কীভাবে ELK নিরাপত্তা প্রকৌশলীদের ওয়েবসাইট আক্রমণের বিরুদ্ধে লড়াই করতে এবং শান্তিতে ঘুমাতে সাহায্য করে

আমাদের সাইবার প্রতিরক্ষা কেন্দ্র ক্লায়েন্টের ওয়েব অবকাঠামোর নিরাপত্তার জন্য দায়ী এবং ক্লায়েন্ট সাইটগুলিতে আক্রমণ প্রতিহত করে। আক্রমণ থেকে রক্ষা করার জন্য, আমরা FortiWeb ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (WAFs) ব্যবহার করি। কিন্তু এমনকি সর্বোত্তম WAF একটি নিরাময় নয় এবং লক্ষ্যবস্তু আক্রমণ থেকে "বাক্সের বাইরে" রক্ষা করে না। 

অতএব, WAF ছাড়াও, আমরা ব্যবহার করি ELK. এটি সমস্ত ইভেন্ট এক জায়গায় সংগ্রহ করতে সাহায্য করে, পরিসংখ্যান জমা করে, এটিকে কল্পনা করে এবং সময়মতো একটি লক্ষ্যযুক্ত আক্রমণ দেখতে দেয়।

আজ আমি আপনাকে আরও বিশদে বলব কীভাবে আমরা WAF এর সাথে ক্রিসমাস ট্রিটি অতিক্রম করেছি এবং এর থেকে কী এসেছে।

একটি আক্রমণের গল্প: ELK-তে স্যুইচ করার আগে কীভাবে সবকিছু কাজ করেছিল

আমাদের ক্লাউডে, গ্রাহক আমাদের WAF এর পিছনে অ্যাপ্লিকেশনটি স্থাপন করেছে। প্রতিদিন 10 থেকে 000 ব্যবহারকারী সাইটের সাথে সংযুক্ত, সংযোগের সংখ্যা প্রতিদিন 100 মিলিয়নে পৌঁছেছে। এর মধ্যে 000-20 জন ব্যবহারকারী অনুপ্রবেশকারী এবং সাইটটি হ্যাক করার চেষ্টা করেছিল। 

একটি আইপি অ্যাড্রেস থেকে সাধারণ ফর্ম ব্রুট ফোর্স ফরটিওয়েব দ্বারা খুব সহজেই ব্লক করা হয়েছিল। প্রতি মিনিটে সাইটের হিট সংখ্যা বৈধ ব্যবহারকারীদের তুলনায় বেশি ছিল। আমরা কেবল একটি ঠিকানা থেকে কার্যকলাপ থ্রেশহোল্ড সেট আপ এবং আক্রমণ প্রতিহত.

"ধীর আক্রমণ" মোকাবেলা করা অনেক বেশি কঠিন, যখন আক্রমণকারীরা ধীরে ধীরে কাজ করে এবং নিজেকে সাধারণ ক্লায়েন্ট হিসাবে ছদ্মবেশ ধারণ করে। তারা অনেক অনন্য আইপি ঠিকানা ব্যবহার করে। এই ধরনের ক্রিয়াকলাপ WAF এর কাছে বিশাল পাশবিক শক্তির মতো দেখায় না, এটি স্বয়ংক্রিয়ভাবে ট্র্যাক করা আরও কঠিন ছিল। এবং সাধারণ ব্যবহারকারীদের ব্লক করার ঝুঁকিও ছিল। আমরা আক্রমণের অন্যান্য লক্ষণগুলির জন্য অনুসন্ধান করেছি এবং এই চিহ্নের উপর ভিত্তি করে স্বয়ংক্রিয়ভাবে আইপি ঠিকানাগুলি ব্লক করার জন্য একটি নীতি সেট আপ করেছি৷ উদাহরণস্বরূপ, অনেক অবৈধ সেশনের http অনুরোধ শিরোনামে সাধারণ ক্ষেত্র ছিল। আপনাকে প্রায়শই FortiWeb ইভেন্ট লগগুলিতে ম্যানুয়ালি এই জাতীয় ক্ষেত্রগুলি সন্ধান করতে হয়েছিল। 

এটা দীর্ঘ এবং অস্বস্তিকর পেয়েছিলাম. FortiWeb-এর স্ট্যান্ডার্ড কার্যকারিতায়, ইভেন্টগুলি টেক্সটে 3টি ভিন্ন লগে রেকর্ড করা হয়: সনাক্ত করা আক্রমণ, অনুরোধ সম্পর্কে তথ্য এবং WAF অপারেশন সম্পর্কে সিস্টেম বার্তা। কয়েক ডজন বা এমনকি শত শত আক্রমণের ঘটনা এক মিনিটে আসতে পারে।

