, নতুন লগগুলি সঠিকভাবে লেখা হবে। পরিবর্তনের আগে পুরানো লগগুলি কাঙ্খিত আকার ধারণ করার জন্য, শুধুমাত্র পুনঃসূচীকরণ প্রক্রিয়া সাহায্য করে; পরবর্তী নিবন্ধগুলিতে এই অপারেশনটি আরও বিশদে আলোচনা করা হবে। আসুন নিশ্চিত করি যে সবকিছু ঠিক আছে, ছবিটি ক্লিকযোগ্য:

লগগুলি জায়গায় আছে, যার মানে আমরা ড্যাশবোর্ড তৈরি করা শুরু করতে পারি। নিরাপত্তা পণ্য থেকে ড্যাশবোর্ডের বিশ্লেষণের উপর ভিত্তি করে, আপনি একটি সংস্থার তথ্য সুরক্ষার অবস্থা বুঝতে পারেন, বর্তমান নীতিতে দুর্বলতাগুলি স্পষ্টভাবে দেখতে পারেন এবং পরবর্তীতে সেগুলি দূর করার উপায়গুলি বিকাশ করতে পারেন৷ চলুন কয়েকটি ভিজ্যুয়ালাইজেশন টুল ব্যবহার করে একটি ছোট ড্যাশবোর্ড তৈরি করি। ড্যাশবোর্ডে 5টি উপাদান থাকবে:

1. ব্লেড দ্বারা মোট লগ সংখ্যা গণনার জন্য টেবিল
2. সমালোচনামূলক আইপিএস স্বাক্ষরের টেবিল
3. থ্রেট প্রিভেনশন ইভেন্টের জন্য পাই চার্ট
4. সবচেয়ে জনপ্রিয় ভিজিট করা সাইটের তালিকা
5. সবচেয়ে বিপজ্জনক অ্যাপ্লিকেশন ব্যবহারের উপর চার্ট

ভিজ্যুয়ালাইজেশন পরিসংখ্যান তৈরি করতে, আপনাকে মেনুতে যেতে হবে ঠাহর করা, এবং আমরা তৈরি করতে চাই যে পছন্দসই চিত্র নির্বাচন করুন! এর ক্রমানুযায়ী যান.

ব্লেড দ্বারা মোট লগ সংখ্যা গণনার জন্য টেবিল

এটি করার জন্য, একটি চিত্র নির্বাচন করুন ডাটা টেবিল, আমরা গ্রাফ তৈরি করার সরঞ্জামের মধ্যে পড়েছি, বামদিকে চিত্রের সেটিংস রয়েছে, ডানদিকে বর্তমান সেটিংসে এটি কেমন দেখাবে। প্রথমে, আমি প্রদর্শন করব সমাপ্ত টেবিলটি কেমন হবে, তারপরে আমরা সেটিংসের মাধ্যমে যাব, ছবিটি ক্লিকযোগ্য:

চিত্রের আরও বিশদ সেটিংস, ছবিটি ক্লিকযোগ্য:

এর সেটিংস দেখে নেওয়া যাক।

প্রাথমিকভাবে কনফিগার করা হয়েছে মেট্রিক্স, এটি সেই মান যার দ্বারা সমস্ত ক্ষেত্র একত্রিত হবে। নথি থেকে এক বা অন্য উপায়ে বের করা মানগুলির উপর ভিত্তি করে মেট্রিক্স গণনা করা হয়। মান সাধারণত থেকে বের করা হয় ক্ষেত্রের নথি, কিন্তু স্ক্রিপ্ট ব্যবহার করে তৈরি করা যেতে পারে। এই ক্ষেত্রে আমরা রাখি সমষ্টি: গণনা (লগের মোট সংখ্যা)।

এর পরে, আমরা টেবিলটিকে সেগমেন্টে (ক্ষেত্র) ভাগ করি যার দ্বারা মেট্রিক গণনা করা হবে। এই ফাংশনটি বালতি সেটিং দ্বারা সঞ্চালিত হয়, যার ফলে 2টি সেটিংস বিকল্প রয়েছে:

