{"id":54536,"date":"2019-12-28T00:00:00","date_gmt":"2019-12-27T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/3-elastic-stack-analiz-security-logov-dashbordy"},"modified":"2020-02-18T14:02:33","modified_gmt":"2020-02-18T11:02:33","slug":"3-elastic-stack-analiz-security-logov-dashbordy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","title":{"rendered":"3. Elastic stack: analyse af sikkerhedslogs. Dashboards","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nI tidligere artikler har vi kort v\u00e6ret inde p\u00e5 ELK-stakken og ops\u00e6tningen af konfigurationsfilen Logstash til logparseren. I denne artikel g\u00e5r vi videre til det mest vigtige fra et analytisk synspunkt, det som du \u00f8nsker at se fra systemet, og som hele dette er skabt for \u2014 det er grafer og tabeller samlet i dashboards<\/b>. I dag vil vi se n\u00e6rmere p\u00e5 visualiseringssystemet Kibana<\/b>, og vi vil se p\u00e5, hvordan man opretter grafer og tabeller, og til sidst bygger vi et simpelt dashboard baseret p\u00e5 logs fra Check Point-firewallen.
\n<\/a><\/noindex>
\nDet f\u00f8rste skridt i arbejdet med Kibana er oprettelsen af indexm\u00f8nster<\/b>, som logisk set er en database af indekser defineret efter et bestemt princip. Selvf\u00f8lgelig er dette udelukkende en ops\u00e6tning, s\u00e5 Kibana lettere kan s\u00f8ge information p\u00e5 tv\u00e6rs af alle indekser p\u00e5 \u00e9n gang. Det fasts\u00e6ttes ved at matche en streng, for eksempel \"checkpoint-*\" og navnet p\u00e5 indekset. For eksempel passer \"checkpoint-2019.12.05\" til m\u00f8nsteret, men bare \"checkpoint\" g\u00f8r ikke. Det er ogs\u00e5 v\u00e6rd at n\u00e6vne, at man ikke kan s\u00f8ge information p\u00e5 tv\u00e6rs af forskellige indeksm\u00f8nstre samtidig - senere i artiklerne vil vi se, at API-anmodninger enten g\u00f8res efter indeksets navn eller netop efter et enkelt m\u00f8nster, billedet er klikbart:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

Derefter kontrollerer vi i menuen Discover, om alle logs indekseres, og om den rigtige parser er konfigureret. Hvis der opdages uoverensstemmelser, for eksempel hvis datatypen skal \u00e6ndres fra en streng til et heltal, skal konfigurationsfilen Logstash redigeres, s\u00e5 de nye logs bliver registreret korrekt. For at sikre, at de gamle logs f\u00e5r den n\u00f8dvendige form, hj\u00e6lper kun processen med reindeksering. I de kommende artikler vil denne operation blive gennemg\u00e5et mere detaljeret. Lad os sikre os, at alt er i orden, billedet er klikbart:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

Logs er p\u00e5 plads, s\u00e5 vi kan begynde at opbygge dashboards. Baseret p\u00e5 analysen af dashboards fra sikkerhedsprodukter kan man forst\u00e5 tilstanden for informationssikkerhed i organisationen, visuelt se svage punkter i den nuv\u00e6rende politik og derefter udvikle metoder til at adressere dem. Lad os bygge et lille dashboard ved hj\u00e6lp af flere visualiseringsmidler. Dashboardet vil best\u00e5 af 5 komponenter: <\/p>\n

    \n
  1. en tabel til beregning af det samlede antal logs efter blades<\/li>\n
  2. en tabel over kritiske IPS-signaturer<\/li>\n
  3. et cirkeldiagram over h\u00e6ndelser i Threat Prevention<\/li>\n
  4. diagram over de mest popul\u00e6re bes\u00f8gte websteder<\/li>\n
  5. diagram over brugen af de mest farlige applikationer<\/li>\n<\/ol>\n