এত বেশি নয়, তবে আপনাকে ম্যানুয়ালি বেশ কয়েকটি লগের মধ্যে দিয়ে আরোহণ করতে হবে এবং অনেকগুলি লাইনে পুনরাবৃত্তি করতে হবে: 

আক্রমণ লগে, আমরা ব্যবহারকারীর ঠিকানা এবং কার্যকলাপের প্রকৃতি দেখতে পাই। 
 
শুধু লগ টেবিল স্ক্যান করা যথেষ্ট নয়। আক্রমণের প্রকৃতি সম্পর্কে সবচেয়ে আকর্ষণীয় এবং দরকারী খুঁজে পেতে, আপনাকে একটি নির্দিষ্ট ইভেন্টের ভিতরে তাকাতে হবে:

হাইলাইট করা ক্ষেত্র "ধীর আক্রমণ" সনাক্ত করতে সাহায্য করে। সূত্র: স্ক্রিনশট থেকে Fortinet সাইট. 

ঠিক আছে, প্রধান সমস্যা হল যে শুধুমাত্র একজন FortiWeb বিশেষজ্ঞ এটি বের করতে পারেন। যদি ব্যবসার সময় আমরা এখনও রিয়েল টাইমে সন্দেহজনক কার্যকলাপ ট্র্যাক করতে পারি, তাহলে রাতের ঘটনাগুলির তদন্ত বিলম্বিত হতে পারে। যখন FortiWeb নীতিগুলি কোনো কারণে কাজ করেনি, তখন কর্তব্যরত নাইট শিফট ইঞ্জিনিয়াররা WAF-এ অ্যাক্সেস ছাড়া পরিস্থিতি মূল্যায়ন করতে পারেনি এবং FortiWeb বিশেষজ্ঞকে জাগিয়ে তুলেছিল। আমরা কয়েক ঘন্টা ধরে লগগুলি দেখেছি এবং আক্রমণের মুহূর্তটি খুঁজে পেয়েছি। 

এই ধরনের তথ্যের ভলিউম সহ, এক নজরে বড় ছবি বোঝা এবং সক্রিয়ভাবে কাজ করা কঠিন। তারপরে আমরা ভিজ্যুয়াল আকারে সবকিছু বিশ্লেষণ করার জন্য, আক্রমণের শুরুটি খুঁজে বের করতে, এর দিক এবং ব্লক করার পদ্ধতি সনাক্ত করার জন্য এক জায়গায় ডেটা সংগ্রহ করার সিদ্ধান্ত নিয়েছি। 

আপনি কি থেকে চয়ন করেছেন

প্রথমত, আমরা ইতিমধ্যে ব্যবহৃত সমাধানগুলি দেখেছি, যাতে অপ্রয়োজনীয়ভাবে সত্তাগুলিকে গুন না করা যায়।

প্রথম বিকল্পগুলির মধ্যে একটি ছিল Nagiosযা আমরা নিরীক্ষণ করতে ব্যবহার করি প্রকৌশল অবকাঠামো, যোগাযোগ অবকাঠামো, জরুরী সতর্কতা। নিরাপত্তা রক্ষীরা সন্দেহজনক ট্র্যাফিকের ক্ষেত্রে পরিচারকদের অবহিত করার জন্য এটি ব্যবহার করে, তবে এটি কীভাবে ছড়িয়ে ছিটিয়ে থাকা লগ সংগ্রহ করতে হয় তা জানে না এবং তাই অদৃশ্য হয়ে যায়। 

সঙ্গে সবকিছু একত্রিত করার একটি বিকল্প ছিল MySQL এবং PostgreSQL বা অন্য রিলেশনাল ডাটাবেস। কিন্তু তথ্য বের করার জন্য, আপনার আবেদনটি ভাস্কর্য করা প্রয়োজন ছিল। 

আমাদের কোম্পানিতে লগ সংগ্রাহক হিসাবে তারাও ব্যবহার করে ফোর্টি অ্যানালাইজার ফরটিনেট থেকে। কিন্তু এক্ষেত্রেও তিনি মানানসই হননি। প্রথমত, ফায়ারওয়ালের সাথে কাজ করা আরও তীক্ষ্ণ ফোর্টিগেট. দ্বিতীয়ত, অনেক সেটিংস অনুপস্থিত ছিল, এবং এটির সাথে মিথস্ক্রিয়া করার জন্য SQL কোয়েরির চমৎকার জ্ঞান প্রয়োজন। এবং তৃতীয়ত, এর ব্যবহার গ্রাহকের জন্য পরিষেবার খরচ বাড়িয়ে দেবে।   

এভাবেই আমরা ওপেন সোর্সের মুখে এসেছি ELK. 

