TS টোটাল সাইট। ইভেন্ট সংগ্রহ, ঘটনা বিশ্লেষণ, এবং হুমকি প্রতিক্রিয়া অটোমেশন টুল

শুভ বিকাল, পূর্ববর্তী নিবন্ধগুলিতে আমরা ELK স্ট্যাকের কাজের সাথে পরিচিত হয়েছি। এবং এখন আমরা সেই সম্ভাবনাগুলি নিয়ে আলোচনা করব যা এই সিস্টেমগুলি ব্যবহার করার ক্ষেত্রে একজন তথ্য সুরক্ষা বিশেষজ্ঞ দ্বারা উপলব্ধি করা যেতে পারে। ইলাস্টিক সার্চে কী কী লগ যোগ করা যায় এবং করা উচিত। ড্যাশবোর্ড স্থাপন করে কি পরিসংখ্যান পাওয়া যায় এবং এতে লাভ আছে কিনা তা বিবেচনা করা যাক। আমি কীভাবে ELK স্ট্যাক ব্যবহার করে তথ্য সুরক্ষা প্রক্রিয়াগুলির অটোমেশন বাস্তবায়ন করতে পারি। আসুন সিস্টেমের আর্কিটেকচার তৈরি করি। সংক্ষেপে, সমস্ত কার্যকারিতা বাস্তবায়ন একটি খুব বড় এবং কঠিন কাজ, তাই সমাধানটির একটি পৃথক নাম দেওয়া হয়েছিল - টিএস টোটাল সাইট।

বর্তমানে, একটি যৌক্তিক জায়গায় তথ্য সুরক্ষা ঘটনাগুলিকে একীভূত এবং বিশ্লেষণ করে এমন সমাধানগুলি জনপ্রিয়তা অর্জন করছে, ফলস্বরূপ, একজন বিশেষজ্ঞ পরিসংখ্যান এবং একটি সংস্থায় তথ্য সুরক্ষার অবস্থা উন্নত করার জন্য পদক্ষেপের জন্য একটি ফ্রন্ট পায়। আমরা ELK স্ট্যাক ব্যবহার করার জন্য নিজেদেরকে এমন একটি কাজ সেট করেছি, ফলস্বরূপ, আমরা 4 টি বিভাগে প্রধান কার্যকারিতা একক করেছি:

1. পরিসংখ্যান এবং ভিজ্যুয়ালাইজেশন;
2. আইএস ঘটনা সনাক্তকরণ;
3. ঘটনার অগ্রাধিকার;
4. তথ্য নিরাপত্তা প্রক্রিয়া অটোমেশন.

আসুন আরো বিস্তারিতভাবে প্রতিটি একটি ঘনিষ্ঠভাবে কটাক্ষপাত করা যাক.

তথ্য নিরাপত্তা ঘটনা সনাক্তকরণ

আমাদের ক্ষেত্রে ইলাস্টিক সার্চ ব্যবহার করার প্রধান কাজ হল শুধুমাত্র তথ্য নিরাপত্তা ঘটনা সংগ্রহ করা। আপনি সুরক্ষার যেকোনো উপায় থেকে তথ্য নিরাপত্তা ঘটনা সংগ্রহ করতে পারেন যদি তারা অন্তত কিছু লগ ট্রান্সফার মোড সমর্থন করে, স্ট্যান্ডার্ডটি হল syslog বা scp ফাইলে সেভ করা।

আপনি সুরক্ষা সরঞ্জামগুলির মানক উদাহরণ দিতে পারেন এবং শুধুমাত্র যেখান থেকে লগ ফরওয়ার্ডিং কনফিগার করা উচিত তা নয়:

1. যেকোনো NGFW তহবিল (চেক পয়েন্ট, ফোর্টিনেট);
2. যেকোনো দুর্বলতা স্ক্যানার (PT Scanner, OpenVas);
3. ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (PTAF);
4. নেটফ্লো বিশ্লেষক (ফ্লোমন, সিসকো স্টিলথওয়াচ);
5. AD সার্ভার।

একবার আপনি লগ এবং কনফিগারেশন ফাইল পাঠাতে Logstash সেট আপ করার পরে, আপনি বিভিন্ন নিরাপত্তা সরঞ্জাম থেকে আসা ঘটনার সাথে সম্পর্কযুক্ত এবং তুলনা করতে পারেন। এটি করার জন্য, সূচীগুলি ব্যবহার করা সুবিধাজনক, যেখানে আমরা একটি নির্দিষ্ট ডিভাইসের সাথে সম্পর্কিত সমস্ত ঘটনা সংরক্ষণ করব। অন্য কথায়, একটি সূচক একটি ডিভাইসের জন্য সমস্ত ঘটনা। এই বিতরণ দুটি উপায়ে বাস্তবায়ন করা যেতে পারে।

