Elastic Stack on tuntud tööriist SIEM-süsteemide turul (tegelikult mitte ainult nende jaoks). See suudab koguda palju erinevaid andmeid, sealhulgas tundlikke ja vähem tundlikke. Pole täiesti õige, kui Elastic Stacki elementide juurdepääs ei oleks kaitstud. Vaikimisi töötavad kõik Elastici (Elasticsearch, Logstash, Kibana ja Beats kollektorid) komponendid avatud protokollide kaudu. Ja Kibanas on autentimine välja lülitatud. Kõiki neid interaktsioone saab turvata ja selles artiklis räägime, kuidas seda teha. Mugavuse huvides oleme loo jaganud kolmeks sisuliseks osaks:

• Andmete juurdepääsu rollimudel
• Andmete turvalisus Elasticsearch klastris
• Andmete turvalisus Elasticsearch klastrist väljaspool

Üksikasjad allpool.

Andmete juurdepääsu rollimudel

Kui installida Elasticsearch ja mitte midagi seadistada, on juurdepääs kõigile indeksitele avatud kõigile soovijatele. Või vähemalt neile, kes oskavad curl'i kasutada. Selle vältimiseks on Elasticsearchis rollimudel, mis on saadaval alates Basic tasemest (see on tasuta). Skeemiliselt näeb see välja umbes nii:

Mis pildil

• Kasutajad on kõik, kes saavad autentida oma kasutajatunnustega.
• Roll on õiguste kogum.
• Õigused on privileegide kogum.
• Privileegid on lubade kogum kirjutamiseks, lugemiseks, eemaldamiseks jne. (Täielik privileegide nimekiri)
• Ressursid on indeksid, dokumendid, väljad, kasutajad ja muud salvestuse subjektid (rollimudel on mõnede ressursside jaoks saadaval ainult tasulistes tellimustes).

Elasticsearchis on vaikimisi olemas vaikimisi kasutajad, millega on seotud vaikimisi rollid. Pärast turvaseadete lubamist saab neid kohe kasutada.

Elasticsearchi turvalisuse aktiveerimiseks tuleb konfigureerimise failile (vaikimisi on see elasticsearch/config/elasticsearch.yml) lisada uus rida:

xpack.security.enabled: true

Pärast konfigureerimise faili muutmist käivitame või taaskäivitame Elasticsearchi, et muudatused jõustuksid. Järgmine samm on vaikimisi kasutajate paroolide määramine. Teeme seda interaktiivselt, kasutades allolevat käsku:

[elastic@node1 ~]$ .\/elasticsearch\/bin\/elasticsearch-setup-passwords interactive
Algatudeer the reserved users: elastic, apm_system, kibana, logstash_system, beats_system, remote_monitoring_user.
Sisen siseneid, kui see edeneb.
Palun kinnita, et soovid jätkata [y\/N]y


Sisestage parool [elastic]:
Kinnita parool [elastic]:
Sisestage parool [apm_system]:
Kinnita parool [apm_system]:
Sisestage parool [kibana]:
Kinnita parool [kibana]:
Sisestage parool [logstash_system]:
Kinnita parool [logstash_system]:
Sisestage parool [beats_system]:
Kinnita parool [beats_system]:
Sisestage parool [remote_monitoring_user]:
Kinnita parool [remote_monitoring_user]:
Parool on muudetud kasutajale [apm_system]
Parool on muudetud kasutajale [kibana]
Parool on muudetud kasutajale [logstash_system]
Parool on muudetud kasutajale [beats_system]
Parool on muudetud kasutajale [remote_monitoring_user]
Parool on muudetud kasutajale [elastic]

Kontrollime:

[elastic@node1 ~]$ curl -u elastic 'node1:9200\/_cat\/_nodes?pretty'
Sisestage hosti parool kasutaja 'elastic' jaoks:
192.168.0.2 23 46 14 0.28 0.32 0.18 dim * node1

