3. સ્થિતિસ્થાપક સ્ટેક: સુરક્ષા લોગનું વિશ્લેષણ. ડેશબોર્ડ્સ

અગાઉના લેખોમાં, અમે એલ્ક સ્ટેક અને લોગ પાર્સર માટે લોગસ્ટેશ રૂપરેખાંકન ફાઇલને સેટ કરવા સાથે થોડા પરિચિત થયા છીએ. આ લેખમાં, અમે વિશ્લેષણાત્મક દૃષ્ટિકોણથી સૌથી મહત્વપૂર્ણ બાબત પર આગળ વધીશું, તમે શું કરવા માંગો છો. સિસ્ટમમાંથી જુઓ અને બધું શા માટે બનાવવામાં આવ્યું હતું - આ આલેખ અને કોષ્ટકો છે જેમાં સંયુક્ત છે ડેશબોર્ડ. આજે આપણે વિઝ્યુલાઇઝેશન સિસ્ટમ પર નજીકથી નજર નાખીશું કિબના, અમે આલેખ અને કોષ્ટકો કેવી રીતે બનાવવી તે જોઈશું, અને પરિણામે અમે ચેક પોઈન્ટ ફાયરવોલના લોગ પર આધારિત એક સરળ ડેશબોર્ડ બનાવીશું.

કિબાના સાથે કામ કરવાનું પ્રથમ પગલું એ બનાવવું છે અનુક્રમણિકા પેટર્ન, તાર્કિક રીતે, આ ચોક્કસ સિદ્ધાંત અનુસાર સંયુક્ત સૂચકાંકોનો આધાર છે. અલબત્ત, કિબાનાને એક જ સમયે તમામ ઇન્ડેક્સમાં માહિતી શોધવા માટે વધુ સગવડતાથી બનાવવા માટે આ એક સેટિંગ છે. તે સ્ટ્રિંગને મેચ કરીને સેટ કરવામાં આવે છે, કહો કે “ચેકપોઇન્ટ-*” અને ઇન્ડેક્સનું નામ. ઉદાહરણ તરીકે, "ચેકપોઇન્ટ-2019.12.05" પેટર્નમાં ફિટ થશે, પરંતુ ફક્ત "ચેકપોઇન્ટ" હવે અસ્તિત્વમાં નથી. તે અલગથી ઉલ્લેખનીય છે કે શોધમાં એક જ સમયે વિવિધ ઇન્ડેક્સ પેટર્ન પર માહિતી શોધવી અશક્ય છે; થોડી વાર પછી પછીના લેખોમાં આપણે જોઈશું કે API વિનંતીઓ કાં તો અનુક્રમણિકાના નામ દ્વારા અથવા ફક્ત એક દ્વારા કરવામાં આવે છે. પેટર્નની લાઇન, ચિત્ર ક્લિક કરી શકાય તેવું છે:

આ પછી, અમે ડિસ્કવર મેનૂમાં તપાસ કરીએ છીએ કે બધા લોગ અનુક્રમિત છે અને યોગ્ય પાર્સર ગોઠવેલ છે. જો કોઈ અસંગતતા જોવા મળે છે, ઉદાહરણ તરીકે, ડેટા પ્રકારને સ્ટ્રિંગમાંથી પૂર્ણાંકમાં બદલતા, તમારે લોગસ્ટેશ રૂપરેખાંકન ફાઇલને સંપાદિત કરવાની જરૂર છે, પરિણામે, નવા લોગ યોગ્ય રીતે લખવામાં આવશે. ફેરફાર પહેલાં જૂના લૉગ્સ ઇચ્છિત સ્વરૂપ ધારણ કરવા માટે, ફક્ત પુનઃઇન્ડેક્સીંગ પ્રક્રિયા જ મદદ કરે છે; પછીના લેખોમાં આ કામગીરીની વધુ વિગતવાર ચર્ચા કરવામાં આવશે. ચાલો ખાતરી કરીએ કે બધું ક્રમમાં છે, ચિત્ર ક્લિક કરી શકાય તેવું છે:

લૉગ્સ જગ્યાએ છે, જેનો અર્થ છે કે અમે ડેશબોર્ડ બનાવવાનું શરૂ કરી શકીએ છીએ. સુરક્ષા ઉત્પાદનોના ડેશબોર્ડ્સના વિશ્લેષણના આધારે, તમે સંસ્થામાં માહિતી સુરક્ષાની સ્થિતિને સમજી શકો છો, વર્તમાન નીતિમાં નબળાઈઓને સ્પષ્ટપણે જોઈ શકો છો અને પછીથી તેને દૂર કરવાના માર્ગો વિકસાવી શકો છો. ચાલો ઘણા વિઝ્યુલાઇઝેશન ટૂલ્સનો ઉપયોગ કરીને એક નાનું ડેશબોર્ડ બનાવીએ. ડેશબોર્ડમાં 5 ઘટકો હશે:

1. બ્લેડ દ્વારા લોગની કુલ સંખ્યાની ગણતરી કરવા માટેનું કોષ્ટક
2. જટિલ IPS સહીઓ પર ટેબલ
3. થ્રેટ પ્રિવેન્શન ઇવેન્ટ્સ માટે પાઇ ચાર્ટ
4. સૌથી વધુ લોકપ્રિય મુલાકાત લીધેલ સાઇટ્સનો ચાર્ટ
5. સૌથી ખતરનાક એપ્લિકેશનના ઉપયોગ પરનો ચાર્ટ

વિઝ્યુલાઇઝેશન આકૃતિઓ બનાવવા માટે, તમારે મેનૂ પર જવાની જરૂર છે વિઝ્યુઅલાઈઝ, અને ઇચ્છિત આકૃતિ પસંદ કરો જે આપણે બનાવવા માંગીએ છીએ! ચાલો ક્રમમાં જઈએ.

બ્લેડ દ્વારા લોગની કુલ સંખ્યાની ગણતરી કરવા માટેનું કોષ્ટક

આ કરવા માટે, એક આકૃતિ પસંદ કરો ડેટા ટેબલ, અમે ગ્રાફ બનાવવા માટેના સાધનોમાં આવીએ છીએ, ડાબી બાજુએ આકૃતિની સેટિંગ્સ છે, જમણી બાજુએ તે વર્તમાન સેટિંગ્સમાં કેવી દેખાશે. પ્રથમ, હું નિદર્શન કરીશ કે ફિનિશ્ડ ટેબલ કેવું દેખાશે, તે પછી અમે સેટિંગ્સમાં જઈશું, ચિત્ર ક્લિક કરી શકાય તેવું છે:

આકૃતિની વધુ વિગતવાર સેટિંગ્સ, ચિત્ર ક્લિક કરી શકાય તેવું છે:

ચાલો સેટિંગ્સ જોઈએ.

શરૂઆતમાં રૂપરેખાંકિત મેટ્રિક્સ, આ તે મૂલ્ય છે જેના દ્વારા તમામ ક્ષેત્રો એકત્ર કરવામાં આવશે. મેટ્રિક્સની ગણતરી દસ્તાવેજોમાંથી એક અથવા બીજી રીતે કાઢવામાં આવેલા મૂલ્યોના આધારે કરવામાં આવે છે. મૂલ્યો સામાન્ય રીતે અહીંથી કાઢવામાં આવે છે ક્ષેત્રો દસ્તાવેજ, પરંતુ સ્ક્રિપ્ટ્સનો ઉપયોગ કરીને પણ જનરેટ કરી શકાય છે. આ કિસ્સામાં અમે મૂકીએ છીએ એકત્રીકરણ: ગણતરી (લોગની કુલ સંખ્યા).

આ પછી, અમે કોષ્ટકને વિભાગો (ક્ષેત્રો) માં વિભાજીત કરીએ છીએ જેના દ્વારા મેટ્રિકની ગણતરી કરવામાં આવશે. આ કાર્ય બકેટ સેટિંગ દ્વારા કરવામાં આવે છે, જેમાં બદલામાં 2 સેટિંગ્સ વિકલ્પોનો સમાવેશ થાય છે:

1. વિભાજિત પંક્તિઓ - કૉલમ ઉમેરીને અને ત્યારબાદ કોષ્ટકને પંક્તિઓમાં વિભાજીત કરો
2. વિભાજિત કોષ્ટક - ચોક્કસ ક્ષેત્રના મૂલ્યોના આધારે કેટલાક કોષ્ટકોમાં વિભાજન.

