{"id":54536,"date":"2019-12-28T00:00:00","date_gmt":"2019-12-27T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/3-elastic-stack-analiz-security-logov-dashbordy"},"modified":"2020-02-18T14:02:33","modified_gmt":"2020-02-18T11:02:33","slug":"3-elastic-stack-analiz-security-logov-dashbordy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","title":{"rendered":"3. Elastic stack: an\u00e1lisis de registros de seguridad. Dashboards","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nEn art\u00edculos anteriores, nos familiarizamos un poco con el stack ELK y la configuraci\u00f3n del archivo de configuraci\u00f3n de Logstash para el analizador de registros. En este art\u00edculo, pasaremos a lo m\u00e1s importante desde el punto de vista anal\u00edtico, lo que desea ver del sistema y por lo que todo fue creado: gr\u00e1ficos y tablas combinados en dashboards<\/b>. Hoy nos familiarizaremos m\u00e1s con el sistema de visualizaci\u00f3n Kibana<\/b>, veremos c\u00f3mo crear gr\u00e1ficos, tablas, y como resultado construiremos un sencillo dashboard basado en los registros del firewall Check Point.
\n<\/a><\/noindex>
\nEl primer paso para trabajar con Kibana es crear un patr\u00f3n de \u00edndice<\/b>, que l\u00f3gicamente es una base de \u00edndices unificados seg\u00fan un principio determinado. Por supuesto, esto es exclusivamente una configuraci\u00f3n para que Kibana busque informaci\u00f3n en todos los \u00edndices de manera m\u00e1s conveniente. Se establece mediante la coincidencia de la cadena, digamos \u201ccheckpoint-*\u201d y el nombre del \u00edndice. Por ejemplo, \u00abcheckpoint-2019.12.05\u00bb encajar\u00eda con el patr\u00f3n, mientras que simplemente \u00abcheckpoint\u00bb no. Cabe destacar que no se puede buscar informaci\u00f3n basada en diferentes patrones de \u00edndices simult\u00e1neamente. M\u00e1s adelante, en art\u00edculos posteriores, veremos que las solicitudes de API se hacen ya sea por el nombre del \u00edndice, o por un solo patr\u00f3n de l\u00ednea, la imagen es clicable:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

Despu\u00e9s de esto, comprobamos en el men\u00fa Discover que todos los registros se est\u00e1n indexando y que el analizador est\u00e1 correctamente configurado. Si hay alguna discrepancia, por ejemplo, cambiar el tipo de dato de cadena a entero, es necesario editar el archivo de configuraci\u00f3n de Logstash, y como resultado, los nuevos registros se grabar\u00e1n correctamente. Para que los registros antiguos adopten el formato necesario antes del cambio, solo ayuda el proceso de reindexaci\u00f3n. En art\u00edculos posteriores, esta operaci\u00f3n se examinar\u00e1 con m\u00e1s detalle. Asegur\u00e9monos de que todo est\u00e9 bien, la imagen es clicable:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

Los registros est\u00e1n en su lugar, as\u00ed que podemos proceder a construir dashboards. Con base en el an\u00e1lisis de dashboards de productos de seguridad, se puede entender el estado de la ciberseguridad en la organizaci\u00f3n, visualizar claramente los puntos vulnerables en la pol\u00edtica actual y elaborar formas para abordarlos. Construiremos un peque\u00f1o dashboard utilizando varios medios de visualizaci\u00f3n. El dashboard constar\u00e1 de 5 componentes: <\/p>\n

    \n
  1. tabla para contar el n\u00famero total de registros por blades<\/li>\n
  2. tabla de firmas cr\u00edticas de IPS<\/li>\n
  3. diagrama circular de eventos de Prevenci\u00f3n de Amenazas<\/li>\n
  4. diagrama de los sitios web m\u00e1s visitados<\/li>\n
  5. diagrama del uso de las aplicaciones m\u00e1s peligrosas<\/li>\n<\/ol>\n

