V tomto příspěvku bude popsána konfigurace vizualizace informačních panelů ELK a SIEM v ELK
Článek je rozdělen do následujících sekcí:
1- Přehled ELK SIEM
2- Výchozí panely
3- Vytvoření prvních panelů
Obsah všech příspěvků.
- Integrace s WAZUH
- Upozornění (Alerting)
- Reporting
- Správa případů
1-Přehled ELK SIEM
ELK SIEM byl nedávno přidán do stacku elk ve verzi 7.2 z 25. června 2019.
Toto SIEM řešení, které vytvořil elastic.co, má usnadnit život analytikům bezpečnosti a učinit ho méně únavným.
Ve naší verzi práce jsme se rozhodli vytvořit vlastní SIEM a vybrat si vlastní řídicí panel.
Ale považujeme za důležité nejprve prozkoumat ELK SIEM.
1.1- Sekce událostí hostitelů
Nejprve se podíváme na sekci hostitelů. Sekce hostitele vám umožní vidět události, které se generují na samotném koncovém bodě.
Po stisknutí prohlížeče hostitelů byste měli získat něco jako toto. Jak vidíte, k tomuto počítači jsou připojeny tři hostitelé:
1 Windows 10.
2 Server Ubuntu 18.04.
Máme několik zobrazených vizualizací, z nichž každá zobrazuje různé typy událostí.
Například ten, který je uprostřed, zobrazuje data o přihlášení na všech třech strojích.
Tento objem dat, který zde vidíte, byl shromážděn během pěti dnů. To vysvětluje velké množství neúspěšných a úspěšných přístupů. Pravděpodobně budete mít menší množství protokolů, takže se nebojte.
1.2- Sekce síťových událostí
Přejdeme k sekci sítě, měli byste získat něco jako toto. Tato sekce vám umožní pozorně sledovat vše, co se děje ve vaší síti, od HTTP / TLS provozu po DNS provoz a externí bezpečnostní události.
2- Výchozí panely
Aby usnadnili život uživatelům, vývojáři elastic.co vytvořili výchozí řídicí panel, oficiálně podporovaný ELK. Naše bity nebyly výjimkou. Zde budu brát jako příklad výchozí panel Packetbeat.
Pokud jste správně provedli krok druhého článku. Měli byste mít nastavený panel, který na vás čeká. Tak se do toho pusťme.
Na levé záložce Kibana vyberte ikonu panela. To je třetí, pokud počítáte zhora.
Zadejte název podílu do vyhledávacího pole
Pokud je v bite více modulů, bude vytvořena řídicí panel pro každý z nich. Ale pouze ten, u něhož je modul aktivní, bude zobrazovat neprázdná data.
Vyberte ten, který má název vašeho modulu.
Tohle je hlavní šablona PacketBeat.
Toto je řídicí panel síťových toků. Informuje nás o příchozím a odchozím paketu, zdrojích a cílových IP adresách a také poskytne mnoho užitečných informací pro analytika bezpečnostního centra.
3 – Vytváření vašich prvních dashboardů
3–1- Základní pojmy
A- Typy dashboardů:
To jsou různé typy vizualizací, které můžete použít k zobrazení vašich dat.
například máme:
- Sloupcový graf
- Mapa
- Markdown widget
- Koláčový graf
B- KQL (dotazovací jazyk Kibana):
To je jazyk používaný v Kibana pro pohodlné hledání v datech. Umožňuje vám zkontrolovat, zda určitá data existují, a mnoho dalších užitečných funkcí. Chcete-li se dozvědět více, můžete si prostudovat informace na tomto odkazu
Toto je příklad dotazu na vyhledávání hostitele s Windows 10 pro.
C- Filtry:
Tato funkce vám umožní filtrovat určité parametry, například název hostitele, kód nebo identifikátor události atd. Filtry podstatně zlepší fázi vyšetřování z hlediska času a úsilí vynaloženého na hledání důkazů.
D- První vizualizace:
Vytvoříme vizualizaci pro MITER ATT & CK.
Nejdříve se musíme dostat do Dashboard → Vytvořit nový dashboard → vytvořit nový → Koláčový dashboard
Nastavte typ pro vzor indexu, poté se dotkněte názvu vašeho bitu.
Stiskněte Enter. V tuto chvíli byste měli vidět zelený donut.
Na kartě Buckets naleznete:
— Split slices rozdělí donut na různé části podle rozptýlení dat.
— Split Chart vytvoří další donut vedle tohoto.
Budeme používat rozdělené plátky.
Budeme vizualizovat naše data v závislosti na termínu, který jsme vybrali. V tomto případě se termín vztahuje na MITER ATT & CK.
V Winlogbeat se pole, které nám tyto informace poskytne, nazývá:
winlog.event_data.RuleNameNastavíme metodu počítání pro uspořádání událostí podle počtu jejich výskytů.
Povolit funkci 'Seskupit ostatní hodnoty do samostatného segmentu'.
Bude to užitečné, pokud vybrané termíny mají mnoho různých významů vycházejících z rytmu. Pomáhá to vizualizovat ostatní data jako celek. Poskytne vám to představu o procentu ostatních událostí.
Nyní, když jsme dokončili nastavení tabulky dat, přejdeme k záložce parametrů.
Musíte udělat následující:
** Odstraňte donutový formulář, aby se na vizualizaci objevil celý kruh.
** Vyberte si pozici legendy, která se vám líbí. V tomto případě je umístíme vpravo.
** Nastavte hodnoty zobrazení, aby se zobrazovaly vedle jejich fragmentu pro usnadnění čtení, ostatní ponechte jako výchozí.
Oříznutí určuje, kolik chcete zobrazit z názvu události.
Nastavte čas, od kterého by měla vizualizace začínat, a poté klikněte na modrý čtverec.
Měli byste dostat něco jako toto:
Můžete také přidat filtr k vaší vizualizaci, abyste filtrovali konkrétní hostitele, kterého chcete zkontrolovat, nebo jakékoli parametry, které považujete za užitečné pro váš cíl. Vizualizace bude zobrazovat pouze data odpovídající pravidlu umístěnému ve filtru. V tomto případě budeme zobrazovat data MITER ATT & CK, která pocházejí pouze z hostitele s názvem win10.
3–2- Vytvoření vašeho prvního informačního panelu:
Informační panel je soubor mnoha vizualizací. Vaše panely by měly být jasné, srozumitelné a obsahovat užitečné a determinované údaje. Zde je příklad panelů, které jsme vytvořili od nuly pro winlogbeat.
Děkujeme, že jste si našli čas. Doufáme, že vám tento článek byl užitečný. Pokud chcete získat podrobnější informace k danému tématu, doporučujeme vám navštívit .
Telegram chat k Elasticsearch:
Zdroj: habr.com