প্রথম বিকল্প লগস্ট্যাশ কনফিগার করতে হয়। এটি করার জন্য, আপনাকে নির্দিষ্ট ক্ষেত্রের জন্য লগটিকে একটি ভিন্ন ধরণের সাথে একটি পৃথক ইউনিটে সদৃশ করতে হবে। এবং তারপর পরে এই ধরনের ব্যবহার করুন. উদাহরণটি চেক পয়েন্ট ফায়ারওয়ালের আইপিএস ব্লেড থেকে ক্লোন লগ করা হয়েছে।

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

লগের ক্ষেত্রের উপর নির্ভর করে এই ধরনের ঘটনাগুলিকে একটি পৃথক সূচকে সংরক্ষণ করার জন্য, উদাহরণস্বরূপ, আক্রমণ স্বাক্ষরের গন্তব্য আইপি। আপনি একটি অনুরূপ নির্মাণ ব্যবহার করতে পারেন:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

এবং এইভাবে, আপনি সমস্ত ঘটনাকে সূচীতে সংরক্ষণ করতে পারেন, উদাহরণস্বরূপ, আইপি ঠিকানা দ্বারা বা মেশিনের ডোমেন নাম দ্বারা। এই ক্ষেত্রে, আমরা সূচকে সংরক্ষণ করি "স্মার্ট ডিফেন্স-%{dst}", স্বাক্ষর গন্তব্যের IP ঠিকানা দ্বারা।

যাইহোক, বিভিন্ন পণ্যের বিভিন্ন লগ ক্ষেত্র থাকবে, যার ফলে বিশৃঙ্খলা এবং মেমরি নষ্ট হবে। এবং এখানে প্রয়োজন হবে সাবধানে Logstash কনফিগারেশন সেটিংসের ক্ষেত্রগুলিকে পূর্ব-পরিকল্পিতগুলির সাথে প্রতিস্থাপন করা, যা সমস্ত ধরণের ঘটনার জন্য একই হবে, যা একটি কঠিন কাজও।

দ্বিতীয় বাস্তবায়ন বিকল্প - এটি এমন একটি স্ক্রিপ্ট বা প্রক্রিয়া লিখছে যা রিয়েল টাইমে ইলাস্টিক বেস অ্যাক্সেস করবে, প্রয়োজনীয় ঘটনাগুলি টেনে আনবে এবং সেগুলিকে একটি নতুন সূচকে সংরক্ষণ করবে, এটি একটি কঠিন কাজ, তবে এটি আপনাকে লগের সাথে আপনার পছন্দ মতো কাজ করতে দেয় , এবং অন্যান্য নিরাপত্তা সরঞ্জামের ঘটনাগুলির সাথে সরাসরি সম্পর্কযুক্ত। এই বিকল্পটি আপনাকে সর্বাধিক নমনীয়তার সাথে আপনার ক্ষেত্রে যতটা সম্ভব উপযোগী লগগুলির সাথে কাজটি কাস্টমাইজ করতে দেয়, তবে এখানে একজন বিশেষজ্ঞ খুঁজে পেতে সমস্যা রয়েছে যিনি এটি বাস্তবায়ন করতে পারেন।

এবং, অবশ্যই, সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন কি সম্পর্কযুক্ত এবং সনাক্ত করা যেতে পারে?

এখানে বেশ কয়েকটি বিকল্প থাকতে পারে এবং আপনার পরিকাঠামোতে কোন নিরাপত্তা সরঞ্জাম ব্যবহার করা হয় তার উপর নির্ভর করে কয়েকটি উদাহরণ:

1. সবচেয়ে সুস্পষ্ট এবং আমার দৃষ্টিকোণ থেকে যারা একটি NGFW সমাধান এবং একটি দুর্বলতা স্ক্যানার আছে তাদের জন্য সবচেয়ে আকর্ষণীয় বিকল্প। এটি আইপিএস লগ এবং দুর্বলতা স্ক্যান ফলাফলের তুলনা। যদি আইপিএস সিস্টেম দ্বারা একটি আক্রমণ সনাক্ত করা হয় (অবরুদ্ধ করা হয়নি), এবং এই দুর্বলতাটি স্ক্যানের ফলাফলের উপর ভিত্তি করে শেষ মেশিনে বন্ধ করা হয় না, তবে সমস্ত পাইপ উড়িয়ে দেওয়া প্রয়োজন, যেহেতু দুর্বলতার একটি উচ্চ সম্ভাবনা রয়েছে। শোষিত
2. একটি মেশিন থেকে বিভিন্ন জায়গায় অনেক লগইন প্রচেষ্টা দূষিত কার্যকলাপের প্রতীক হতে পারে।
3. বিপুল সংখ্যক সম্ভাব্য বিপজ্জনক সাইট দেখার কারণে ব্যবহারকারীর দ্বারা ভাইরাস ফাইল ডাউনলোড করা।