কেন ELK নির্বাচন করুন 

ELK হল ওপেন সোর্স প্রোগ্রামের একটি সেট:

• Elasticsearch - টাইম সিরিজের একটি ডাটাবেস, যা কেবলমাত্র বড় আকারের পাঠ্যের সাথে কাজ করার জন্য তৈরি করা হয়েছিল;
• Logstash - একটি ডেটা সংগ্রহ প্রক্রিয়া যা লগগুলিকে পছন্দসই বিন্যাসে রূপান্তর করতে পারে; 
• Kibana - একটি ভাল ভিজ্যুয়ালাইজার, সেইসাথে ইলাস্টিকসার্চ পরিচালনার জন্য একটি মোটামুটি বন্ধুত্বপূর্ণ ইন্টারফেস। আপনি সময়সূচী তৈরি করতে এটি ব্যবহার করতে পারেন যা রাতে ডিউটি ​​ইঞ্জিনিয়ারদের দ্বারা পর্যবেক্ষণ করা যেতে পারে। 

ELK-এর প্রবেশ থ্রেশহোল্ড কম। সমস্ত মৌলিক বৈশিষ্ট্য বিনামূল্যে. সুখের জন্য আর কি দরকার।

আপনি কিভাবে এক সিস্টেমে এটি সব একসাথে রাখা?

সূচী তৈরি এবং শুধুমাত্র প্রয়োজনীয় তথ্য বাকি. আমরা তিনটি FortiWEB লগ ইএলকে-তে লোড করেছি - আউটপুটটি ছিল সূচক। এগুলি একটি নির্দিষ্ট সময়ের জন্য সমস্ত সংগৃহীত লগ সহ ফাইল, উদাহরণস্বরূপ, একটি দিন৷ যদি আমরা এখনই সেগুলিকে কল্পনা করি তবে আমরা কেবল আক্রমণের গতিশীলতা দেখতে পাব। বিশদ বিবরণের জন্য, আপনাকে প্রতিটি আক্রমণের মধ্যে "পতন" করতে হবে এবং নির্দিষ্ট ক্ষেত্রগুলি দেখতে হবে।

আমরা বুঝতে পেরেছি যে প্রথমে আমাদের অসংগঠিত তথ্যের পার্সিং সেট আপ করতে হবে। আমরা দীর্ঘ ক্ষেত্রগুলিকে স্ট্রিং হিসাবে নিয়েছি, যেমন "বার্তা" এবং "URL" এবং সিদ্ধান্ত নেওয়ার জন্য আরও তথ্য পেতে সেগুলিকে পার্স করেছি৷ 

উদাহরণস্বরূপ, পার্সিং ব্যবহার করে, আমরা আলাদাভাবে ব্যবহারকারীর অবস্থান বের করেছি। এটি রাশিয়ান ব্যবহারকারীদের জন্য সাইটগুলিতে বিদেশ থেকে আক্রমণগুলিকে অবিলম্বে হাইলাইট করতে সহায়তা করেছিল৷ অন্যান্য দেশ থেকে সমস্ত সংযোগ ব্লক করে, আমরা আক্রমণের সংখ্যা 2 গুণ কমিয়েছি এবং রাশিয়ার অভ্যন্তরে আক্রমণগুলি সহজেই মোকাবেলা করতে পেরেছি। 

পার্স করার পরে, তারা কোন তথ্য সংরক্ষণ এবং কল্পনা করতে হবে তা সন্ধান করতে শুরু করে। লগে সবকিছু ছেড়ে দেওয়া অনুপযুক্ত ছিল: একটি সূচকের আকার বড় ছিল - 7 জিবি। ELK ফাইলটি প্রক্রিয়া করতে দীর্ঘ সময় নিয়েছে। যাইহোক, সব তথ্য দরকারী ছিল না. কিছু নকল করা হয়েছে এবং অতিরিক্ত স্থান নিয়েছে - এটি অপ্টিমাইজ করা প্রয়োজন ছিল। 