    \nPara crear figuras de visualizaci\u00f3n, debes ir al men\u00fa Visualizar<\/b>, y seleccionar la figura que deseamos construir. Sigamos un orden.<\/p>\n

    Tabla para contar el n\u00famero total de registros por blades<\/h3>\n

    \nPara esto, seleccionaremos la figura Tabla de Datos<\/b>, ingresamos en la herramienta para crear gr\u00e1ficos, a la izquierda se configuran las opciones de la figura, a la derecha se muestra c\u00f3mo lucir\u00e1 con la configuraci\u00f3n actual. Primero, mostrar\u00e9 c\u00f3mo se ver\u00e1 la tabla lista, luego revisaremos las configuraciones, la imagen es clickeable:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Configuraciones m\u00e1s detalladas de la figura, la imagen es clickeable:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Vamos a desglosar las configuraciones.<\/p>\n

    Inicialmente se configura m\u00e9trica<\/b>, este es el valor por el cual se agregar\u00e1n todos los campos. Las m\u00e9tricas se calculan en base a los valores extra\u00eddos de una u otra manera de los documentos. Los valores generalmente se extraen de los campos<\/b> del documento, pero tambi\u00e9n pueden ser generados usando scripts. En este caso, configuramos en Agregaci\u00f3n: Contar<\/b> (n\u00famero total de registros).<\/p>\n

    Despu\u00e9s de esto, dividimos la tabla por segmentos (campos) seg\u00fan los cuales se calcular\u00e1 la m\u00e9trica. Esta funci\u00f3n la realiza la configuraci\u00f3n de Buckets, que a su vez consta de 2 opciones de configuraci\u00f3n: <\/p>\n

      \n
    1. dividir filas \u2014 agregar columnas y posteriormente dividir la tabla en filas<\/li>\n
    2. dividir tabla \u2014 dividir en varias tablas por los valores de un campo espec\u00edfico. <\/li>\n<\/ol>\n

      \nEn buckets<\/b> se pueden agregar varias divisiones para crear varias columnas o tablas, las limitaciones aqu\u00ed son m\u00e1s bien l\u00f3gicas. En agregaci\u00f3n se puede elegir c\u00f3mo se dividir\u00e1 en segmentos: rango ipv4, rango de fecha, T\u00e9rminos, etc. La opci\u00f3n m\u00e1s interesante es precisamente T\u00e9rminos<\/b> y T\u00e9rminos Significativos<\/b>, la divisi\u00f3n en segmentos se realiza seg\u00fan los valores de un campo espec\u00edfico del \u00edndice, la diferencia entre ellos radica en la cantidad de valores retornados y su visualizaci\u00f3n. Dado que queremos dividir la tabla por el nombre de los blades, elegimos el campo \u2014 product.keyword<\/b> y establecemos el tama\u00f1o en 25 valores retornados. <\/p>\n

      En lugar de filas, en Elasticsearch se utilizan 2 tipos de datos \u2014 text<\/b> y palabra clave<\/b>. Si desea realizar una b\u00fasqueda de texto completo, debe utilizar el tipo text, lo cual es muy \u00fatil al crear su propio servicio de b\u00fasqueda, por ejemplo, busca una menci\u00f3n de la palabra en un campo de texto espec\u00edfico. Si solo desea coincidencias exactas, debe utilizar el tipo keyword. Tambi\u00e9n se debe usar el tipo de datos keyword para campos que requieren clasificaci\u00f3n o agregaci\u00f3n, es decir, en nuestro caso.<\/p>\n

      Como resultado, Elasticsearch cuenta el n\u00famero de logs en un per\u00edodo determinado, agregando seg\u00fan el valor en el campo product. En Custom Label, definimos el nombre de la columna que se mostrar\u00e1 en la tabla, establecemos el per\u00edodo para recoger los logs, iniciamos la representaci\u00f3n: Kibana env\u00eda una consulta a Elasticsearch, espera la respuesta y luego visualiza los datos obtenidos. \u00a1La tabla est\u00e1 lista!<\/p>\n

