ELK SIEM ওপেন ডিস্ট্রো: ELK তে ELK এবং SIEM ড্যাশবোর্ডের ভিজ্যুয়ালাইজেশন

এই পোস্টটি বর্ণনা করবে কিভাবে ELK-এ ELK এবং SIEM ড্যাশবোর্ডের ভিজ্যুয়ালাইজেশন কাস্টমাইজ করা যায়
নিবন্ধটি নিম্নলিখিত বিভাগে বিভক্ত:

1- ELK SIEM এর ওভারভিউ
2- ডিফল্ট ড্যাশবোর্ড
3- আপনার প্রথম ড্যাশবোর্ড তৈরি করা

সব পোস্টের শিরোনাম।

• ভূমিকা. একটি পরিষেবা (SOCasS) হিসাবে SOC এর জন্য অবকাঠামো এবং প্রযুক্তি স্থাপন করা
• ELK স্ট্যাক - ইনস্টলেশন এবং কনফিগারেশন
• খোলা ডিস্ট্রো চারপাশে হাঁটা
• ড্যাশবোর্ড এবং ELK SIEM এর ভিজ্যুয়ালাইজেশন
• ওয়াজুহ এর সাথে ইন্টিগ্রেশন
• সতর্কতা
• রিপোর্টিং
• মামলা পরিচালনার

1-ELK SIEM ওভারভিউ

ELK SIEM সম্প্রতি 7.2 জুন, 25-এ সংস্করণ 2019-এ এলক স্ট্যাকে যুক্ত করা হয়েছে।

এটি একটি SIEM সমাধান যা একজন নিরাপত্তা বিশ্লেষকের জীবনকে অনেক সহজ এবং কম ক্লান্তিকর করতে elastic.co দ্বারা তৈরি করা হয়েছে।

আমাদের কাজের সংস্করণে, আমরা আমাদের নিজস্ব SIEM তৈরি করার এবং আমাদের নিজস্ব নিয়ন্ত্রণ প্যানেল বেছে নেওয়ার সিদ্ধান্ত নিয়েছি।

কিন্তু আমরা মনে করি প্রথমে ELK SIEM শেখা গুরুত্বপূর্ণ।

1.1- হোস্ট ইভেন্ট বিভাগ

আমরা প্রথমে হোস্ট পার্টিশন দেখব। হোস্ট বিভাগটি আপনাকে ইভেন্টগুলি দেখার অনুমতি দেবে যা শেষ পয়েন্টে গুলি করা হয়েছে।

ভিউ হোস্টে ক্লিক করার পরে, আপনার এমন কিছু পাওয়া উচিত। আপনি দেখতে পাচ্ছেন, এই কম্পিউটারে তিনটি হোস্ট সংযুক্ত রয়েছে:

1 উইন্ডোজ 10।

2 উবুন্টু সার্ভার 18.04।

আমাদের কাছে প্রদর্শনের জন্য বেশ কয়েকটি ভিজ্যুয়ালাইজেশন রয়েছে, প্রতিটি ইভেন্টের একটি ভিন্ন ধরনের প্রদর্শন করে।

উদাহরণস্বরূপ, মাঝখানের একটি তিনটি মেশিনে লগইন তথ্য দেখায়।

এই পরিমাণ ডেটা যা আপনি এখানে দেখছেন তা পাঁচ দিনে সংগ্রহ করা হয়েছে। এটি বিপুল সংখ্যক ব্যর্থ এবং সফল লগইন ব্যাখ্যা করে। আপনার কাছে সম্ভবত অল্প পরিমাণ লগ থাকবে, তাই চিন্তা করবেন না

1.2- নেটওয়ার্ক ইভেন্ট বিভাগ

নেটওয়ার্ক বিভাগে চলন্ত, আপনি এই মত কিছু পেতে হবে. এই বিভাগটি আপনাকে HTTP/TLS ট্র্যাফিক থেকে DNS ট্র্যাফিক এবং বাহ্যিক ইভেন্ট সতর্কতা পর্যন্ত আপনার নেটওয়ার্কে ঘটে যাওয়া সমস্ত কিছুর উপর নজর রাখতে দেয়।

2- ডিফল্ট ড্যাশবোর্ড

ব্যবহারকারীদের জীবন সহজ করতে, elastic.co ডেভেলপাররা ELK দ্বারা আনুষ্ঠানিকভাবে সমর্থিত একটি ডিফল্ট টুলবার তৈরি করেছে। আমাদের বীট এই নিয়মের ব্যতিক্রম ছিল না। এখানে আমি একটি উদাহরণ হিসাবে ডিফল্ট প্যাকেটবিট ড্যাশবোর্ড নেব।

আপনি যদি নিবন্ধটির দ্বিতীয় ধাপটি সঠিকভাবে অনুসরণ করেন। আপনার একটি কাস্টমাইজড টুলবার আপনার জন্য অপেক্ষা করা উচিত। চল শুরু করা যাক.