    \nFor at oprette visualiseringsfigurer skal du g\u00e5 til menuen Visualiser<\/b>, og v\u00e6lge den \u00f8nskede figur, som vi vil opbygge! Lad os tage det step for step.<\/p>\n

    Tabel til at t\u00e6lle det samlede antal logs pr. blade<\/h3>\n

    \nFor dette v\u00e6lger vi figuren Datatabel<\/b>, vi g\u00e5r ind i v\u00e6rkt\u00f8jet til at oprette grafer, til venstre indstilles figurens indstillinger, til h\u00f8jre vises, hvordan den vil se ud med de nuv\u00e6rende indstillinger. F\u00f8rst viser jeg, hvordan den f\u00e6rdige tabel vil se ud, derefter g\u00e5r vi gennem indstillingerne, billedet er klikbart:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Mere detaljerede indstillinger for figuren, billedet er klikbart:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Lad os gennemg\u00e5 indstillingerne.<\/p>\n

    F\u00f8rst indstilles metrik<\/b>, denne v\u00e6rdi, som alle felter vil blive aggregeret efter. Metrikker beregnes baseret p\u00e5 v\u00e6rdier, der er udtrukket p\u00e5 den ene eller anden m\u00e5de fra dokumenterne. V\u00e6rdier udtr\u00e6kkes typisk fra felter<\/b> i dokumentet, men kan ogs\u00e5 genereres ved hj\u00e6lp af scripts. I dette tilf\u00e6lde indstiller vi Aggregation: Count<\/b> (samlet antal logs).<\/p>\n

    Derefter dividerer vi tabellen efter segmenter (felter), hvorefter metrikken skal beregnes. Denne funktion udf\u00f8res af indstillingen Buckets, som i sin tur best\u00e5r af 2 indstillingsmuligheder: <\/p>\n

      \n
    1. split rows \u2014 tilf\u00f8jelse af kolonner og derefter opdeling af tabellen i r\u00e6kker<\/li>\n
    2. split table \u2014 opdeling i flere tabeller baseret p\u00e5 v\u00e6rdierne af et bestemt felt. <\/li>\n<\/ol>\n

      \nI buckets<\/b> du kan tilf\u00f8je flere opdelinger for at skabe flere kolonner eller tabeller, begr\u00e6nsningerne her er prim\u00e6rt logiske. I aggregation kan du v\u00e6lge, hvilken metode der vil blive brugt til segmentopdelingen: ipv4 range, date range, Terms osv. Det mest interessante valg er faktisk Terms<\/b> og Significant Terms<\/b>, opdelingen i segmenter sker baseret p\u00e5 v\u00e6rdierne af et bestemt indeksfelt, forskellen mellem dem ligger i antallet af returnerede v\u00e6rdier og deres visning. Da vi \u00f8nsker at opdele tabellen efter navnet p\u00e5 blade, v\u00e6lger vi feltet \u2014 product.keyword<\/b> og angiver st\u00f8rrelsen til 25 returnerede v\u00e6rdier. <\/p>\n

      I stedet for r\u00e6kker anvendes der i Elasticsearch 2 typer data \u2014 text<\/b> og n\u00f8gleord<\/b>. Hvis du vil udf\u00f8re en fuldteksts\u00f8gefunktion, skal du bruge typen text, hvilket er meget nyttigt, n\u00e5r du skriver din egen s\u00f8geservice, f.eks. s\u00f8ger du efter n\u00e6vnelsen af et ord i en bestemt betydning af feltet (teksten). Hvis du \u00f8nsker kun n\u00f8jagtige match, skal du bruge typen keyword. Desuden b\u00f8r datatypen keyword bruges til felter, der kr\u00e6ver sortering eller aggregat, som i vores tilf\u00e6lde.<\/p>\n