1. বিভক্ত সারি - কলাম যোগ করা এবং পরবর্তীতে সারিগুলিতে টেবিল বিভক্ত করা
2. বিভক্ত টেবিল - একটি নির্দিষ্ট ক্ষেত্রের মানগুলির উপর ভিত্তি করে কয়েকটি টেবিলে বিভক্ত।

В বাকেট আপনি বেশ কয়েকটি কলাম বা টেবিল তৈরি করতে বিভিন্ন বিভাগ যোগ করতে পারেন, এখানে সীমাবদ্ধতাগুলি বরং যৌক্তিক। সমষ্টিগতভাবে, আপনি বেছে নিতে পারেন কোন পদ্ধতিটি সেগমেন্টে বিভক্ত করতে ব্যবহার করা হবে: ipv4 পরিসর, তারিখ পরিসীমা, শর্তাবলী ইত্যাদি। সবচেয়ে আকর্ষণীয় পছন্দ অবিকল হয় শর্তাবলী и তাৎপর্যপূর্ণ শর্তাবলী, বিভাগগুলিতে বিভাজন একটি নির্দিষ্ট সূচক ক্ষেত্রের মান অনুসারে সঞ্চালিত হয়, তাদের মধ্যে পার্থক্যটি প্রত্যাবর্তিত মানগুলির সংখ্যা এবং তাদের প্রদর্শনের মধ্যে রয়েছে। যেহেতু আমরা টেবিলটিকে ব্লেডের নামে ভাগ করতে চাই, আমরা ক্ষেত্রটি নির্বাচন করি - পণ্য.কীওয়ার্ড এবং সাইজটি 25 রিটার্ন করা মান সেট করুন।

স্ট্রিং এর পরিবর্তে, ইলাস্টিক সার্চ 2টি ডেটা প্রকার ব্যবহার করে - পাঠ и শব্দ. আপনি যদি একটি পূর্ণ-পাঠ্য অনুসন্ধান করতে চান, আপনার টেক্সট টাইপ ব্যবহার করা উচিত, আপনার অনুসন্ধান পরিষেবা লেখার সময় একটি খুব সুবিধাজনক জিনিস, উদাহরণস্বরূপ, একটি নির্দিষ্ট ক্ষেত্রের মান (টেক্সট) এ একটি শব্দের উল্লেখ খুঁজছেন৷ আপনি যদি শুধুমাত্র একটি সঠিক মিল চান, তাহলে আপনার কীওয়ার্ড প্রকার ব্যবহার করা উচিত। এছাড়াও, কীওয়ার্ড ডেটা টাইপ এমন ক্ষেত্রে ব্যবহার করা উচিত যেগুলির জন্য বাছাই বা একত্রিতকরণের প্রয়োজন হয়, অর্থাৎ আমাদের ক্ষেত্রে।

ফলস্বরূপ, Elasticsearch একটি নির্দিষ্ট সময়ের জন্য লগের সংখ্যা গণনা করে, পণ্য ক্ষেত্রের মান দ্বারা একত্রিত করে। কাস্টম লেবেলে, আমরা কলামের নাম সেট করি যা টেবিলে প্রদর্শিত হবে, আমরা যে সময় লগ সংগ্রহ করব তা সেট করি, রেন্ডারিং শুরু করি - কিবানা ইলাস্টিক সার্চের জন্য একটি অনুরোধ পাঠায়, একটি প্রতিক্রিয়ার জন্য অপেক্ষা করে এবং তারপর প্রাপ্ত ডেটা ভিজ্যুয়ালাইজ করে। টেবিল প্রস্তুত!

