🥇ELK SIEM Open Distro: ELK ja SIEM juhtpaneelide visualiseerimine ELK

Selles postituses käsitletakse ELK ja SIEM andmete visualiseerimise seadistamist ELK-s
Artikkel on jaotatud järgmistesse osadesse:

1- ELK SIEM ülevaade
2- Vaikimisi armatuurlaud
3- Teie esimeste armatuurlaudade loomine

Postituste sisukord.

Sissejuhatus. SOC-as-a-Service (SOCasS) infrastruktuuri ja tehnoloogiate seadistamine
ELK stack — paigaldamine ja seadistamine
Ringkäik open Distro-s
Dashboards ja ELK SIEM visualiseerimine
Integreerimine WAZUH-iga
Teavitamine (Alerting)
Aruandlus
Juhtumihaldus

1- ELK SIEM ülevaade

ELK SIEM lisati hiljuti ELK stacki versioonis 7.2, mis ilmus 25. juunil 2019.

See on elastic.co loodud SIEM-lahendus, et muuta turbeanalüütiku elu oluliselt lihtsamaks ja vähem kurnavaks.

Oma tööversioonis otsustasime luua oma SIEM-i ja valida oma juhtpaneeli.

Kuid peame kõigepealt ELK SIEM-i uurimist oluliseks.

1.1- Host events jaotis

Esmalt vaatame host-osa. Host-jaotis võimaldab teil näha sündmusi, mis genereeritakse endapunktis.

Pärast hostide vaatamise klikkimist peaksite nägema midagi sellist. Nagu näete, on kolm hosti ühendatud selle arvutiga:

1 Windows 10.

2 Ubuntu 18.04 server.

Meil on mitu visualiseerimist, millest igaüks näitab erinevaid tüüpe sündmustest.

Näiteks see, mis on keskel, näitab logimisandmeid kõigil kolmel masinal.

See andmemassiiv, mida siin näete, on kogutud viie päeva jooksul. See seletab suurt hulka ebaõnnestunud ja edukaid sisselogimisi. Tõenäoliselt on teil vähe logisaatmist, seega ärge muretsege.

1.2- Võrguürituste jaotis

Liikudes võrgujaotisse, peaksite nägema midagi sellist. See jaotis võimaldab teil tähelepanelikult jälgida kõike, mis teie võrgus toimub, alates HTTP / TLS liiklusest kuni DNS-i liikluseni ja väliste sündmuste teavitusteni.

2- Vaikimisi armatuurlaud

Kasutajate elu lihtsustamiseks on elastic.co arendajad loonud vaikimisi juhtpaneeli, mida ametlikult toetab ELK. Meie bitid ei olnud sellest reeglist erandiks. Siin võtan näiteks vaikimisi Packetbeat juhtpaneeli.

Kui olete artikli teise sammu õigesti täitnud, peaks teil olema seadistatud armatuurlaud, mis teid ootab. Nii et laseme alustada.

Vasakul Kibanas valige armatuuri sümbol. See on kolmas, kui lugeda ülevalt.

Sisestage jaotuse nimi otsinguväljal

Kui bitil on mitu moodulit, luuakse igaühe jaoks juhtpaneel. Kuid ainult see, kellel on moodul aktiivne, kuvab mitte-tühjad andmed.

Valige see, millel on teie mooduli nimi.

See on põhitemplaat PacketBeat.

See on võrguandmete juhtpaneel. See annab meile teavet sissetulevate ja väljaminevate paketide kohta, IP-aadresside allikate ja sihtkohtade kohta ning palju kasulikku teavet turvakeskuse analüütikule.

3 — Teie esimestel armatuurlaudade loomine

3–1- Põhikontseptsioonid

A- Armatuurlaudade tüübid:

Need on erinevad visualiseerimise tüübid, mida saate oma andmete visualiseerimiseks kasutada.

näiteks meil on:

Histogramm
Kaart
Markdowni vidin
Ringdiagramm

B- KQL (Kibana päringukeel):

See on keel, mida kasutatakse Kibanasse andmete mugavaks otsimiseks. See võimaldab teil kontrollida, kas teatud andmed eksisteerivad, ja palju muid kasulikke funktsioone. Lisainformatsiooni saamiseks võite uurida teavet sellel lingil

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

See on näide päringust, et otsida Windows 10 pro süsteemiga hosti.

C- Filtrid:

See funktsioon võimaldab teil filtreerida teatud parameetreid, näiteks hostinime, koodi või sündmuse identifikaatorit jne. Filtrid parendavad uurimisfaasi oluliselt ajas ja tööjõus, mis kulub tõendite otsimiseks.

D- Esimene visualiseerimine:

Loome visualiseerimise MITER ATT & CK jaoks.

Esmalt peame minema Armatuurlaud → Loo uus armatuurlaud → looge uus → Ringdiagrammi armatuurlaud

Määrake tüüp indeksimustrile, seejärel puudutage oma biti nime.

Pange Enter. Selleks ajaks peaksite nägema rohelist donut.

Buckets vahekaardil leiate:

— Split slices jagab donuti erinevateks osadeks andmete leviku põhjal.

— Split Chart loob veel ühe donuti kõrval.

Me kasutame jagatud viilude.

Visualiseerime oma andmeid vastavalt meie valitud terminile. Antud juhul viitab termin MITER ATT & CK-le.

Winlogbeat'is on väli, mis annab meile selle teabe, nimega:

winlog.event_data.RuleName

Seame mõõdetuks loenduse, et järjestada sündmusi vastavalt nende ilmumiste arvule.

Lülitage sisse funktsioon “Grupita teisi väärtusi eraldi segmenti”.

See on mugav, kui valitud terminidel on palju erinevaid tähendusi, mis tulenevad rütmist. See aitab visualiseerida ülejäänud andmeid kui tervikut. See annab teile ülevaate ülejäänud sündmuste protsendist.

Nüüd, kui oleme andmekaardi seaded lõpetanud, läheme seadete vahekaardile.

Te peate sooritama järgmised toimingud:

** Eemaldage donut diagramm, et visualiseerimisel kuvataks täisring.

** Valige legendi positsioon, mis teile meeldib. Selles osas kuvame need paremal.

** Määrake kuvamisväärtused, et need kuvataks koos nende segmentidega, et lugemist lihtsustada, ja jätke ülejäänud vaikimisi.

Lõikamine määrab, kui palju soovite sündmuse nimest kuvada.

Määrake aeg, millest visualiseerimine peaks algama, ja seejärel klõpsake sinise ruudu peal.

Te peaksite saama midagi sellist:

Samuti võite oma visualiseerimisele lisada filtri, et filtreerida kindlat hosti, mida soovite kontrollida, või mingeid parameetreid, mis teie arvates on teie eesmärgiks kasulikud. Visualiseerimine kuvab ainult andmeid, mis vastavad filtreeritud reeglitele. Selles osas kuvame MITER ATT & CK andmeid, mis tulevad ainult hostilt nimega win10.

3–2- Teie esimese juhtpaneeli loomine:

Juhtpaneel on mitmete visualiseerimiste kogum. Teie juhtpaneelid peaksid olema selged, arusaadavad ning sisaldama kasulikke ja määratletud andmeid. Siin on näide juhtpaneelidest, mille oleme nullist loonud winlogbeat jaoks.