      Som resultat t\u00e6ller Elasticsearch antallet af logs for en given tidsperiode ved at aggregere efter v\u00e6rdien i feltet produkt. I Custom Label angiver vi navnet p\u00e5 kolonnen, som vil blive vist i tabellen, vi angiver den periode, hvor vi indsamler logs, starter visualiseringen \u2014 Kibana sender anmodningen til Elasticsearch, venter p\u00e5 svar og visualiserer derefter de modtagne data. Tabellen er klar!<\/p>\n

      Cirkeldiagram over h\u00e6ndelser i Trusselsforebyggelse<\/h3>\n

      \nEn bestemt interesse repr\u00e6senterer informationen om, hvor mange reaktioner der overhovedet er i procentvis forhold. detect<\/b> og prevent<\/b> til h\u00e6ndelserne i den nuv\u00e6rende sikkerhedspolitik. Til denne situation er et cirkeldiagram meget velegnet. Vi v\u00e6lger i Visualize \u2014 Pie chart<\/b>. Desuden angiver vi aggregeringen i metriiken baseret p\u00e5 antallet af logs. I buckets s\u00e6tter vi Terms => action. <\/p>\n

      Det virker som om, alt er korrekt, men resultatet viser v\u00e6rdier for alle blades, s\u00e5 vi skal filtrere for kun de blades der arbejder inden for Trusselsforebyggelse. Derfor sikrer vi at filteret<\/b> for at s\u00f8ge information kun om blades der er ansvarlige for h\u00e6ndelser i cybersikkerhed \u2014 produkt: (\u00abAnti-Bot\u00bb OR \u00abNew Anti-Virus\u00bb OR \u00abDDoS Protector\u00bb OR \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). Billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Og mere detaljerede indstillinger, billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Tabel over h\u00e6ndelser i IPS<\/h3>\n

      \nDerefter er det meget vigtigt ud fra cybersikkerhedssynspunktet at se og tjekke h\u00e6ndelserne for blade IPS<\/b> og Trusselsemlation<\/b>, som ikke blokeres<\/b> af den nuv\u00e6rende politik, s\u00e5 det i fremtiden enten kan overf\u00f8re signaturen til prevent, eller hvis trafikken er valide \u2014 ikke tjekke signaturen. Vi opretter tabellen ligesom i det f\u00f8rste eksempel, men med den forskel, at vi opretter flere kolonner: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. Vi sikrer at ops\u00e6tte filteret for at s\u00f8ge information kun om blades der er ansvarlige for h\u00e6ndelser i cybersikkerhed \u2014 produkt: ( \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). Billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Mere detaljerede indstillinger, billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Diagrammer over de mest popul\u00e6re bes\u00f8gte websteder<\/h3>\n

      \nFor dette opretter vi en figur - Vertikal Bar<\/b>. Vi bruger ogs\u00e5 metrikken count (Y-akse), og p\u00e5 X-aksen vil vi bruge navnet p\u00e5 de bes\u00f8gte websteder - \u201cappi_name\u201d. Der er en lille finesse; hvis vi k\u00f8rer indstillingerne i den nuv\u00e6rende version, vil alle websteder blive markeret med \u00e9n farve p\u00e5 grafen. For at g\u00f8re dem farverige bruger vi den ekstra indstilling - \u201csplit series\u201d, som g\u00f8r det muligt at opdele den allerede f\u00e6rdige kolonne i flere v\u00e6rdier, afh\u00e6ngigt af det valgte felt, selvf\u00f8lgelig! Denne opdeling kan bruges som \u00e9n farverig kolonne i stacked-tilstand eller i normal tilstand for at skabe flere kolonner efter en bestemt v\u00e6rdi p\u00e5 X-aksen. I dette tilf\u00e6lde bruger vi den samme v\u00e6rdi som p\u00e5 X-aksen, hvilket giver mulighed for at g\u00f8re alle s\u00f8jlerne farverige, og de vil blive angivet med farver \u00f8verst til h\u00f8jre. I filteret s\u00e6tter vi - product:\u00abURL Filtering\u00bb for kun at se oplysninger om de bes\u00f8gte websteder, billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Indstillinger:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Diagram over brugen af de mest farlige applikationer<\/h3>\n