Võite ennast õlalt patsutada — Elasticsearchi seadistamine on tehtud. Nüüd on aeg seadistada Kibana. Kui te käivitate selle nüüd, tulevad vead, seega on oluline luua võtmehoidla. See toimub kahe käsuga (kasutaja kibana ja parool, mis sisestati paroolide loomise sammul Elasticsearchis):

[elastic@node1 ~]$ .\/kibana\/bin\/kibana-keystore add elasticsearch.username
[elastic@node1 ~]$ .\/kibana\/bin\/kibana-keystore add elasticsearch.password

Kui kõik on õigesti — Kibana hakkab küsima sisselogimist ja parooli. Basic tasemel tellimuses on saadaval rollimudel sisemiste kasutajate põhjal. Alates Gold tasemest saab ühendada väliseid autentimissüsteeme — LDAP, PKI, Active Directory ja Single sign-on süsteemid.

Ka Elasticsearchis olevate objektide juurdepääsu õigused on võimalik piirata. Kuid dokumentide või väljade osas sama tegemiseks on vajalik tasuline tellimus (see luksus algab Platinum tasemelt). Need seaded on saadaval Kibana liideses või läbi Security API. Seda saab kontrollida juba tuttavas Dev Tools menüüs:

Rolli loomine

PUT \/_security\/role\/ruslan_i_ludmila_role
{
  "cluster": [],
  "indices": [
    {
      "names": [ "ruslan_i_ludmila" ],
      "privileges": ["read", "view_index_metadata"]
    }
  ]
}

Kasutaja loomine

POST \/_security\/user\/pushkin
{
  "password" : "nataliaonelove",
  "roles" : [ "ruslan_i_ludmila_role", "kibana_user" ],
  "full_name" : "Alexander Pushkin",
  "email" : "pushkin@lyceum.edu",
  "metadata" : {
    "hometown" : "Saint-Petersburg"
  }
}

Andmete turvalisus Elasticsearch klastris

Kui Elasticsearch töötab klastris (see on tavaline), muutuvad klastri sisemised turvaseaded oluliseks. Node'ide vahelise turvalise suhtluse tagamiseks kasutab Elasticsearch TLS-protokolli. Nende vahelise turvalise suhtluse seadistamiseks on vajalik sertifikaat. Loome PEM-formaadis sertifikaadi ja privaatvõtme:

[elastic@node1 ~]$ .\/elasticsearch\/bin\/elasticsearch-certutil ca --pem

Pärast ülaltoodud käsku ilmub kausta /../elasticsearch arhiv elastic-stack-ca.zip. Selle sees on leitud sertifikaat ja privaatvõti laienditega crt ja key vastavalt. Soovitav oleks need jagatud ressursile üles laadida, kuhu peaks olema juurdepääs kõigilt klastrite sõlmedelt.

Iga sõlme jaoks on nüüd vajalikud oma sertifikaadid ja privaatvõtmed, mis põhinevad nendel, mis asuvad jagatud kaustas. Käsku täites palutakse sisestada parool. Saate lisada ka täiendavad valikud —ip ja —dns täiesti valmis vahetatavate sõlmede valideerimiseks.

[elastic@node1 ~]$ .\/elasticsearch\/bin\/elasticsearch-certutil cert --ca-cert \/shared_folder\/ca\/ca.crt --ca-key \/shared_folder\/ca\/ca.key

Käsku täites saame sertifikaadi ja privaatvõtme PKCS#12 formaadis, millel on parooliga kaitse. Jäänud on vaid genereeritud fail p12 liigutada konfiguratsiooni kausta:

[elastic@node1 ~]$ mv elasticsearch\/elastic-certificates.p12 elasticsearch\/config

Lisame sertifikaadi parooli keystore'i ja truststore'i igas sõlmes: p12 [elastic@node1 ~]$ .\/elasticsearch\/bin\/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password\n[elastic@node1 ~]$ .\/elasticsearch\/bin\/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password