      Gr\u00e1fico circular de eventos de Prevenci\u00f3n de Amenazas<\/h3>\n

      \nEs de particular inter\u00e9s la informaci\u00f3n sobre cu\u00e1ntas reacciones hay en t\u00e9rminos porcentuales detect<\/b> y prevent<\/b> los incidentes de seguridad de la informaci\u00f3n en la pol\u00edtica de seguridad actual. Para este caso, un gr\u00e1fico circular es muy adecuado. Seleccionamos en Visualize \u2014 Gr\u00e1fico circular<\/b>. Tambi\u00e9n en la m\u00e9trica establecemos la agregaci\u00f3n por el n\u00famero de logs. En buckets colocamos t\u00e9rminos => action. <\/p>\n

      Parece que todo es correcto, pero los resultados muestran valores de todos los blades; necesitamos filtrar solo aquellos blades que operan en el marco de la Prevenci\u00f3n de Amenazas. Por lo tanto, es indispensable configurar filtro<\/b> para buscar informaci\u00f3n solo sobre los blades responsables de los incidentes de seguridad de la informaci\u00f3n \u2014 product: (\u00abAnti-Bot\u00bb OR \u00abNew Anti-Virus\u00bb OR \u00abDDoS Protector\u00bb OR \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). La imagen es clicable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Y configuraciones m\u00e1s detalladas, la imagen es clicable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Tabla de eventos IPS<\/h3>\n

      \nLuego, desde el punto de vista de la seguridad de la informaci\u00f3n, es muy importante revisar y verificar los eventos en el blade IPS<\/b> y Emulaci\u00f3n de Amenazas<\/b>, que no bloqueados<\/b> por la pol\u00edtica actual, para que en el futuro se pueda cambiar la firma a prevent, o si el tr\u00e1fico es v\u00e1lido, no verificar la firma. Creamos la tabla de la misma manera que en el primer ejemplo, solo con la diferencia de que creamos varias columnas: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. Es esencial configurar un filtro para buscar informaci\u00f3n solo sobre los blades responsables de los incidentes de seguridad de la informaci\u00f3n \u2014 product: ( \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). La imagen es clicable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Configuraciones m\u00e1s detalladas, la imagen es clicable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Gr\u00e1ficos de los sitios m\u00e1s visitados<\/h3>\n

      \nPara esto creamos una figura \u2014 Barra Vertical<\/b>. Tambi\u00e9n utilizamos la m\u00e9trica count (eje Y), y en el eje X usaremos como valores los nombres de los sitios visitados \u2014 \u201cappi_name\u201d. Aqu\u00ed hay un peque\u00f1o truco, si ejecutamos la configuraci\u00f3n en su variante actual, todos los sitios se marcar\u00e1n en el gr\u00e1fico con un solo color, para que sean multicolores utilizamos una configuraci\u00f3n adicional \u2014 \u201csplit series\u201d, que permite dividir la columna ya preparada en varios valores, dependiendo del campo seleccionado, \u00a1por supuesto! Esta divisi\u00f3n se puede usar como una \u00fanica columna multicolor en modo apilado, o en modo normal para crear varias columnas seg\u00fan un valor en el eje X. En este caso, aqu\u00ed usamos el mismo valor que en el eje X, esto permite que todas las columnas sean multicolores, a la derecha en la parte superior se indicar\u00e1n con colores. En el filtro establecemos \u2014 product: \u00abURL Filtering\u00bb para ver informaci\u00f3n solo sobre los sitios visitados, la imagen es clickeable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Configuraciones:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Diagrama sobre el uso de las aplicaciones m\u00e1s peligrosas<\/h3>\n

