કેવી રીતે ELK સુરક્ષા ઇજનેરોને વેબસાઇટ હુમલાઓ સામે લડવામાં અને શાંતિથી ઊંઘવામાં મદદ કરે છે

અમારું સાયબર ડિફેન્સ સેન્ટર ક્લાયન્ટના વેબ ઈન્ફ્રાસ્ટ્રક્ચરની સુરક્ષા માટે જવાબદાર છે અને ક્લાયન્ટ સાઇટ્સ પરના હુમલાઓને દૂર કરે છે. અમે હુમલાઓ સામે રક્ષણ માટે FortiWeb વેબ એપ્લિકેશન ફાયરવોલ્સ (WAF) નો ઉપયોગ કરીએ છીએ. પરંતુ શાનદાર WAF પણ રામબાણ ઉપાય નથી અને લક્ષિત હુમલાઓથી બૉક્સની બહાર રક્ષણ કરતું નથી. 

તેથી, WAF ઉપરાંત, અમે ઉપયોગ કરીએ છીએ ઇએલકે. તે તમામ ઇવેન્ટ્સને એક જગ્યાએ એકત્રિત કરવામાં મદદ કરે છે, આંકડા એકઠા કરે છે, તેની કલ્પના કરે છે અને અમને સમયસર લક્ષિત હુમલો જોવાની મંજૂરી આપે છે.

આજે હું તમને વધુ વિગતવાર જણાવીશ કે અમે WAF સાથે ક્રિસમસ ટ્રી કેવી રીતે પાર કર્યું અને તેમાંથી શું આવ્યું.

એક હુમલાની વાર્તા: ELK માં સંક્રમણ પહેલાં બધું કેવી રીતે કામ કરતું હતું

અમારા ક્લાઉડમાં, ગ્રાહકે અમારા WAF ની પાછળ એપ્લિકેશન ગોઠવી છે. દરરોજ 10 થી 000 વપરાશકર્તાઓ સાઇટ સાથે જોડાયેલા છે, કનેક્શન્સની સંખ્યા પ્રતિ દિવસ 100 મિલિયન સુધી પહોંચી છે. જેમાંથી 000-20 યુઝર્સ ઘુસણખોરો હતા અને સાઈટ હેક કરવાનો પ્રયાસ કર્યો હતો. 

FortiWeb એ સામાન્ય બ્રુટ ફોર્સ ફોર્મને એક IP એડ્રેસ પરથી એકદમ સરળતાથી બ્લોક કરી દીધું. સાઇટ પર પ્રતિ મિનિટ હિટની સંખ્યા કાયદેસર વપરાશકર્તાઓ કરતા વધુ હતી. અમે ફક્ત એક સરનામાંથી પ્રવૃત્તિ થ્રેશોલ્ડ સેટ કરી અને હુમલાને ભગાડ્યો.

જ્યારે હુમલાખોરો ધીમે ધીમે કાર્ય કરે છે અને સામાન્ય ગ્રાહકો તરીકે પોતાની જાતને વેશપલટો કરે છે ત્યારે "ધીમા હુમલાઓ" નો સામનો કરવો વધુ મુશ્કેલ છે. તેઓ ઘણા અનન્ય IP સરનામાઓનો ઉપયોગ કરે છે. આવી પ્રવૃત્તિ ડબલ્યુએએફ માટે મોટા પાયે બળ જેવી લાગતી ન હતી; તેને આપમેળે ટ્રેક કરવું વધુ મુશ્કેલ હતું. સામાન્ય વપરાશકર્તાઓને અવરોધિત કરવાનું જોખમ પણ હતું. અમે હુમલાના અન્ય ચિહ્નો શોધી કાઢ્યા અને આ નિશાનીના આધારે IP સરનામાંને આપમેળે અવરોધિત કરવા માટે એક નીતિ ગોઠવી. ઉદાહરણ તરીકે, ઘણા ગેરકાયદેસર સત્રોમાં HTTP વિનંતી હેડરમાં સામાન્ય ક્ષેત્રો હતા. FortiWeb ઇવેન્ટ લૉગ્સમાં આ ફીલ્ડ્સને વારંવાર મેન્યુઅલી શોધવું પડતું હતું. 