পরিসংখ্যান এবং ভিজ্যুয়ালাইজেশন

ELK স্ট্যাকের সবচেয়ে সুস্পষ্ট এবং বোধগম্য উদ্দেশ্য হল স্টোরেজ এবং লগের ভিজ্যুয়ালাইজেশন, অতীতের নিবন্ধগুলিতে এটি দেখানো হয়েছে কিভাবে আপনি Logstash ব্যবহার করে বিভিন্ন ডিভাইস থেকে লগ পেতে পারেন। লগগুলি ইলাস্টিকসার্চে যাওয়ার পরে, আপনি ড্যাশবোর্ডগুলি সেট আপ করতে পারেন, যা উল্লেখ করা হয়েছিল অতীতের নিবন্ধগুলিতেভিজ্যুয়ালাইজেশনের মাধ্যমে আপনার প্রয়োজনীয় তথ্য এবং পরিসংখ্যান সহ।

উদাহরণ:

1. ড্যাশবোর্ড অফ থ্রেট প্রিভেনশন ইভেন্টগুলি সবচেয়ে জটিল ইভেন্ট সহ। এখানে আপনি প্রতিফলিত করতে পারেন কোন আইপিএস স্বাক্ষর সনাক্ত করা হয়েছে, তারা ভৌগলিকভাবে কোথা থেকে এসেছে।

   

2. ড্যাশবোর্ড সবচেয়ে গুরুত্বপূর্ণ অ্যাপ্লিকেশন ব্যবহার করে যার জন্য তথ্য ফাঁস হতে পারে।

   

3. যেকোনো নিরাপত্তা স্ক্যানার থেকে ফলাফল স্ক্যান করুন।

   

4. ব্যবহারকারীদের দ্বারা সক্রিয় ডিরেক্টরি থেকে লগ.

   

5. ভিপিএন সংযোগ ড্যাশবোর্ড।

এই ক্ষেত্রে, আপনি যদি প্রতি কয়েক সেকেন্ডে আপডেট করার জন্য ড্যাশবোর্ডগুলি সেট আপ করেন, তাহলে আপনি রিয়েল টাইমে ইভেন্টগুলি পর্যবেক্ষণ করার জন্য একটি মোটামুটি সুবিধাজনক সিস্টেম পেতে পারেন, যেটি আপনি যদি ড্যাশবোর্ডগুলি রাখেন তবে যত তাড়াতাড়ি সম্ভব তথ্য সুরক্ষা ঘটনাগুলির প্রতিক্রিয়া জানাতে ব্যবহার করা যেতে পারে। পৃথক পর্দা।

ঘটনা অগ্রাধিকার

একটি বৃহৎ অবকাঠামোর পরিস্থিতিতে, ঘটনার সংখ্যা স্কেল থেকে দূরে যেতে পারে এবং বিশেষজ্ঞদের সময়মত সমস্ত ঘটনা বিশ্লেষণ করার সময় থাকবে না। এই ক্ষেত্রে, সর্বপ্রথম শুধুমাত্র সেই ঘটনাগুলিকে আলাদা করা প্রয়োজন যা একটি বড় হুমকি বহন করে। অতএব, সিস্টেমটিকে অবশ্যই আপনার অবকাঠামোর সাথে সম্পর্কিত ঘটনাগুলির তীব্রতা অনুসারে অগ্রাধিকার দিতে হবে। এই ইভেন্টগুলির মেল বা টেলিগ্রামে একটি বিজ্ঞপ্তি সেট আপ করার পরামর্শ দেওয়া হচ্ছে। ভিজ্যুয়ালাইজেশন সেট আপ করে নিয়মিত কিবানা টুল ব্যবহার করে অগ্রাধিকার প্রয়োগ করা যেতে পারে। কিন্তু একটি বিজ্ঞপ্তির সাথে এটি কঠিন, ডিফল্টরূপে এই কার্যকারিতাটি ইলাস্টিকসার্চের মৌলিক সংস্করণে অন্তর্ভুক্ত নয়, শুধুমাত্র অর্থপ্রদানের সংস্করণে। অতএব, হয় একটি প্রদত্ত সংস্করণ কিনুন, অথবা, আবার, নিজেই একটি প্রক্রিয়া লিখুন যা মেল বা টেলিগ্রামের মাধ্যমে রিয়েল টাইমে বিশেষজ্ঞদের অবহিত করবে।

