3. Elastic stack: turvalisuse logide analüüs. Juhtpaneelid

Varasemates artiklites tutvusime veidi ELK-stakiga ja Logstashi konfiguratsioonifaili seadistamisega logifailide analüüsiks. Käesolevas artiklis liikume edasi selle kõige olulisema juurde, mida soovite süsteemilt näha ja mille nimel kõik loodi — see on graafikud ja tabelid, mis on koondatud juhtpaneelideks. Täna tutvume lähemalt visualiseerimissüsteemiga Kibana, vaatame, kuidas luua graafikuid ja tabeleid ning lõpuks koostame lihtsa juhtpaneeli Check Pointi tulemüüri logide põhjal.

Kibana kasutamise esimene samm on indeksi mustri, mis on loogiliselt öeldes ühtse indekseerimise aluseks vastavalt teatud põhimõttele. Loomulikult on see häälestus, et Kibana saaks mugavamalt otsida teavet kõigis indeksites korraga. See määratakse vastavalt stringile, näiteks “checkpoint-*” ja indeksi nimetusele. Näiteks sobib “checkpoint-2019.12.05” selle mustriga, kuid lihtsalt “checkpoint” ei sobi. eraldi tuleb märkida, et otsingus ei ole võimalik korraga otsida teavet erinevate indeksimustrite järgi; hiljem artiklites näeme, et API-päringud tehakse kas indeksi nime järgi või just ühe mustri järgi, pilt on klikkitav:

Pärast seda kontrollime menüüs Discover, et kõik logid indekseeritakse ja õige parser on seadistatud. Kui leitakse mingeid vastuolusid, näiteks andmetüübi muutmine stringilt täisarvuks, tuleb Logstashi konfiguratsioonifaili redigeerida, et uued logid salvestataks õigesti. Et vanad logid enne muutmist saaks vajalikku vormi, aitab ainult reindekseerimisprotsess; hiljem artiklites käsitleme seda toimingut lähemalt. Veendume, et kõik on korras, pilt on klikkitav:

Logid on kohal, mis tähendab, et nüüd saab alustada juhtpaneelide loomist. Turvatuote analüüsijuhendite põhjal saab aru, kui hea on organisatsiooni teabe turvalisus, visuaalselt on nähtavad hetked, kus poliitikaga on probleeme, ja hiljem saab leida viise nendest probleemidest üle saamiseks. Loome väikese juhtpaneeli, kasutades mitmeid visualiseerimisvahendeid. Juhtpaneel koosneb viiest komponendist:

1. tabel, mis arvutab kokku logide arvu blade'ide järgi
2. tabel kriitiliste IPS-signatuuride jaoks
3. ringdiagramm Threat Prevention sündmuste kohta
4. diagram populaarsem külastatavatele saitidele
5. diagram ohtlikumate rakenduste kasutamisest

Visualiseerimise figuuride loomiseks tuleb minna menüüsse Visualize, ja valida vajalik figuur, mida soovime joonistada! Liigume samm-sammult edasi.

Kokku logide arvu loendamise tabel

Selleks valime figuuri Data Table, süveneme diagrammide loomise tööriista, vasakul on figuuri seaded, paremal see, kuidas see praegustes seadetes välja näeb. Esiteks näitan, kuidas näeb välja valmis tabel, pärast seda vaatame seadistusi, pilt on klikatav:

Üksikasjalikud figuuri seaded, pilt on klikatav:

Vaatame seadistusi.

Esmalt seadistatakse metrika, see on väärtus, mille alusel koondatakse kõik väljaanded. Metriigid arvutatakse väärtuste põhjal, mis on mingil viisil dokumentidest välja võetud. Väärtused väljastatakse tavaliselt väljadest dokumendis, kuid neid võib ka genereerida skriptide abil. Antud juhul paneme Kogumine: Arv (logide koguarv).

Pärast seda jagame tabeli segmentide (väljade) kaupa, mille alusel metrikat arvestatakse. Seda funktsiooni täidab Buckets seade, mis koosneb omakorda 2 seadistuse variandist:

1. jaga ridade kaupa — veergude lisamine ja seejärel tabeli jagamine ridadeks
2. jaga tabel — tabelite jagamine teatud välja väärtuste põhjal.

Uues buckets saab lisada mitu jagamist, et luua mitu veergu või tabelit, siin on piiranguks pigem loogilised reeglid. Kogumisel saab valida, millise meetodi alusel jagamine toimub: ipv4 vahemik, kuupäevavahemik, Terms jne. Kõige huvitavam valik on just Terminid ja Olulised terminid, jagamine toimub teatud indeksivälja väärtuste põhjal, nende vahel on erinevus tagastatud väärtuste arvus ja nende kuvamises. Kuna soovime tabelit jagada blaidide nimede järgi, valime välja — product.keyword ja määrame suuruse 25 tagastatud väärtuse arvu.

Elasticsearchis kasutatakse ridade asemel 2 tüüpi andmeid — ntext ja märksõna. Kui soovite teostada täisteksti otsingut, peate kasutama tüüpi text, mis on väga mugav oma otsinguteenuse kirjutamisel, näiteks otsides mainimist sõna konkreetses väljande (teksti) tähenduses. Kui soovite ainult täpset vaste, peate kasutama tüüpi keyword. Samuti tuleb andmetüüpi keyword kasutada väljade puhul, mis nõuavad sorteerimist või agregaati, see tähendab, meie juhul.