      \nFor dette opretter vi en figur - Vertikal Bar. Vi bruger ogs\u00e5 metrikken count (Y-akse), og p\u00e5 X-aksen vil vi bruge navnet p\u00e5 de anvendte applikationer - \u201cappi_name\u201d. Det vigtigste er at angive filteret - product: \u00abApplication Control\u00bb AND app_risk: (4 OR 5 OR 3) AND action: \u00abaccept\u00bb. Vi filtrerer loggene efter bladet Application Control, og tager kun de websites, der er kategoriseret som websteder med risiko for kritisk, h\u00f8j, medium, og kun hvis adgangen til disse websites er tilladt. Billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Indstillinger, klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Dashboard<\/h3>\n

      \nVisning og oprettelse af dashboards findes i en separat menu - Dashboard<\/b>. Her er det enkelt, et nyt dashboard oprettes, visualiseringen tilf\u00f8jes, og det arrangeres, og s\u00e5 er det hele klar!<\/p>\n

      Vi opretter et dashboard, der g\u00f8r det muligt at forst\u00e5 den grundl\u00e6ggende situation for informationssikkerheden i organisationen, dog kun p\u00e5 Check Point-niveau, billedet er klikbart:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Baseret p\u00e5 disse grafer kan vi forst\u00e5, hvilke kritiske signaturer der ikke blokeres p\u00e5 firewall'en, hvor brugerne bev\u00e6ger sig hen, og hvilke de mest farlige applikationer de bruger.<\/p>\n

      Konklusion<\/h3>\n

      \nVi har unders\u00f8gt mulighederne for grundl\u00e6ggende visualisering i Kibana og bygget et dashboard, men det er blot en lille del. I det f\u00f8lgende kapitel vil vi kigge n\u00e6rmere p\u00e5 konfiguration af kort, arbejde med Elasticsearch-systemet, l\u00e6re API-foresp\u00f8rgsler at kende, automatisering og meget mere!<\/p>\n

      S\u00e5 hold \u00f8je med opdateringer (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, TS Solution Blog<\/a><\/noindex>), Yandex.Zen<\/a><\/noindex>.
      \n
      Kilde:       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u0412 \u043f\u0440\u043e\u0448\u043b\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445 \u043c\u044b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043b\u0438\u0441\u044c \u0441\u043e \u0441\u0442\u0435\u043a\u043e\u043c elk \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 Logstash \u0434\u043b\u044f \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u043b\u043e\u0433\u043e\u0432, \u0432 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u0430\u043c\u043e\u043c\u0443 \u0432\u0430\u0436\u043d\u043e\u043c\u0443 \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438, \u0442\u043e \u0447\u0442\u043e \u0432\u044b \u0445\u043e\u0442\u0438\u0442\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u043e\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0440\u0430\u0434\u0438 \u0447\u0435\u0433\u043e \u0432\u0441\u0435 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u2014 \u044d\u0442\u043e \u0433\u0440\u0430\u0444\u0438\u043a\u0438 \u0438 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u043d\u044b\u0435 \u0432 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u043f\u043e\u0431\u043b\u0438\u0436\u0435 \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043c\u0441\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-54536","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd473. Elastic stack: analyse af security logs. Dashboards | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd473. Elastic stack: \u0430\u043d\u0430\u043b\u0438\u0437 security \u043b\u043e\u0433\u043e\u0432. \u0414\u0430\u0448\u0431\u043e\u0440\u0434\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-27T21:00:00+00:00","article:modified_time":"2020-02-18T11:02:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"54536","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 11:45:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:03:57","updated":"2026-01-24 11:45:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/54536","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=54536"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/54536\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=54536"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=54536"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=54536"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}