প্রথমে, আমরা কেবল সূচকটি দেখেছি এবং অপ্রয়োজনীয় ঘটনাগুলি সরিয়ে দিয়েছি। এটি FortiWeb-এ নিজেই লগগুলির সাথে কাজ করার চেয়ে আরও বেশি অসুবিধাজনক এবং দীর্ঘতর বলে প্রমাণিত হয়েছে। এই পর্যায়ে "ক্রিসমাস ট্রি" থেকে একমাত্র প্লাস হল যে আমরা একটি স্ক্রিনে একটি বড় সময়কাল কল্পনা করতে সক্ষম হয়েছি। 

আমরা হতাশ হইনি, আমরা ক্যাকটাস খেতে এবং ELK অধ্যয়ন চালিয়েছিলাম এবং বিশ্বাস করেছিলাম যে আমরা প্রয়োজনীয় তথ্য বের করতে সক্ষম হব। সূচীগুলি পরিষ্কার করার পরে, আমরা কী তা কল্পনা করতে শুরু করি। তাই আমরা বড় ড্যাশবোর্ডে এসেছি। আমরা উইজেট তৈরি করেছি - দৃশ্যত এবং মার্জিতভাবে, একটি বাস্তব ЁLKa! 

আক্রমণের মুহূর্তটি ধারণ করা হয়েছে. এখন চার্টে আক্রমণের শুরুটা কেমন তা বোঝা দরকার ছিল। এটি সনাক্ত করতে, আমরা ব্যবহারকারীর কাছে সার্ভারের প্রতিক্রিয়াগুলি দেখেছি (রিটার্ন কোডগুলি)৷ আমরা এই ধরনের কোড (rc) সহ সার্ভার প্রতিক্রিয়াগুলিতে আগ্রহী ছিলাম: 

কোড (আরসি)

নাম

বিবরণ

0

ড্রপ

সার্ভারে অনুরোধ ব্লক করা হয়েছে

200

Ok

অনুরোধ সফলভাবে প্রক্রিয়া করা হয়েছে

400

খারাপ অনুরোধ

খারাপ অনুরোধ

403

নিষিদ্ধ

অনুমোদন অস্বীকার করা হয়েছে৷

500

অভ্যন্তরীণ সার্ভার ত্রুটি

সেবা অনুপলব্ধ

যদি কেউ সাইট আক্রমণ করতে শুরু করে, কোডের অনুপাত পরিবর্তিত হয়: 

• যদি কোড 400 সহ আরও ভুল অনুরোধ থাকে এবং কোড 200 সহ একই সংখ্যক সাধারণ অনুরোধ থাকে, তবে কেউ সাইটটি হ্যাক করার চেষ্টা করছে। 
• যদি, একই সময়ে, কোড 0 এর সাথে অনুরোধগুলিও বৃদ্ধি পায়, তাহলে FortiWeb রাজনীতিবিদরাও আক্রমণটিকে "দেখেছিলেন" এবং এতে ব্লক প্রয়োগ করেছিলেন। 
• যদি কোড 500 সহ বার্তার সংখ্যা বৃদ্ধি পায়, তবে সাইটটি এই আইপি ঠিকানাগুলির জন্য উপলব্ধ নয় - এটি এক ধরণের ব্লকিংও। 

তৃতীয় মাসের মধ্যে, আমরা এই কার্যকলাপ ট্র্যাক করার জন্য একটি ড্যাশবোর্ড সেট আপ করেছি।

ম্যানুয়ালি সবকিছু নিরীক্ষণ না করার জন্য, আমরা Nagios-এর সাথে ইন্টিগ্রেশন সেট আপ করি, যা নির্দিষ্ট ব্যবধানে ELK-কে ভোট দেয়। যদি এটি কোড দ্বারা থ্রেশহোল্ড মানগুলির অর্জন রেকর্ড করে তবে এটি সন্দেহজনক কার্যকলাপ সম্পর্কে কর্তব্য কর্মকর্তাদের কাছে একটি বিজ্ঞপ্তি পাঠিয়েছে। 

মনিটরিং সিস্টেমে 4টি চার্ট সংযুক্ত করা হয়েছে. এখন গ্রাফে দেখা গুরুত্বপূর্ণ ছিল যে মুহুর্তে আক্রমণটি আটকানো হবে না এবং একজন প্রকৌশলীর হস্তক্ষেপ প্রয়োজন। 4টি ভিন্ন গ্রাফে, আমাদের চোখ ঝাপসা হয়ে গেছে। অতএব, আমরা চার্টগুলি একত্রিত করেছি এবং একটি স্ক্রিনে সবকিছু পর্যবেক্ষণ করতে শুরু করেছি।