Tulemusena loendab Elasticsearch logide arvu teatud aja jooksul, agreggeerides väärtuse järgi väljandes product. Custom Label'is määrame veeru nime, mis kuvatakse tabelis, määrame aja, mille jooksul logisid kogume, käivitame joonistamise — Kibana saadab päringu elasticsearch'i, ootab vastust ja visualiseerib seejärel saadud andmed. Tabel on valmis!

Ringdiagram sündmuste Threat Prevention

Teatud huvi pakub info, kui palju on üldiselt protsentuaalses suhtes reaktsioone detect ja prevent kuulub IБ tegevustele kehtivasse turvapoliitikasse. Selleks sobib ringdiagramm hästi. Valime Visualize — Pie chart. Samuti määrame metoodikas logide arvu agregatsiooni. Buckets'is paneme Terms => action.

Tundub, et kõik on õigesti, kuid tulemuseks kuvatakse väärtused kõigi blade'ide kohta, tuleb filtreerida ainult nende blade'ide järgi, mis töötavad Threat Prevention raames. Seetõttu seame kindlasti filtri et otsida teavet ainult blade'ide kohta, mis vastutavad IБ juhtumite eest — product: ("Anti-Bot" OR "New Anti-Virus" OR "DDoS Protector" OR "SmartDefense" OR "Threat Emulation"). Pilt on klikatav:

Ja veel täiendavad seadistused, pilt on klikatav:

Tabel IPSi sündmuste kohta

Edasi on IБ seisukohalt väga oluline vaatamine ja kontrollimine sündmuste kohta blade'i IPS ja Ohuhalduse simuleerimine, mis ei blokeeru kehtiva poliitika järgi, et hiljem kas muuta signatuur prevent'i või kui liiklus on valideeritud — mitte kontrollida signatuuri. Tabeli loome samamoodi nagu esimeses näites, ainult erinevusega, et loome mitu veergu: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. Kindlasti seadistame filtri, et otsida teavet ainult blade'ide kohta, mis vastutavad IБ juhtumite eest — product: ("SmartDefense" OR "Threat Emulation"). Pilt on klikatav:

Veel täiendavad seadistused, pilt on klikatav:

Diagrammid kõige populaarsemate külastatavate veebisaitide kohta

Selleks loome kujundi — Vertikaalne diagramm. Samuti kasutame mõõtmena count (Y-telg), ja X-teljel kasutame külastatud veebisaitide nimesid — “appi_name”. Siin on väike nipp, kui seadistustele käivitada praegusel kujul, siis kõik veebisaidid kuvatakse diagrammil sama värviga, et need mitmevärviliseks muuta, kasutame lisaseadet — “split series”, mis võimaldab juba valmis kolonni jagada mitmeks väärtuseks, sõltuvalt valitud valdkonnast! Seda jagamist saab kasutada kas ühe mitmevärvilise kolonnina väärtuste korral virnastatud režiimis või tavalises režiimis, et luua mitu kolonni teatud väärtuse põhjal X-teljel. Antud juhul kasutame sama väärtust, mis X-teljelt, mis võimaldab kõiki kolonne mitmevärviliseks muuta, üleval paremal need tähistatakse värvidega. Filtris määrame — product:«URL Filtering», et näha teavet ainult külastatud veebisaitide kohta, pilt on klikatav:

Seaded:

Diagramm kõige ohtlikumate rakenduste kasutamisest

Selleks loome kujundi — Vertikaalne tulp. Samuti kasutame mõõtmena count (Y-telg), ja X-teljel kasutame kasutatavate rakenduste nimesid — “appi_name”. Kõige olulisem on määrata filter — product: «Application Control» AND app_risk: (4 OR 5 OR 3 ) AND action:«accept». Filtreerime logisid rakenduskontrolli blade'i järgi, võtame arvesse ainult neid veebisaite, mis on kategoriseeritud kui kriitilise, kõrge, keskmise riskiga ja ainult juhul, kui nendele veebisaitidele on juurdepääs lubatud. Pilt on klikatav:

Seaded, klikatav:

Armatuurlaud

Armatuurlaudade vaatamine ja loomine toimub eraldi menüüpunktis — Armatuurlaud. Siin on kõik lihtne, luuakse uus armatuurlaud, lisatakse visualiseerimine, paigutatakse kohale ja kõik!

Loome armatuurlauda, mille abil saab aru saada organisatsiooni küberturbe põhiseisundist, muidugi ainult Check Pointi tasandil, pilt on klikatav:

Nende diagrammide põhjal saame aru, millised kriitilised allkirjad ei blokeerita tulemüüris, kuhu kasutajad liikuvad ja milliseid kõige ohtlikumaid rakendusi nad kasutavad.

Kokkuvõte

Me oleme tutvunud Kibana põhivisualiseerimise võimalustega ja loonud armatuurlaua, kuid see on vaid väike osa. Edasi kursusel käsitleme kaarti sätete seadistamist, töötamist elasticsearch süsteemiga, tutvume API päringutega, automatiseerimisega ja veel paljuga!

Seega jälgige uuendusi (Telegram, Facebook, VK, TS Solution Blog), Yandex.Zen.

Allikas: habr.com