તે લાંબા અને અસ્વસ્થતા મળી. FortiWeb ની માનક કાર્યક્ષમતામાં, ઘટનાઓને 3 અલગ અલગ લોગમાં ટેક્સ્ટમાં રેકોર્ડ કરવામાં આવે છે: શોધાયેલ હુમલાઓ, વિનંતીઓ વિશેની માહિતી અને WAF ઓપરેશન વિશે સિસ્ટમ સંદેશાઓ. એક મિનિટમાં ડઝનેક અથવા તો સેંકડો હુમલાની ઘટનાઓ આવી શકે છે.

એટલું નહીં, પરંતુ તમારે મેન્યુઅલી ઘણા લૉગ્સમાંથી ચઢી જવું પડશે અને ઘણી બધી રેખાઓ દ્વારા પુનરાવર્તન કરવું પડશે: 

હુમલાના લોગમાં આપણે વપરાશકર્તાના સરનામા અને પ્રવૃત્તિની પ્રકૃતિ જોઈએ છીએ. 
 
ફક્ત લોગ ટેબલને સ્કેન કરવા માટે તે પૂરતું નથી. હુમલાની પ્રકૃતિ વિશે સૌથી વધુ રસપ્રદ અને ઉપયોગી શોધવા માટે, તમારે ચોક્કસ ઇવેન્ટની અંદર જોવાની જરૂર છે:

હાઇલાઇટ કરેલ ક્ષેત્રો "ધીમો હુમલો" શોધવામાં મદદ કરે છે. સ્ત્રોત: માંથી સ્ક્રીનશોટ Fortinet વેબસાઇટ. 

ઠીક છે, સૌથી મહત્વની સમસ્યા એ છે કે માત્ર ફોર્ટીવેબ નિષ્ણાત જ આ શોધી શકે છે. જ્યારે કામકાજના કલાકો દરમિયાન અમે વાસ્તવિક સમયમાં શંકાસ્પદ પ્રવૃત્તિ પર નજર રાખી શકીએ છીએ, ત્યારે રાત્રિના સમયે બનેલી ઘટનાઓની તપાસમાં વધુ સમય લાગી શકે છે. જ્યારે કોઈ કારણસર FortiWeb નીતિઓ કામ કરતી ન હતી, ત્યારે ફરજ પરના નાઈટ શિફ્ટ એન્જિનિયરો WAF ની ઍક્સેસ વિના પરિસ્થિતિનું મૂલ્યાંકન કરવામાં અસમર્થ હતા અને FortiWeb નિષ્ણાતને જગાડ્યા હતા. અમે કેટલાંક કલાકોના લોગમાં જોયું અને હુમલાની ક્ષણ મળી. 

માહિતીના આવા જથ્થા સાથે, પ્રથમ નજરમાં મોટા ચિત્રને સમજવું અને સક્રિયપણે કાર્ય કરવું મુશ્કેલ છે. પછી અમે દ્રશ્ય સ્વરૂપમાં દરેક વસ્તુનું વિશ્લેષણ કરવા, હુમલાની શરૂઆત શોધવા, તેની દિશા અને અવરોધિત કરવાની પદ્ધતિને ઓળખવા માટે એક જગ્યાએ ડેટા એકત્રિત કરવાનું નક્કી કર્યું. 

તમે શું પસંદ કર્યું

સૌ પ્રથમ, અમે પહેલેથી જ ઉપયોગમાં લેવાતા ઉકેલો પર ધ્યાન આપ્યું, જેથી બિનજરૂરી રીતે એન્ટિટીનો ગુણાકાર ન થાય.

પ્રથમ વિકલ્પોમાંથી એક હતો નાગોસજેનો ઉપયોગ અમે દેખરેખ માટે કરીએ છીએ એન્જિનિયરિંગ ઈન્ફ્રાસ્ટ્રક્ચર, નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચર, કટોકટીની પરિસ્થિતિઓ વિશે ચેતવણીઓ. સિક્યોરિટી ગાર્ડ્સ શંકાસ્પદ ટ્રાફિકની ઘટનામાં ફરજ અધિકારીઓને સૂચિત કરવા માટે પણ તેનો ઉપયોગ કરે છે, પરંતુ તે છૂટાછવાયા લૉગ્સ કેવી રીતે એકત્રિત કરવા તે જાણતા નથી અને તેથી હવે તેની જરૂર નથી. 