পর্যবেক্ষণে, আমরা দেখেছি কিভাবে বিভিন্ন রঙের গ্রাফ পরিবর্তিত হয়। লাল রঙের একটি বিস্ফোরণ নির্দেশ করে যে আক্রমণ শুরু হয়েছে, যখন কমলা এবং নীল গ্রাফ ফোর্টিওয়েবের প্রতিক্রিয়া দেখায়:

এখানে সবকিছু ঠিক আছে: "লাল" কার্যকলাপের একটি ঢেউ ছিল, কিন্তু FortiWeb মোকাবেলা করে এবং আক্রমণের সময়সূচী ব্যর্থ হয়।

আমরা নিজেদের জন্য একটি গ্রাফের উদাহরণও আঁকেছি যার জন্য হস্তক্ষেপ প্রয়োজন:

এখানে আমরা দেখতে পাচ্ছি যে FortiWeb কার্যকলাপ বৃদ্ধি করেছে, কিন্তু লাল আক্রমণের গ্রাফ কমেনি। আপনাকে WAF সেটিংস পরিবর্তন করতে হবে।

রাতের ঘটনা তদন্ত করাও সহজ হয়েছে। গ্রাফটি অবিলম্বে সেই মুহূর্তটি দেখায় যখন এটি সাইটের প্রতিরক্ষায় আসার সময়। 

রাতে মাঝে মাঝে এমন হয়। লাল গ্রাফ - আক্রমণ শুরু হয়েছে। নীল - FortiWeb কার্যকলাপ। আক্রমণ সম্পূর্ণভাবে অবরুদ্ধ করা হয়নি, আমাদের হস্তক্ষেপ করতে হয়েছিল।

আমরা কোথায় যাচ্ছি

এখন আমরা ডিউটি ​​অ্যাডমিনিস্ট্রেটরদের ELK এর সাথে কাজ করার জন্য প্রশিক্ষণ দিচ্ছি। অ্যাটেনডেন্টরা ড্যাশবোর্ডে পরিস্থিতি মূল্যায়ন করতে এবং সিদ্ধান্ত নিতে শেখে: এটি একটি FortiWeb বিশেষজ্ঞের কাছে যাওয়ার সময়, অথবা WAF-এর নীতিগুলি স্বয়ংক্রিয়ভাবে আক্রমণ প্রতিহত করার জন্য যথেষ্ট হবে। তাই আমরা রাতে তথ্য নিরাপত্তা প্রকৌশলীদের উপর লোড কমিয়েছি এবং সিস্টেম স্তরে সমর্থনের ভূমিকাগুলিকে ভাগ করি। FortiWeb-এ অ্যাক্সেস শুধুমাত্র সাইবার প্রতিরক্ষা কেন্দ্রের সাথে থাকে, এবং শুধুমাত্র তারাই WAF সেটিংস পরিবর্তন করে যখন জরুরি প্রয়োজন হয়।

আমরা গ্রাহকদের জন্য রিপোর্টিং কাজ করছি. আমরা পরিকল্পনা করছি যে WAF কাজের গতিশীলতার ডেটা ক্লায়েন্টের ব্যক্তিগত অ্যাকাউন্টে পাওয়া যাবে। ELK নিজেই WAF-এর কাছে উল্লেখ করার প্রয়োজন ছাড়াই পরিস্থিতি পরিষ্কার করবে।

গ্রাহক যদি রিয়েল টাইমে তাদের নিজস্ব সুরক্ষা নিরীক্ষণ করতে চান তবে ELKও কাজে আসবে। আমরা WAF-এ অ্যাক্সেস দিতে পারি না, যেহেতু কাজে গ্রাহকের হস্তক্ষেপ বাকিদের প্রভাবিত করতে পারে। কিন্তু আপনি একটি পৃথক ELK তুলে নিতে পারেন এবং এটিকে "আশেপাশে খেলতে" দিতে পারেন। 

এই ক্রিসমাস ট্রি ব্যবহার করার জন্য পরিস্থিতি যা আমরা সম্প্রতি জমা করেছি। এই বিষয়ে আপনার চিন্তা শেয়ার করুন এবং ভুলবেন না সবকিছু সঠিকভাবে সেট আপ করুনডাটাবেস ফাঁস এড়াতে। 

উত্স: www.habr.com