থ্রেট প্রিভেনশন ইভেন্টের জন্য পাই চার্ট

শতাংশ হিসাবে কতগুলি প্রতিক্রিয়া রয়েছে সে সম্পর্কে তথ্য বিশেষ আগ্রহের বিষয় সনাক্ত и প্রতিরোধ বর্তমান নিরাপত্তা নীতিতে তথ্য নিরাপত্তা সংক্রান্ত ঘটনা। একটি পাই চার্ট এই পরিস্থিতির জন্য ভাল কাজ করে। ভিজ্যুয়ালাইজে নির্বাচন করুন - পাই চিত্র. এছাড়াও মেট্রিকে আমরা লগের সংখ্যা দ্বারা একত্রিতকরণ সেট করি। বালতিতে আমরা শর্তাবলী => অ্যাকশন রাখি।

সবকিছু সঠিক বলে মনে হচ্ছে, তবে ফলাফলটি সমস্ত ব্লেডের মান দেখায়; আপনাকে শুধুমাত্র সেই ব্লেডগুলি দ্বারা ফিল্টার করতে হবে যা হুমকি প্রতিরোধের কাঠামোর মধ্যে কাজ করে। অতএব, আমরা স্পষ্টভাবে এটি সেট আপ ফিল্টার শুধুমাত্র তথ্য নিরাপত্তা ঘটনার জন্য দায়ী ব্লেডগুলিতে তথ্য অনুসন্ধান করার জন্য - পণ্য: ("অ্যান্টি-বট" বা "নতুন অ্যান্টি-ভাইরাস" বা "ডিডিওএস প্রোটেক্টর" বা "স্মার্টডিফেন্স" বা "থ্রেট এমুলেশন")। ছবিটি ক্লিকযোগ্য:

এবং আরো বিস্তারিত সেটিংস, ছবি ক্লিকযোগ্য:

আইপিএস ইভেন্ট টেবিল

এরপরে, তথ্য সুরক্ষার দৃষ্টিকোণ থেকে খুব গুরুত্বপূর্ণ হল ব্লেডে ইভেন্টগুলি দেখা এবং পরীক্ষা করা। আইপিএস и হুমকি অনুকরণ, которые ব্লক করা হয় না বর্তমান নীতি, পরবর্তীতে হয় প্রতিরোধ করার জন্য স্বাক্ষর পরিবর্তন করার জন্য, অথবা ট্র্যাফিক বৈধ হলে, স্বাক্ষর পরীক্ষা করবেন না। আমরা প্রথম উদাহরণের মতোই টেবিলটি তৈরি করি, শুধুমাত্র পার্থক্যের সাথে আমরা কয়েকটি কলাম তৈরি করি: protects.keyword, severity.keyword, product.keyword, originsicname.keyword। শুধুমাত্র তথ্য নিরাপত্তা ঘটনার জন্য দায়ী ব্লেডগুলিতে তথ্য অনুসন্ধান করার জন্য একটি ফিল্টার সেট আপ করতে ভুলবেন না - পণ্য: ("স্মার্টডিফেন্স" বা "থ্রেট এমুলেশন")। ছবিটি ক্লিকযোগ্য:

আরো বিস্তারিত সেটিংস, ছবি ক্লিকযোগ্য:

সবচেয়ে জনপ্রিয় ভিজিট করা সাইটগুলির জন্য চার্ট

এটি করার জন্য, একটি চিত্র তৈরি করুন - উল্লম্ব বার. আমরা একটি মেট্রিক হিসাবে গণনা (Y অক্ষ) ব্যবহার করি এবং X অক্ষে আমরা পরিদর্শন করা সাইটগুলির নাম মান হিসাবে ব্যবহার করব – “appi_name”। এখানে একটি ছোট কৌশল রয়েছে: আপনি যদি বর্তমান সংস্করণে সেটিংস চালান, তবে সমস্ত সাইট একই রঙে চার্টে চিহ্নিত করা হবে, তাদের বহু রঙের করার জন্য আমরা একটি অতিরিক্ত সেটিং ব্যবহার করি - "বিভক্ত সিরিজ", যা আপনাকে অবশ্যই নির্বাচিত ক্ষেত্রের উপর নির্ভর করে একটি রেডিমেড কলামকে আরও কয়েকটি মানগুলিতে ভাগ করতে দেয়! এই খুব বিভাজনটি হয় স্ট্যাকড মোডে মান অনুসারে একটি বহু রঙের কলাম হিসাবে ব্যবহার করা যেতে পারে, বা X অক্ষের একটি নির্দিষ্ট মান অনুসারে বেশ কয়েকটি কলাম তৈরি করার জন্য সাধারণ মোডে ব্যবহার করা যেতে পারে। এই ক্ষেত্রে, আমরা এখানে ব্যবহার করি X অক্ষের মতো একই মান, এটি সমস্ত কলামকে বহু রঙের করা সম্ভব করে তোলে; সেগুলি উপরের ডানদিকে রঙ দ্বারা নির্দেশিত হবে। ফিল্টারে আমরা সেট করি - পণ্য: "ইউআরএল ফিল্টারিং" শুধুমাত্র পরিদর্শন করা সাইটগুলিতে তথ্য দেখার জন্য, ছবিটি ক্লিকযোগ্য:

সেটিংস:

সবচেয়ে বিপজ্জনক অ্যাপ্লিকেশন ব্যবহারের উপর চিত্র

এটি করার জন্য, একটি চিত্র তৈরি করুন - উল্লম্ব বার। আমরা একটি মেট্রিক হিসাবে গণনা (Y অক্ষ) ব্যবহার করি এবং X অক্ষে আমরা ব্যবহৃত অ্যাপ্লিকেশনগুলির নাম - "appi_name" মান হিসাবে ব্যবহার করব। সবচেয়ে গুরুত্বপূর্ণ হল ফিল্টার সেটিং - পণ্য: "অ্যাপ্লিকেশন কন্ট্রোল" এবং অ্যাপ_রিস্ক: (4 বা 5 বা 3) এবং অ্যাকশন: "স্বীকার করুন"। আমরা অ্যাপ্লিকেশন কন্ট্রোল ব্লেড দ্বারা লগগুলি ফিল্টার করি, শুধুমাত্র সেই সাইটগুলিকে গ্রহণ করি যেগুলিকে জটিল, উচ্চ, মাঝারি ঝুঁকির সাইট হিসাবে শ্রেণীবদ্ধ করা হয় এবং শুধুমাত্র যদি এই সাইটগুলিতে অ্যাক্সেস অনুমোদিত হয়। ছবিটি ক্লিকযোগ্য:

সেটিংস, ক্লিকযোগ্য:

ড্যাশবোর্ড

ড্যাশবোর্ডগুলি দেখা এবং তৈরি করা একটি পৃথক মেনু আইটেমে রয়েছে - ড্যাশবোর্ড. এখানে সবকিছুই সহজ, একটি নতুন ড্যাশবোর্ড তৈরি করা হয়েছে, এতে ভিজ্যুয়ালাইজেশন যোগ করা হয়েছে, তার জায়গায় রাখা হয়েছে এবং এটাই!

আমরা একটি ড্যাশবোর্ড তৈরি করছি যার মাধ্যমে আপনি একটি প্রতিষ্ঠানের তথ্য নিরাপত্তার অবস্থার প্রাথমিক পরিস্থিতি বুঝতে পারবেন, অবশ্যই, শুধুমাত্র চেক পয়েন্ট স্তরে, ছবিটি ক্লিকযোগ্য:

এই গ্রাফগুলির উপর ভিত্তি করে, আমরা বুঝতে পারি কোন সমালোচনামূলক স্বাক্ষরগুলি ফায়ারওয়ালে অবরুদ্ধ নয়, ব্যবহারকারীরা কোথায় যায় এবং তারা কোনটি সবচেয়ে বিপজ্জনক অ্যাপ্লিকেশন ব্যবহার করে।

উপসংহার

আমরা কিবানায় মৌলিক ভিজ্যুয়ালাইজেশনের ক্ষমতা দেখেছি এবং একটি ড্যাশবোর্ড তৈরি করেছি, কিন্তু এটি শুধুমাত্র একটি ছোট অংশ। আরও কোর্সে আমরা আলাদাভাবে মানচিত্র সেট আপ করা, ইলাস্টিক সার্চ সিস্টেমের সাথে কাজ করা, API অনুরোধের সাথে পরিচিত হওয়া, অটোমেশন এবং আরও অনেক কিছু দেখব!

সুতরাং সংগেই থাকুনTelegram, ফেসবুক, VK, টিএস সমাধান ব্লগ), ইয়ানডেক্স জেন.

উত্স: www.habr.com