В ડોલથી તમે અનેક કૉલમ અથવા કોષ્ટકો બનાવવા માટે ઘણા વિભાગો ઉમેરી શકો છો, અહીંના પ્રતિબંધો તેના બદલે તાર્કિક છે. એકત્રીકરણમાં, તમે પસંદ કરી શકો છો કે વિભાગોમાં વિભાજિત કરવા માટે કઈ પદ્ધતિનો ઉપયોગ કરવામાં આવશે: ipv4 શ્રેણી, તારીખ શ્રેણી, શરતો વગેરે. સૌથી રસપ્રદ પસંદગી ચોક્કસપણે છે શરતો и મહત્વની શરતો, વિભાગોમાં વિભાજન ચોક્કસ ઇન્ડેક્સ ફીલ્ડના મૂલ્યો અનુસાર હાથ ધરવામાં આવે છે, તેમની વચ્ચેનો તફાવત પરત કરેલા મૂલ્યોની સંખ્યામાં અને તેમના પ્રદર્શનમાં રહેલો છે. આપણે ટેબલને બ્લેડના નામથી વિભાજીત કરવા માંગીએ છીએ, તેથી અમે ક્ષેત્ર પસંદ કરીએ છીએ - product.keyword અને માપને 25 પરત કરેલ મૂલ્યો પર સેટ કરો.

શબ્દમાળાઓને બદલે, elasticsearch 2 ડેટા પ્રકારોનો ઉપયોગ કરે છે - લખાણ и શબ્દ. જો તમે સંપૂર્ણ-ટેક્સ્ટ શોધ કરવા માંગતા હો, તો તમારે ટેક્સ્ટ પ્રકારનો ઉપયોગ કરવો જોઈએ, જે તમારી શોધ સેવા લખતી વખતે ખૂબ જ અનુકૂળ વસ્તુ છે, ઉદાહરણ તરીકે, ચોક્કસ ફીલ્ડ વેલ્યુ (ટેક્સ્ટ) માં કોઈ શબ્દનો ઉલ્લેખ શોધી રહ્યા છીએ. જો તમે માત્ર ચોક્કસ મેચ ઈચ્છો છો, તો તમારે કીવર્ડ પ્રકારનો ઉપયોગ કરવો જોઈએ. ઉપરાંત, કીવર્ડ ડેટા પ્રકારનો ઉપયોગ એવા ક્ષેત્રો માટે થવો જોઈએ કે જેને સૉર્ટિંગ અથવા એકત્રીકરણની જરૂર હોય, એટલે કે, અમારા કિસ્સામાં.

પરિણામે, Elasticsearch ચોક્કસ સમય માટે લૉગની સંખ્યાની ગણતરી કરે છે, જે ઉત્પાદન ક્ષેત્રના મૂલ્ય દ્વારા એકત્રિત કરવામાં આવે છે. કસ્ટમ લેબલમાં, અમે કૉલમનું નામ સેટ કરીએ છીએ જે કોષ્ટકમાં પ્રદર્શિત થશે, તે સમય સેટ કરીએ છીએ જેના માટે અમે લૉગ્સ એકત્રિત કરીએ છીએ, રેન્ડરિંગ શરૂ કરીએ છીએ - કિબાના ઇલાસ્ટિક સર્ચ માટે વિનંતી મોકલે છે, પ્રતિસાદની રાહ જુએ છે અને પછી પ્રાપ્ત ડેટાને વિઝ્યુઅલાઈઝ કરે છે. ટેબલ તૈયાર છે!

ધમકી નિવારણ ઇવેન્ટ્સ માટે પાઇ ચાર્ટ

ટકાવારી તરીકે કેટલી પ્રતિક્રિયાઓ છે તે વિશેની માહિતી ખાસ રસ છે શોધો и રોકો વર્તમાન સુરક્ષા નીતિમાં માહિતી સુરક્ષા ઘટનાઓ પર. એક પાઇ ચાર્ટ આ પરિસ્થિતિ માટે સારી રીતે કામ કરે છે. વિઝ્યુઅલાઈઝમાં પસંદ કરો - પાઇ ચાર્ટ. મેટ્રિકમાં પણ અમે લોગની સંખ્યા દ્વારા એકત્રીકરણ સેટ કરીએ છીએ. બકેટમાં આપણે શરતો => ક્રિયા મૂકીએ છીએ.