কিবানার বাম ট্যাবে, ড্যাশবোর্ড প্রতীক নির্বাচন করুন। আপনি যদি উপরে থেকে গণনা করেন তবে এটি তৃতীয়টি।

সার্চ ট্যাবে শেয়ারের নাম লিখুন

যদি একটি বিট মধ্যে বেশ কয়েকটি মডিউল আছে. তাদের প্রত্যেকের জন্য একটি নিয়ন্ত্রণ প্যানেল তৈরি করা হবে। কিন্তু শুধুমাত্র একটি মডিউল সক্রিয় আছে অ-খালি ডেটা প্রদর্শন করবে।

আপনার মডিউলের নামের সাথে একটি নির্বাচন করুন।

এটি মূল টেমপ্লেট প্যাকেটবিট.

এটি নেটওয়ার্ক প্রবাহ নিয়ন্ত্রণ প্যানেল। এটি আমাদের ইনকামিং এবং আউটগোয়িং প্যাকেট, আইপি ঠিকানাগুলির উত্স এবং গন্তব্য সম্পর্কে বলবে এবং নিরাপত্তা কেন্দ্র বিশ্লেষকের জন্য অনেক দরকারী তথ্যও দেবে৷

3 - আপনার প্রথম ড্যাশবোর্ড তৈরি করা

3-1- মৌলিক ধারণা

A- ড্যাশবোর্ডের প্রকারভেদ:

এগুলি হল বিভিন্ন ধরণের ভিজ্যুয়ালাইজেশন যা আপনি আপনার ডেটা কল্পনা করতে ব্যবহার করতে পারেন৷

উদাহরণস্বরূপ আমাদের আছে:

• বার চার্ট
• মানচিত্র
• মার্কডাউন উইজেট
• পাই চিত্র

B- KQL (কিবানা কোয়েরি ভাষা):

সহজ ডেটা অনুসন্ধানের জন্য এটি কিবানায় ব্যবহৃত ভাষা। এটি আপনাকে নির্দিষ্ট ডেটা এবং অন্যান্য অনেক দরকারী বৈশিষ্ট্য বিদ্যমান কিনা তা পরীক্ষা করতে দেয়। আরও জানতে, আপনি এই লিঙ্কে তথ্য পরীক্ষা করতে পারেন।

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

এটি একটি Windows 10 প্রো সিস্টেম সহ একটি হোস্ট অনুসন্ধান অনুরোধের একটি উদাহরণ৷

সি- ফিল্টার:

এই বৈশিষ্ট্যটি আপনাকে হোস্টনাম, ইভেন্ট কোড বা আইডি ইত্যাদির মতো নির্দিষ্ট পরামিতিগুলি ফিল্টার করার অনুমতি দেবে৷ ফিল্টারগুলি ক্লু খুঁজতে ব্যয় করা সময় এবং প্রচেষ্টার পরিপ্রেক্ষিতে তদন্তের পর্যায়ে ব্যাপক উন্নতি করবে৷

D- প্রথম রেন্ডারিং:

আসুন MITER ATT এবং CK-এর জন্য একটি ভিজ্যুয়ালাইজেশন তৈরি করি।

প্রথমে আমাদের যেতে হবে ড্যাশবোর্ড → নতুন ড্যাশবোর্ড তৈরি করুন → নতুন → পাই ড্যাশবোর্ড তৈরি করুন৷

সূচী প্যাটার্নের জন্য টাইপ সেট করুন, তারপর আপনার বীট নাম আলতো চাপুন।

এন্টার চাপুন. এখন আপনি একটি সবুজ ডোনাট দেখতে হবে.