ઉપયોગ કરીને બધું એકીકૃત કરવાનો વિકલ્પ હતો MySQL અને PostgreSQL અથવા અન્ય રિલેશનલ ડેટાબેઝ. પરંતુ ડેટા બહાર કાઢવા માટે, તમારે તમારી પોતાની એપ્લિકેશન બનાવવી પડશે. 

અમારી કંપની પણ ઉપયોગ કરે છે FortiAnalyser Fortinet થી. પરંતુ તે આ કિસ્સામાં પણ બંધબેસતું નથી. પ્રથમ, તે ફાયરવોલ સાથે કામ કરવા માટે વધુ અનુરૂપ છે ફોર્ટિગેટ. બીજું, ઘણી સેટિંગ્સ ખૂટે છે, અને તેની સાથે ક્રિયાપ્રતિક્રિયા માટે SQL ક્વેરીઝનું ઉત્તમ જ્ઞાન જરૂરી છે. અને ત્રીજું, તેનો ઉપયોગ ગ્રાહક માટે સેવાની કિંમતમાં વધારો કરશે.   

આ રીતે આપણે ઓપન સોર્સના રૂપમાં આવ્યા છીએ ઇએલકે. 

શા માટે ELK પસંદ કરો 

ELK એ ઓપન સોર્સ પ્રોગ્રામ્સનો સમૂહ છે:

• સ્થિતિસ્થાપક શોધ - ટાઇમ સિરીઝનો ડેટાબેઝ, જે ખાસ કરીને મોટા પ્રમાણમાં ટેક્સ્ટ સાથે કામ કરવા માટે બનાવવામાં આવ્યો હતો;
• લોગસ્ટેશ - ડેટા કલેક્શન મિકેનિઝમ જે લોગને ઇચ્છિત ફોર્મેટમાં કન્વર્ટ કરી શકે છે; 
• કિબના - એક સારું વિઝ્યુલાઇઝર, તેમજ ઇલાસ્ટિકસર્ચ મેનેજ કરવા માટે એકદમ મૈત્રીપૂર્ણ ઇન્ટરફેસ. તમે તેનો ઉપયોગ શેડ્યૂલ બનાવવા માટે કરી શકો છો કે જે રાત્રે ફરજ ઇજનેરો દ્વારા મોનિટર કરી શકાય. 

ELK માટે એન્ટ્રી થ્રેશોલ્ડ ઓછી છે. તમામ મૂળભૂત સુવિધાઓ મફત છે. સુખ માટે બીજું શું જોઈએ.

તમે તે બધું એક સિસ્ટમમાં કેવી રીતે મૂક્યું?

અમે અનુક્રમણિકાઓ બનાવી છે અને માત્ર જરૂરી માહિતી છોડી દીધી છે. અમે ત્રણેય FortiWEB લોગ્સ ELK માં લોડ કર્યા અને આઉટપુટ અનુક્રમણિકાઓ હતી. આ સમયગાળા માટે તમામ એકત્રિત લૉગ સાથેની ફાઇલો છે, ઉદાહરણ તરીકે, એક દિવસ. જો આપણે તરત જ તેમને વિઝ્યુઅલાઈઝ કરીએ, તો અમે ફક્ત હુમલાઓની ગતિશીલતા જોઈશું. વિગતો માટે, તમારે દરેક હુમલામાં "પડવું" અને ચોક્કસ ક્ષેત્રો જોવાની જરૂર છે.

અમને સમજાયું કે પહેલા અમારે અસંરચિત માહિતીનું પદચ્છેદન સેટ કરવાની જરૂર છે. અમે "સંદેશ" અને "URL" જેવા લાંબા ફીલ્ડ્સને શબ્દમાળાઓ તરીકે લીધા છે અને નિર્ણય લેવા માટે વધુ માહિતી મેળવવા માટે તેમનું પદચ્છેદન કર્યું છે. 

ઉદાહરણ તરીકે, પાર્સિંગનો ઉપયોગ કરીને, અમે વપરાશકર્તાનું સ્થાન અલગથી લીધું છે. આનાથી રશિયન વપરાશકર્તાઓ માટેની સાઇટ્સ પર વિદેશથી થતા હુમલાઓને તરત જ પ્રકાશિત કરવામાં મદદ મળી. અન્ય દેશોના તમામ જોડાણોને અવરોધિત કરીને, અમે હુમલાઓની સંખ્યામાં 2 ગણો ઘટાડો કર્યો અને રશિયાની અંદરના હુમલાઓનો સરળતાથી સામનો કરી શક્યા. 

