ELK SIEM ઓપન ડિસ્ટ્રો: ELK માં ELK અને SIEM ડેશબોર્ડ્સનું વિઝ્યુલાઇઝેશન

આ પોસ્ટ ELK માં ELK અને SIEM ડેશબોર્ડ્સનું વિઝ્યુલાઇઝેશન સેટ કરવાનું વર્ણન કરશે
લેખ નીચેના વિભાગોમાં વહેંચાયેલો છે:

1- ELK SIEM સમીક્ષા
2- ડિફૉલ્ટ ડેશબોર્ડ્સ
3- તમારું પ્રથમ ડેશબોર્ડ બનાવવું

બધી પોસ્ટ્સની સામગ્રીનું કોષ્ટક.

• પરિચય. સેવા તરીકે SOC માટે ઈન્ફ્રાસ્ટ્રક્ચર અને ટેક્નોલોજીની જમાવટ (SOCasS)
• ELK સ્ટેક - ઇન્સ્ટોલેશન અને કન્ફિગરેશન
• ખુલ્લા ડિસ્ટ્રો દ્વારા ચાલો
• ડેશબોર્ડ્સ અને ELK SIEM નું વિઝ્યુલાઇઝેશન
• WAZUH સાથે એકીકરણ
• એલર્ટિંગ
• જાણ
• કેસ મેનેજમેન્ટ

1-ELK SIEM સમીક્ષા

ELK SIEM ને તાજેતરમાં 7.2 જૂન, 25 ના રોજ સંસ્કરણ 2019 માં એલ્ક સ્ટેકમાં ઉમેરવામાં આવ્યું હતું.

સુરક્ષા વિશ્લેષકના જીવનને વધુ સરળ અને ઓછું કંટાળાજનક બનાવવા માટે elastic.co દ્વારા બનાવવામાં આવેલ આ SIEM સોલ્યુશન છે.

કાર્યના અમારા સંસ્કરણમાં, અમે અમારી પોતાની SIEM બનાવવાનું અને અમારી પોતાની નિયંત્રણ પેનલ પસંદ કરવાનું નક્કી કર્યું.

પરંતુ અમને લાગે છે કે પહેલા ELK SIEM નું અન્વેષણ કરવું મહત્વપૂર્ણ છે.

1.1- હોસ્ટ ઇવેન્ટ વિભાગ

અમે પહેલા યજમાન વિભાગને જોઈશું. હોસ્ટ વિભાગ તમને અંતિમ બિંદુ પર જ જનરેટ થયેલ ઇવેન્ટ્સ જોવાની મંજૂરી આપશે.

વ્યુ હોસ્ટ પર ક્લિક કર્યા પછી તમને આના જેવું કંઈક મળવું જોઈએ. જેમ તમે જોઈ શકો છો, આ કમ્પ્યુટર સાથે ત્રણ હોસ્ટ જોડાયેલા છે:

1 વિન્ડોઝ 10.

2 ઉબુન્ટુ સર્વર 18.04.

અમારી પાસે ઘણા વિઝ્યુલાઇઝેશન પ્રદર્શિત છે, દરેક વિવિધ પ્રકારની ઇવેન્ટ્સનું પ્રતિનિધિત્વ કરે છે.

ઉદાહરણ તરીકે, મધ્યમાં એક ત્રણેય મશીનો પર લોગિન ડેટા દર્શાવે છે.

તમે અહીં જુઓ છો તે ડેટાનો આ જથ્થો પાંચ દિવસમાં એકત્રિત કરવામાં આવ્યો હતો. આ મોટી સંખ્યામાં નિષ્ફળ અને સફળ લોગીન્સ સમજાવે છે. તમારી પાસે કદાચ ઓછી સંખ્યામાં લોગ હશે, તેથી ચિંતા કરશો નહીં

1.2- નેટવર્ક ઇવેન્ટ્સ વિભાગ

નેટવર્ક વિભાગ પર આગળ વધો, તમારે આના જેવું કંઈક મેળવવું જોઈએ. આ વિભાગ તમને HTTP/TLS ટ્રાફિકથી લઈને DNS ટ્રાફિક અને બાહ્ય ઇવેન્ટ ચેતવણીઓ સુધી, તમારા નેટવર્ક પર બનેલી દરેક વસ્તુ પર નજીકથી નજર રાખવાની મંજૂરી આપશે.