      \nPara esto creamos una figura \u2014 Barra Vertical. Tambi\u00e9n utilizamos la m\u00e9trica count (eje Y), y en el eje X usaremos como valores los nombres de las aplicaciones utilizadas \u2014 \u201cappi_name\u201d. Lo m\u00e1s importante es establecer el filtro \u2014 product: \u00abApplication Control\u00bb AND app_risk: (4 OR 5 OR 3) AND action:\u00abaccept\u00bb. Filtramos los registros por el blade de Application control, tomamos solo aquellos sitios que est\u00e1n categorizados como sitios con riesgo Cr\u00edtico, Alto, Medio y solo en el caso de que el acceso a esos sitios est\u00e9 permitido. La imagen es clickeable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Configuraciones, clickeable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Panel de control<\/h3>\n

      \nLa visualizaci\u00f3n y creaci\u00f3n de dashboards se encuentra en un men\u00fa separado \u2014 Tablero<\/b>. Aqu\u00ed todo es simple, se crea un nuevo dashboard, se a\u00f1ade visualizaci\u00f3n, se organiza y \u00a1listo!<\/p>\n

      Creamos un dashboard que permitir\u00e1 entender la situaci\u00f3n b\u00e1sica de la seguridad de la informaci\u00f3n en la organizaci\u00f3n, claro, solo a nivel de Check Point, la imagen es clickeable:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Con base en estos gr\u00e1ficos podemos entender qu\u00e9 firmas cr\u00edticas no est\u00e1n bloqueadas en el firewall, a d\u00f3nde navegan los usuarios, y cu\u00e1les son las aplicaciones m\u00e1s peligrosas que utilizan.<\/p>\n

      Conclusi\u00f3n<\/h3>\n

      \nHemos revisado las capacidades de visualizaci\u00f3n b\u00e1sica en Kibana y hemos creado un panel de control, pero esto es solo una peque\u00f1a parte. M\u00e1s adelante en el curso, discutiremos la configuraci\u00f3n de mapas, el trabajo con el sistema Elasticsearch, nos familiarizaremos con las solicitudes de API, la automatizaci\u00f3n y mucho m\u00e1s.<\/p>\n

      As\u00ed que est\u00e9n atentos a las actualizaciones (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, TS Solution Blog<\/a><\/noindex>), Yandex.Zen<\/a><\/noindex>.
      \n
      Fuente:       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u0412 \u043f\u0440\u043e\u0448\u043b\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445 \u043c\u044b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043b\u0438\u0441\u044c \u0441\u043e \u0441\u0442\u0435\u043a\u043e\u043c elk \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 Logstash \u0434\u043b\u044f \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u043b\u043e\u0433\u043e\u0432, \u0432 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u0430\u043c\u043e\u043c\u0443 \u0432\u0430\u0436\u043d\u043e\u043c\u0443 \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438, \u0442\u043e \u0447\u0442\u043e \u0432\u044b \u0445\u043e\u0442\u0438\u0442\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u043e\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0440\u0430\u0434\u0438 \u0447\u0435\u0433\u043e \u0432\u0441\u0435 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u2014 \u044d\u0442\u043e \u0433\u0440\u0430\u0444\u0438\u043a\u0438 \u0438 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u043d\u044b\u0435 \u0432 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u043f\u043e\u0431\u043b\u0438\u0436\u0435 \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043c\u0441\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-54536","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd473. Elastic stack: an\u00e1lisis de registros de seguridad. Paneles | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd473. Elastic stack: \u0430\u043d\u0430\u043b\u0438\u0437 security \u043b\u043e\u0433\u043e\u0432. \u0414\u0430\u0448\u0431\u043e\u0440\u0434\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-27T21:00:00+00:00","article:modified_time":"2020-02-18T11:02:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"54536","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 11:45:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:03:57","updated":"2026-01-24 11:45:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/54536","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=54536"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/54536\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=54536"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=54536"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=54536"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}