Sisse juba tuntud

elasticsearch.yml peame lisama read, mis sisaldavad sertifikaadi andmeid: xpack.security.transport.ssl.enabled: true\nxpack.security.transport.ssl.verification_mode: certificate\nxpack.security.transport.ssl.keystore.path: elastic-certificates.p12\nxpack.security.transport.ssl.truststore.path: elastic-certificates.p12

Käivitame kõik Elasticsearchi sõlmed ja täidame

. Kui kõik on õigesti tehtud, tagastatakse vastus mitme sõlmega: curl[elastic@node1 ~]$ curl node1:9200\/_cat\/:nodes -u elastic:password \n172.18.0.3 43 75 4 0.00 0.05 0.05 dim * node2 \n172.18.0.4 21 75 3 0.00 0.05 0.05 dim - node3 \n172.18.0.2 39 75 4 0.00 0.05 0.05 dim - node1

On veel üks turvavalik — IP-aadresside filtreerimine (saadaval tellimustes alates Gold tasemest). See võimaldab luua valgeid nimekirju IP-aadressidest, millelt on lubatud sõlmedele pöörduda.

Klastri väliselt tähendab väliste tööriistade, nagu Kibana, Logstash, Beats või teiste väliste klientide ühendamist.

Andmete turvalisus Elasticsearch klastrist väljaspool

Et seadistada https tuge (http asemel), lisame elasticsearch.yml-sse uued read:

xpack.security.http.ssl.enabled: true\nxpack.security.http.ssl.keystore.path: elastic-certificates.p12\nxpack.security.http.ssl.truststore.path: elastic-certificates.p12

Kuna sertifikaat on kaitstud parooliga, lisame selle igas sõlmes keystore'i ja truststore'i:

Kuna sertifikaat on kaitstud paroole, lisame selle iga sõlme keystore'i ja truststore'i:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password
[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.http.ssl.truststore.secure_password

Pärast võtmete lisamist on Elasticsearchi nodid valmis https-ühenduse jaoks. Nüüd saab need käivitada.

Järgmine samm on luua võti Kibana ühendamiseks ja lisada see konfiguratsioonisse. Sertifikaadi põhjal, mis on juba jagatud kataloogis, genereerime sertifikaadi PEM-vormingus (PKCS#12, Kibana, Logstash ja Beats ei toeta praegu):

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil cert --ca-cert /shared_folder/ca/ca.crt --ca-key /shared_folder/ca/ca.key --pem

Nüüd tuleb loodud võtmed lahti pakkida Kibana konfiguratsioonikausta:

[elastic@node1 ~]$ unzip elasticsearch/certificate-bundle.zip -d kibana/config

Võtmed on olemas, nüüd tuleb muuta Kibana konfiguratsiooni, et see hakkaks neid kasutama. Kibana konfiguratsioonifailis kibana.yml muudame http https-ks ja lisame SSL-ühenduse seadistuste read. Viimased kolm rida seadistavad turvalise suhtlemise kasutaja brauseri ja Kibana vahel.

elasticsearch.hosts: ["https://${HOSTNAME}:9200"]
elasticsearch.ssl.certificateAuthorities: /shared_folder/ca/ca.crt
elasticsearch.ssl.verificationMode: certificate
server.ssl.enabled: true
server.ssl.key: /../kibana/config/instance/instance.key
server.ssl.certificate: /../kibana/config/instance/instance.crt

Nii on seadistused tehtud ja juurdepääs Elasticsearchi klastris olevatele andmetele on krüpteeritud.

Kui teil on küsimusi Elastic Stacki võimaluste kohta tasuta või tasulistes tellimustes, andmete jälgimise või SIEM-süsteemide loomise kohta, saatke päring tagasiside vormis meie veebilehel.

Samuti meie artiklid Elastic Stackist Habr'is:

Uurime Machine Learning'i Elastic Stackis (tuntud ka kui Elasticsearch, ELK)

Elasticsearchi suuruse määramine

Allikas: habr.com