2- ડિફૉલ્ટ ડેશબોર્ડ્સ

વપરાશકર્તાઓ માટે જીવન સરળ બનાવવા માટે, elastic.co વિકાસકર્તાઓએ ELK દ્વારા સત્તાવાર રીતે સપોર્ટેડ ડિફોલ્ટ ટૂલબાર બનાવ્યું છે. અમારા ધબકારા આ નિયમમાં અપવાદ ન હતા. અહીં હું ઉદાહરણ તરીકે Packetbeat ના ડિફોલ્ટ ડેશબોર્ડનો ઉપયોગ કરીશ.

જો તમે લેખના બીજા પગલાને યોગ્ય રીતે અનુસરો છો. તમારી પાસે એક ટૂલબાર સેટઅપ હોવો જોઈએ જે તમારી રાહ જોઈ રહ્યું છે. તો ચાલો શરુ કરીએ.

કિબાનાની ડાબી ટેબમાંથી, ડેશબોર્ડ પ્રતીક પસંદ કરો. જો તમે ઉપરથી ગણતરી કરો તો આ ત્રીજું છે.

શોધ ટેબમાં શેરનું નામ દાખલ કરો

જો બીટમાં ઘણા મોડ્યુલો હોય. તે દરેક માટે એક કંટ્રોલ પેનલ બનાવવામાં આવશે. પરંતુ માત્ર એક જ મોડ્યુલ સક્રિય છે તે બિન-ખાલી ડેટા પ્રદર્શિત કરશે.

તમારા મોડ્યુલ નામ સાથે એક પસંદ કરો.

આ મુખ્ય નમૂનો છે પેકેટબીટ.

આ નેટવર્ક ફ્લો કંટ્રોલ પેનલ છે. તે અમને ઇનકમિંગ અને આઉટગોઇંગ પેકેટ, IP એડ્રેસના સ્ત્રોતો અને ગંતવ્ય વિશે જણાવશે અને સુરક્ષા કેન્દ્ર વિશ્લેષક માટે ઘણી બધી ઉપયોગી માહિતી પણ પ્રદાન કરે છે.

3 - તમારું પ્રથમ ડેશબોર્ડ બનાવવું

3-1- મૂળભૂત ખ્યાલો

A- ડેશબોર્ડના પ્રકાર:

આ વિઝ્યુઅલાઈઝેશનના વિવિધ પ્રકારો છે જેનો ઉપયોગ તમે તમારા ડેટાને વિઝ્યુઅલાઈઝ કરવા માટે કરી શકો છો.

ઉદાહરણ તરીકે અમારી પાસે છે:

• બાર ગ્રાફ
• નકશો
• માર્કડાઉન વિજેટ
• પાઇ ચાર્ટ

B- KQL (કિબાના ક્વેરી લેંગ્વેજ):

આ ડેટાની સરળ શોધ માટે કિબાનામાં વપરાતી ભાષા છે. તે તમને ચોક્કસ ડેટા અસ્તિત્વમાં છે કે કેમ અને અન્ય ઘણી ઉપયોગી સુવિધાઓ તપાસવાની મંજૂરી આપે છે. વધુ જાણવા માટે, તમે આ લિંક પરની માહિતીનું અન્વેષણ કરી શકો છો

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

Windows 10 pro ચલાવતા હોસ્ટને શોધવા માટે આ એક ઉદાહરણ ક્વેરી છે.

C- ફિલ્ટર્સ:

આ સુવિધા તમને હોસ્ટનામ, ઇવેન્ટ કોડ અથવા ID, વગેરે જેવા ચોક્કસ પરિમાણોને ફિલ્ટર કરવાની મંજૂરી આપશે. ફિલ્ટર્સ પુરાવા શોધવામાં ખર્ચવામાં આવેલા સમય અને પ્રયત્નોના સંદર્ભમાં તપાસના તબક્કામાં ઘણો સુધારો કરશે.

ડી- પ્રથમ વિઝ્યુલાઇઝેશન:

ચાલો MITER ATT અને CK માટે વિઝ્યુલાઇઝેશન બનાવીએ.

પ્રથમ આપણે જવાની જરૂર છે ડેશબોર્ડ → નવું ડેશબોર્ડ બનાવો → નવું બનાવો → પાઈ ડેશબોર્ડ

ઇન્ડેક્સ પેટર્ન માટે પ્રકાર સેટ કરો, પછી તમારા બીટના નામ પર ટેપ કરો.

Enter દબાવો. અત્યાર સુધીમાં તમારે લીલું ડોનટ જોવું જોઈએ.

ડાબી બાજુએ બકેટ્સ ટેબમાં તમને મળશે:

— સ્પ્લિટ સ્લાઇસેસ ડેટાના પ્રસારને આધારે ડોનટને વિવિધ ભાગોમાં વિભાજિત કરશે.