બધું સાચું લાગે છે, પરંતુ પરિણામ તમામ બ્લેડ માટે મૂલ્યો દર્શાવે છે; તમારે ફક્ત તે બ્લેડ દ્વારા ફિલ્ટર કરવાની જરૂર છે જે ધમકી નિવારણના માળખામાં કામ કરે છે. તેથી, અમે ચોક્કસપણે તેને સેટ કરીએ છીએ ફિલ્ટર માત્ર માહિતી સુરક્ષા ઘટનાઓ માટે જવાબદાર બ્લેડ પર માહિતી શોધવા માટે - ઉત્પાદન: (“એન્ટી-બોટ” અથવા “નવું એન્ટિ-વાયરસ” અથવા “DDoS પ્રોટેક્ટર” અથવા “સ્માર્ટ ડિફેન્સ” અથવા “થ્રેટ ઇમ્યુલેશન”). ચિત્ર ક્લિક કરી શકાય તેવું છે:

અને વધુ વિગતવાર સેટિંગ્સ, ચિત્ર ક્લિક કરી શકાય તેવું છે:

IPS ઇવેન્ટ ટેબલ

આગળ, માહિતી સુરક્ષાના દૃષ્ટિકોણથી ખૂબ જ મહત્વપૂર્ણ છે બ્લેડ પરની ઘટનાઓ જોવા અને તપાસવી. આઈપીએસ и થ્રેટ ઇમ્યુલેશન, которые અવરોધિત નથી વર્તમાન નીતિ, પછીથી રોકવા માટે સહી બદલવા માટે, અથવા જો ટ્રાફિક માન્ય હોય, તો સહી તપાસશો નહીં. અમે પ્રથમ ઉદાહરણની જેમ જ કોષ્ટક બનાવીએ છીએ, માત્ર એટલો જ તફાવત છે કે અમે અનેક કૉલમ બનાવીએ છીએ: protects.keyword, severity.keyword, product.keyword, originsicname.keyword. માત્ર માહિતી સુરક્ષા ઘટનાઓ માટે જવાબદાર બ્લેડ પર માહિતી શોધવા માટે ફિલ્ટર સેટ કરવાનું સુનિશ્ચિત કરો - ઉત્પાદન: (“સ્માર્ટ ડિફેન્સ” અથવા “થ્રેટ ઇમ્યુલેશન”). ચિત્ર ક્લિક કરી શકાય તેવું છે:

વધુ વિગતવાર સેટિંગ્સ, ચિત્ર ક્લિક કરી શકાય તેવું છે:

સૌથી વધુ લોકપ્રિય મુલાકાત લીધેલ સાઇટ્સ માટેના ચાર્ટ્સ

આ કરવા માટે, એક આકૃતિ બનાવો - વર્ટિકલ બાર. અમે મેટ્રિક તરીકે ગણતરી (Y અક્ષ) નો પણ ઉપયોગ કરીએ છીએ, અને X અક્ષ પર અમે મુલાકાત લીધેલ સાઇટ્સના નામનો ઉપયોગ મૂલ્યો તરીકે કરીશું – “appi_name”. અહીં થોડી યુક્તિ છે: જો તમે વર્તમાન સંસ્કરણમાં સેટિંગ્સ ચલાવો છો, તો બધી સાઇટ્સ ચાર્ટ પર સમાન રંગથી ચિહ્નિત થશે, તેમને બહુ રંગીન બનાવવા માટે અમે વધારાના સેટિંગનો ઉપયોગ કરીએ છીએ - "સ્પ્લિટ શ્રેણી", જે તમને પસંદ કરેલ ફીલ્ડના આધારે, તૈયાર કરેલ કૉલમને ઘણા વધુ મૂલ્યોમાં વિભાજીત કરવાની મંજૂરી આપે છે! આ ખૂબ જ વિભાજનનો ઉપયોગ કાં તો સ્ટેક્ડ મોડમાં મૂલ્યો અનુસાર એક બહુ રંગીન કૉલમ તરીકે અથવા X અક્ષ પર ચોક્કસ મૂલ્ય અનુસાર અનેક કૉલમ બનાવવા માટે સામાન્ય મોડમાં થઈ શકે છે. આ કિસ્સામાં, અહીં આપણે ઉપયોગ કરીએ છીએ X અક્ષ પર સમાન મૂલ્ય, આ તમામ કૉલમને બહુ રંગીન બનાવવાનું શક્ય બનાવે છે; તે ઉપર જમણી બાજુએ રંગો દ્વારા સૂચવવામાં આવશે. અમે સેટ કરેલા ફિલ્ટરમાં - ઉત્પાદન: "URL ફિલ્ટરિંગ" ફક્ત મુલાકાત લીધેલી સાઇટ્સ પરની માહિતી જોવા માટે, ચિત્ર ક્લિક કરી શકાય તેવું છે:

સેટિંગ્સ:

સૌથી ખતરનાક એપ્લીકેશનના ઉપયોગ પર ડાયાગ્રામ

આ કરવા માટે, એક આકૃતિ બનાવો - વર્ટિકલ બાર. અમે મેટ્રિક તરીકે ગણતરી (Y અક્ષ) નો પણ ઉપયોગ કરીએ છીએ, અને X અક્ષ પર અમે ઉપયોગમાં લેવાતી એપ્લિકેશનના નામનો ઉપયોગ કરીશું - “appi_name” મૂલ્યો તરીકે. સૌથી મહત્વપૂર્ણ ફિલ્ટર સેટિંગ છે - ઉત્પાદન: "એપ્લિકેશન નિયંત્રણ" અને એપ્લિકેશન_રિસ્ક: (4 અથવા 5 અથવા 3 ) અને ક્રિયા: "સ્વીકારો". અમે એપ્લિકેશન કંટ્રોલ બ્લેડ દ્વારા લૉગ્સને ફિલ્ટર કરીએ છીએ, ફક્ત તે જ સાઇટ્સને લઈએ છીએ જેને જટિલ, ઉચ્ચ, મધ્યમ જોખમવાળી સાઇટ્સ તરીકે વર્ગીકૃત કરવામાં આવી છે અને જો આ સાઇટ્સની ઍક્સેસની મંજૂરી હોય તો જ. ચિત્ર ક્લિક કરી શકાય તેવું છે:

સેટિંગ્સ, ક્લિક કરવા યોગ્ય:

ડેશબોર્ડ

ડેશબોર્ડ જોવા અને બનાવવું એ એક અલગ મેનૂ આઇટમમાં છે - ડેશબોર્ડ. અહીં બધું સરળ છે, એક નવું ડેશબોર્ડ બનાવવામાં આવ્યું છે, તેમાં વિઝ્યુલાઇઝેશન ઉમેરવામાં આવ્યું છે, તેની જગ્યાએ મૂકવામાં આવ્યું છે અને બસ!

અમે એક ડેશબોર્ડ બનાવી રહ્યા છીએ જેના દ્વારા તમે સંસ્થામાં માહિતી સુરક્ષાની સ્થિતિની મૂળભૂત પરિસ્થિતિને સમજી શકો છો, અલબત્ત, ફક્ત ચેક પોઇન્ટ સ્તર પર, ચિત્ર ક્લિક કરી શકાય તેવું છે:

આ આલેખના આધારે, અમે સમજી શકીએ છીએ કે ફાયરવોલ પર કઈ મહત્વપૂર્ણ હસ્તાક્ષરો અવરોધિત નથી, વપરાશકર્તાઓ ક્યાં જાય છે અને તેઓ કઈ સૌથી ખતરનાક એપ્લિકેશનોનો ઉપયોગ કરે છે.

નિષ્કર્ષ

અમે કિબાનામાં મૂળભૂત વિઝ્યુલાઇઝેશનની ક્ષમતાઓ જોઈ અને ડેશબોર્ડ બનાવ્યું, પરંતુ આ માત્ર એક નાનો ભાગ છે. આગળ કોર્સમાં અમે અલગથી નકશા સેટઅપ કરવા, ઇલાસ્ટીક સર્ચ સિસ્ટમ સાથે કામ કરવા, API વિનંતીઓ, ઓટોમેશન અને ઘણું બધું જાણીશું!

તેથી ટ્યુન રહોTelegram, ફેસબુક, VK, ટીએસ સોલ્યુશન બ્લોગ), યાન્ડેક્ષ ઝેન.

સોર્સ: www.habr.com