🥇ELK SIEM Open Distro: ELK ja SIEM visuaalsete armatuurlaudade seadistamine ELK

Selles postituses kirjeldatakse ELK ja SIEM infopaneelide visualiseerimise seadistamist ELK-is
Artikkel on jagatud järgmistesse jaotistesse:

1- ELK SIEM ülevaade
2- Vaikimisi armatuurlaud
3- Teie esimeste armatuurlaudade loomine

Kogu postituste sisukord.

Sissejuhatus. SOC-as-a-Service (SOCasS) infrastruktuuri ja tehnoloogiate rakendamine
ELK stack — installimine ja seadistamine
Open Distro ülevaade
Armatuurlaudade ja ELK SIEM-i visualiseerimine
Integreerimine WAZUH-iga
Häired (Alerting)
Aruandlus
Juhtumihaldus

1- ELK SIEM ülevaade

ELK SIEM lisati hiljuti ELK stacki versioonis 7.2, 25. juunil 2019.

See on SIEM lahendus, mille on loonud elastic.co, et muuta turbeanalüütiku elu palju lihtsamaks ja vähem väsitavaks.

Meie tööversioonis otsustasime luua oma SIEM-i ja valida oma juhtpaneeli.

Kuid me peame oluliseks alustada ELK SIEM-i uurimist.

1.1- Host'i sündmuste jaotis

Esialgu vaatame läbi hosti jaotise. Host'i jaotis võimaldab teil näha sündmusi, mis genereeritakse kõige lõpp-punktis.

Pärast hostide vaatamisele klõpsamist peaksite saama midagi sellist. Nagu näete, on sellele arvutile ühendatud kolm hosti:

1 Windows 10.

2 Ubuntu 18.04 Server.

Meil on mitu erinevat visuaali, millest igaüks kuvab erinevaid sündmuste tüüpe.

Näiteks see, mis on keskel, näitab sisselogimise andmeid kõikidel kolmel masinal.

See andmemaht, mida te siin näete, on kogutud viie päeva jooksul. See selgitab suurt arvu ebaõnnestunud ja edukaid sisselogimisi. Teie puhul on tõenäoliselt vähe logisid, seega ärge muretsege.

1.2 - Võrgusündmuste jaotis.

Liikudes võrgujaotisse, peaksite saama midagi sellist. See jaotis võimaldab teil hoolikalt jälgida kõike, mis teie võrgus toimub, alates HTTP/TLS liiklusest kuni DNS liikluse ja väliste sündmuste hoiatusteni.

2- Vaikimisi armatuurlaud

Kasutajate elu lihtsustamiseks on elastic.co arendajad loonud vaikimisi juhtpaneeli, mida toetab ametlikult ELK. Meie bitid ei olnud selle reegli erandiks. Siin kasutan näitena vaikimisi Packetbeat juhtpaneeli.

Kui olete õigesti teinud artikli teise sammu. Teie jaoks peaks olema seadistatud juhtpaneel, mis ootab teid. Alustame!

Vasakul Kibana vahekaart valige armatuurlaua sümbol. See on kolmas, arvates ülevalt.

Sisestage aktsia nimi otsingu vahekaardile.

Kui bitis on mitu moodulit. Igaühe jaoks luuakse juhtpaneel. Kuid ainult see, kellel on moodul aktiivne, näitab mitte-tühje andmeid.

Valige see, millel on teie mooduli nimi.

See on põhitemplaat. PacketBeat.

See on võrguliikluse juhtpaneel. See annab meile teavet sissetulevate ja väljaminevate pakettide, IP-aadresside allikate ja sihtkohtade kohta ning pakub palju kasulikku teavet turvakeskuse analüütikule.

3 — Teie esimeste armatuurlaudade loomine.

3–1- Põhitõed.

A- Armatuurlaudade tüübid:

Need on erinevad visualiseerimise tüübid, mida saate oma andmete visualiseerimiseks kasutada.

näiteks meil on:

Histogramm
Kaart
Markdowni vidin
Ringdiagramm

B- KQL (Kibana päringukeel):

See on keele, mida kasutatakse Kibanas andmete mugavaks otsimiseks. See võimaldab teil kontrollida, kas teatud andmed eksisteerivad, ja paljusid muid kasulikke funktsioone. Lisateabe saamiseks võite uurida teavet sellel lingil.

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

See on näide hosti otsingu päringust Windows 10 pro süsteemiga.

C- Filtrid:

See funktsioon võimaldab teil filtreerida teatud parameetreid, näiteks hostinime, koodi või sündmuse identifikaatorit jne. Filtrid parandavad oluliselt uurimisfaasi, vähendades ajakulutusi ja pingutusi tõendite leidmiseks.

D- Esimene visualiseerimine:

Loome visualiseerimise MITRE ATT & CK jaoks.

Esmalt peame minema Armatuurlaud → Loo uus armatuurlaud → loo uus → Pirnikujuline armatuurlaud

Seadke tüüp indeksi mustrile, seejärel puudutage oma bit'i nime.

Vajutage Enter. Selleks ajaks peaksite nägema rohelist dona.

Vasakul vahekaardil Buckets leiate:

— Split slices jagab dona erinevateks osadeks vastavalt andmete hajutusele.

— Split Chart loob selle kõrval veel ühe dona.

Kasutame jagatud viilude varianti.

Visualiseerime oma andmed vastavalt meie valitud terminile. Sel juhul viitab termin MITRE ATT & CK-le.

Winlogbeat'is on väli, mis annab meile selle teabe, nimeks:

winlog.event_data.RuleName

Seame mõõdiku loendamise, et järjestada sündmusi vastavalt nende esinemiste arvule.

Lülitage sisse funktsioon „Grupiteised teised väärtused eraldi segmenti”.

See on mugav, kui teie valitud terminitel on palju erinevaid tähendusi, mis tulenevad rütmist. See aitab visualiseerida ülejäänud andmed kui tervikut. See annab teile ülevaate ülejäänud sündmuste protsendist.

Nüüd, kui oleme andmevahekaartide seadistamise lõpetanud, liigume parameetrite vahekaardile.

Te peate tegema järgmised toimingud:

** Eemaldage ringikujuline kuju, et visualiseerimisel ilmuks täisring.

** Valige, milline legendi asukoht teile meeldib. Antud juhul kuvame need paremal.

** Määrake kuvamisväärtused, et need kuvataks koos nende fragmentidega lugemise hõlbustamiseks, ülejäänud jätke vaikeväärtustele.

Lõikamine määrab, kui palju soovite sündmuse nimest kuvada.

Määrake aeg, millest visualiseerimine peaks algama, ja seejärel klikake sinisele ruudule.

Te peaksite saama midagi sellist:

Saate oma visualiseerimisele filtreid lisada, et filtreerida välja kindlat hosti, mida soovite kontrollida, või mingeid parameetreid, mis teie eesmärgi jaoks kasulikud on. Visualiseerimine kuvab ainult andmeid, mis vastavad filtrisse seadistatud reeglile. Sellisel juhul kuvame andmeid, mis on saadud MITER ATT & CK hostilt nimega win10.

3–2- Teie esimese armatuurlaua loomine:

Armatuurlaua koostisosad koosnevad paljusid visualiseerimistest. Teie armatuurlaud peab olema selge, arusaadav ning sisaldama kasulikke ja kindlaid andmeid. Siin on näide armatuurlautadest, mille lõime alates nullist winlogbeat jaoks.