- સ્પ્લિટ ચાર્ટ આની બાજુમાં બીજું ડોનટ બનાવશે.

અમે સ્પ્લિટ સ્લાઈસનો ઉપયોગ કરીશું.

અમે જે શબ્દ પસંદ કરીએ છીએ તેના આધારે અમે અમારા ડેટાની કલ્પના કરીશું. આ કિસ્સામાં શબ્દ MITER ATT અને CK નો સંદર્ભ લેશે.

વિનલોગબીટમાં, જે ક્ષેત્ર અમને આ માહિતી પ્રદાન કરશે તેને કહેવામાં આવે છે:

winlog.event_data.RuleName

અમે ઇવેન્ટ્સ કેટલી વખત બને છે તેના આધારે ઓર્ડર આપવા માટે ગણતરી મેટ્રિક સેટ કરીશું.

"અલગ સેગમેન્ટમાં અન્ય મૂલ્યોનું જૂથ કરો" સુવિધાને સક્ષમ કરો.

આ ઉપયોગી થશે જો તમે પસંદ કરેલા શબ્દોના લયના આધારે ઘણા જુદા જુદા અર્થો હોય. આ સમગ્ર રીતે બાકીના ડેટાને વિઝ્યુઅલાઈઝ કરવામાં મદદ કરે છે. આ તમને બાકીની ઘટનાઓની ટકાવારીનો ખ્યાલ આપશે.

હવે જ્યારે આપણે ડેટા ટેબ સેટઅપ કરી લીધું છે, ચાલો વિકલ્પો ટેબ પર આગળ વધીએ

તમારે નીચેના કરવું જોઈએ:

**ડોનટ આકારને દૂર કરો જેથી રેન્ડરિંગ સંપૂર્ણ વર્તુળ બતાવે.

**તમને ગમતી દંતકથાની સ્થિતિ પસંદ કરો. આ કિસ્સામાં, અમે તેમને જમણી બાજુએ પ્રદર્શિત કરીશું.

**સરળ વાંચન માટે તેમના સ્નિપેટની બાજુમાં બતાવવા માટે પ્રદર્શન મૂલ્યો સેટ કરો અને બાકીનાને ડિફોલ્ટ તરીકે છોડી દો

ટ્રંકેશન નક્કી કરે છે કે તમે ઇવેન્ટના નામમાંથી કેટલું પ્રદર્શિત કરવા માંગો છો.

તમે જે સમયે રેન્ડરિંગ શરૂ કરવા માંગો છો તે સમય સેટ કરો અને પછી વાદળી ચોરસ પર ક્લિક કરો.

તમારે આના જેવું કંઈક સમાપ્ત કરવું જોઈએ:

તમે જે ચોક્કસ હોસ્ટને તપાસવા માગો છો તેને ફિલ્ટર કરવા માટે તમે તમારા વિઝ્યુલાઇઝેશનમાં ફિલ્ટર પણ ઉમેરી શકો છો અથવા તમારા હેતુ માટે ઉપયોગી લાગે તેવા કોઈપણ પરિમાણો. વિઝ્યુલાઇઝેશન ફક્ત તે ડેટા પ્રદર્શિત કરશે જે ફિલ્ટરમાં મૂકવામાં આવેલા નિયમ સાથે મેળ ખાય છે. આ કિસ્સામાં, અમે માત્ર win10 નામના હોસ્ટ તરફથી આવતા MITER ATT&CK ડેટા પ્રદર્શિત કરીશું.

3-2- તમારું પ્રથમ ડેશબોર્ડ બનાવવું:

ડેશબોર્ડ એ ઘણા વિઝ્યુલાઇઝેશનનો સંગ્રહ છે. તમારા ડેશબોર્ડ સ્પષ્ટ, સમજી શકાય તેવા હોવા જોઈએ અને તેમાં ઉપયોગી, નિર્ધારિત ડેટા હોવો જોઈએ. અહીં અમે winlogbeat માટે શરૂઆતથી બનાવેલા ડેશબોર્ડ્સનું ઉદાહરણ છે.

તમારા સમય માટે આભાર. હું આશા રાખું છું કે તમને આ લેખ મદદરૂપ લાગ્યો. જો તમને વિષય પર વધુ માહિતી જોઈતી હોય, તો અમે તમને મુલાકાત લેવાની ભલામણ કરીએ છીએ સત્તાવાર વેબસાઇટ.

Elasticsearch પર ટેલિગ્રામ ચેટ: https://t.me/elasticsearch_ru

સોર્સ: www.habr.com