তথ্য নিরাপত্তা প্রক্রিয়া অটোমেশন

এবং সবচেয়ে আকর্ষণীয় অংশগুলির মধ্যে একটি হ'ল তথ্য সুরক্ষা ঘটনার জন্য ক্রিয়াগুলির অটোমেশন। পূর্বে, আমরা স্প্লঙ্কের জন্য এই কার্যকারিতা প্রয়োগ করেছি, আপনি এতে আরও কিছুটা পড়তে পারেন প্রবন্ধ. মৌলিক ধারণা হল যে আইপিএস নীতি কখনই পরীক্ষিত বা অপ্টিমাইজ করা হয় না, যদিও কিছু ক্ষেত্রে এটি তথ্য সুরক্ষা প্রক্রিয়াগুলির একটি অপরিহার্য অংশ। উদাহরণস্বরূপ, NGFW বাস্তবায়নের এক বছর পরে এবং IPS-কে অপ্টিমাইজ করার জন্য ক্রিয়াকলাপের অনুপস্থিতির পরে, আপনি ডিটেক্ট অ্যাকশনের সাথে প্রচুর সংখ্যক স্বাক্ষর সংগ্রহ করবেন যা ব্লক করা হবে না, যা সংস্থার তথ্য সুরক্ষার অবস্থাকে ব্যাপকভাবে হ্রাস করে। এখানে কি স্বয়ংক্রিয় হতে পারে তার কিছু উদাহরণ রয়েছে:

1. সনাক্তকরণ থেকে প্রতিরোধে আইপিএস স্বাক্ষর স্যুইচ করা হচ্ছে। যদি প্রতিরোধ সমালোচনামূলক স্বাক্ষরগুলিতে কাজ না করে, তবে এটি আদেশের বাইরে এবং সুরক্ষা ব্যবস্থায় একটি গুরুতর লঙ্ঘন। আমরা নীতিতে এই ধরনের স্বাক্ষরে ক্রিয়া পরিবর্তন করি। NGFW ডিভাইসে REST API কার্যকারিতা থাকলে এই কার্যকারিতা প্রয়োগ করা যেতে পারে। এটি শুধুমাত্র তখনই সম্ভব যদি আপনার প্রোগ্রামিং দক্ষতা থাকে, আপনাকে Elastcisearch থেকে প্রয়োজনীয় তথ্য বের করতে হবে এবং NGFW কন্ট্রোল সার্ভারে API অনুরোধগুলি চালাতে হবে।
2. যদি একটি আইপি ঠিকানা থেকে নেটওয়ার্ক ট্র্যাফিকের মধ্যে প্রচুর স্বাক্ষর সনাক্ত বা অবরুদ্ধ করা হয়, তবে ফায়ারওয়াল নীতিতে কিছু সময়ের জন্য এই আইপি ঠিকানাটি ব্লক করা বোধগম্য। বাস্তবায়ন এছাড়াও REST API ব্যবহার করে গঠিত.
3. একটি দুর্বলতা স্ক্যানার সহ একটি হোস্ট স্ক্যান চালু করুন যদি এই হোস্টে IPS বা অন্যান্য সুরক্ষা সরঞ্জামগুলির জন্য প্রচুর সংখ্যক স্বাক্ষর থাকে, যদি এটি OpenVas হয়, তাহলে আপনি একটি স্ক্রিপ্ট লিখতে পারেন যা ssh এর মাধ্যমে সুরক্ষা স্ক্যানারের সাথে সংযোগ করবে এবং স্ক্যানটি চালাবে৷

TS টোটাল সাইট

সংক্ষেপে, সমস্ত কার্যকারিতা বাস্তবায়ন একটি খুব বড় এবং কঠিন কাজ। প্রোগ্রামিং দক্ষতা ছাড়া, আপনি ন্যূনতম কার্যকারিতা সেট আপ করতে পারেন, যা উত্পাদনশীলতায় ব্যবহারের জন্য যথেষ্ট হতে পারে। তবে আপনি যদি সমস্ত কার্যকারিতায় আগ্রহী হন তবে আপনি TS মোট দৃষ্টিতে মনোযোগ দিতে পারেন। আপনি আমাদের আরো বিস্তারিত জানতে পারেন ওয়েবসাইট. ফলস্বরূপ, কাজ এবং আর্কিটেকচারের পুরো স্কিমটি এইরকম দেখাবে:

উপসংহার

আমরা ELK স্ট্যাক ব্যবহার করে কি বাস্তবায়ন করা যেতে পারে তা দেখেছি। পরবর্তী নিবন্ধগুলিতে, আমরা আলাদাভাবে TS মোট দর্শনের কার্যকারিতা আরও বিশদে বিবেচনা করব!

সুতরাং সংগেই থাকুনTelegram, ফেসবুক, VK, টিএস সমাধান ব্লগ), ইয়ানডেক্স জেন.

উত্স: www.habr.com