বামে বালতি ট্যাবে আপনি পাবেন:

- স্প্লিট স্লাইস ডোনাটকে বিভিন্ন অংশে ভাগ করবে তথ্যের বিস্তারের উপর নির্ভর করে।

- স্প্লিট চার্ট এটির পাশে আরেকটি ডোনাট তৈরি করবে।

আমরা স্প্লিট স্লাইস ব্যবহার করব।

আমরা আমাদের নির্বাচিত শব্দের উপর নির্ভর করে আমাদের ডেটা কল্পনা করব। এই ক্ষেত্রে, শব্দটি MITER ATT এবং CK-কে নির্দেশ করবে।

উইনলগবিটে, যে ক্ষেত্রটি আমাদের এই তথ্য সরবরাহ করবে তাকে বলা হয়:

winlog.event_data.RuleName

আমরা ঘটনার সংখ্যার উপর ভিত্তি করে ইভেন্টগুলি অর্ডার করার জন্য একটি গণনা মেট্রিক সেট আপ করব৷

"একটি পৃথক বিভাগে অন্যান্য মান গোষ্ঠী" ফাংশন চালু করুন।

এটি কার্যকর হবে যদি আপনি যে পদগুলি বেছে নিয়েছেন তার ছন্দ থেকে আসা বিভিন্ন অর্থ থাকে। এটি সামগ্রিকভাবে বাকি ডেটা ভিজ্যুয়ালাইজ করতে সাহায্য করে। এটি আপনাকে অন্যান্য ইভেন্টের শতাংশ সম্পর্কে ধারণা দেবে।

এখন যেহেতু আমরা ডেটা ট্যাব কনফিগার করা শেষ করেছি, আসুন বিকল্প ট্যাবে এগিয়ে যাই

আপনাকে নিম্নলিখিতগুলি করতে হবে:

** ডোনাট আকৃতি মুছুন যাতে রেন্ডারে একটি পূর্ণ বৃত্ত উপস্থিত হয়।

** আপনার পছন্দের কিংবদন্তি অবস্থান নির্বাচন করুন। এই ক্ষেত্রে, আমরা তাদের ডানদিকে প্রদর্শন করব।

** সহজে পড়ার জন্য তাদের স্নিপেটের পাশে প্রদর্শিত মানগুলিকে সেট করুন এবং বাকিগুলি ডিফল্ট হিসাবে ছেড়ে দিন

ইভেন্টের নাম থেকে আপনি কতটা প্রদর্শন করতে চান তা ছেদন নিয়ন্ত্রণ করে।

আপনি রেন্ডারিং শুরু করতে চান এমন সময় সেট করুন এবং তারপরে নীল বাক্সে ক্লিক করুন।

আপনি এই মত কিছু পেতে হবে:

আপনি যে নির্দিষ্ট হোস্টটি পরীক্ষা করতে চান তা ফিল্টার করতে আপনার ভিজ্যুয়ালাইজেশনে একটি ফিল্টার যোগ করতে পারেন বা আপনার উদ্দেশ্যে উপযোগী বলে মনে করেন এমন কোনো বিকল্প। ভিজ্যুয়ালাইজেশন শুধুমাত্র ফিল্টারে রাখা নিয়মের সাথে মেলে এমন ডেটা প্রদর্শন করবে। এই ক্ষেত্রে, আমরা শুধুমাত্র win10 নামের একটি হোস্ট থেকে আসা MITER ATT এবং CK ডেটা প্রদর্শন করব।

3-2- আপনার প্রথম ড্যাশবোর্ড তৈরি করা:

একটি ড্যাশবোর্ড হল অনেক ভিজ্যুয়ালাইজেশনের একটি সংগ্রহ। আপনার ড্যাশবোর্ডগুলি পরিষ্কার, বোধগম্য এবং দরকারী এবং নির্ধারক ডেটা থাকা উচিত৷ এখানে আমরা winlogbeat এর জন্য স্ক্র্যাচ থেকে তৈরি করা ড্যাশবোর্ডগুলির একটি উদাহরণ।

সময় দেয়ার জন্য ধন্যবাদ. আমি এই নিবন্ধটি আপনার জন্য সহায়ক ছিল আশা করি. আপনি যদি বিষয়ে আরও তথ্য চান, আমরা আপনাকে পরিদর্শন করার পরামর্শ দিই অফিসিয়াল ওয়েবসাইট.

ইলাস্টিকসার্চে টেলিগ্রাম চ্যাট: https://t.me/elasticsearch_ru

উত্স: www.habr.com