પદચ્છેદન કર્યા પછી, અમે કઈ માહિતી સંગ્રહિત કરવી અને વિઝ્યુઅલાઈઝ કરવી તે શોધવાનું શરૂ કર્યું. જર્નલમાં બધું છોડવું અવ્યવહારુ હતું: એક ઇન્ડેક્સનું કદ મોટું હતું - 7 જીબી. ELK એ ફાઇલ પર પ્રક્રિયા કરવામાં લાંબો સમય લીધો. જો કે, બધી માહિતી ઉપયોગી ન હતી. કંઈક ડુપ્લિકેટ થયું હતું અને તેણે વધારાની જગ્યા લીધી હતી - તેને ઑપ્ટિમાઇઝ કરવાની જરૂર છે. 

શરૂઆતમાં અમે ફક્ત અનુક્રમણિકા સ્કેન કરી અને બિનજરૂરી ઘટનાઓને દૂર કરી. ફોર્ટીવેબ પર જ લોગ સાથે કામ કરવા કરતાં આ વધુ અસુવિધાજનક અને લાંબું હોવાનું બહાર આવ્યું છે. આ તબક્કે "ક્રિસમસ ટ્રી" નો એકમાત્ર ફાયદો એ છે કે અમે એક સ્ક્રીન પર મોટા સમયની કલ્પના કરી શક્યા. 

અમે નિરાશ ન થયા, કેક્ટસ ખાવાનું ચાલુ રાખ્યું, ELK નો અભ્યાસ કર્યો અને માન્યું કે અમે જરૂરી માહિતી મેળવી શકીશું. અનુક્રમણિકાઓને સાફ કર્યા પછી, અમે અમારી પાસે જે હતું તે વિઝ્યુઅલાઈઝ કરવાનું શરૂ કર્યું. આ રીતે અમે મોટા ડેશબોર્ડ પર આવ્યા. અમે કેટલાક વિજેટ્સનો પ્રયાસ કર્યો - દૃષ્ટિની અને સુંદર રીતે, વાસ્તવિક ક્રિસમસ! 

હુમલાની ક્ષણ રેકોર્ડ કરવામાં આવી હતી. હવે એ સમજવું જરૂરી હતું કે હુમલાની શરૂઆત ચાર્ટ પર કેવી દેખાય છે. તેને શોધવા માટે, અમે વપરાશકર્તાને સર્વરના જવાબો (રિટર્ન કોડ્સ) જોયા. અમને આવા કોડ્સ (rc) સાથે સર્વર પ્રતિસાદોમાં રસ હતો: 

કોડ (RC)

શીર્ષક

વર્ણન

0

ડ્રોપ

સર્વરને વિનંતી અવરોધિત છે

200

Ok

વિનંતી પર સફળતાપૂર્વક પ્રક્રિયા થઈ

400

ખરાબ વિનંતી

ખરાબ વિનંતી

403

ફોરબિડન

અધિકૃતતા નકારી

500

આંતરિક સર્વર ભૂલ

સેવા અનુપલબ્ધ છે

જો કોઈએ સાઇટ પર હુમલો કરવાનું શરૂ કર્યું, તો કોડનો ગુણોત્તર બદલાઈ ગયો: 

• જો કોડ 400 સાથે વધુ ભૂલભરેલી વિનંતીઓ હતી, અને કોડ 200 સાથે સમાન સંખ્યામાં સામાન્ય વિનંતીઓ હતી, તો કોઈ વ્યક્તિ સાઇટને હેક કરવાનો પ્રયાસ કરી રહ્યું હતું. 
• જો, તે જ સમયે, કોડ 0 સાથેની વિનંતીઓ પણ વધી, તો ફોર્ટીવેબના રાજકારણીઓએ પણ હુમલો "જોયો" અને તેના પર બ્લોક્સ લાગુ કર્યા. 
• જો કોડ 500 સાથેના સંદેશાઓની સંખ્યામાં વધારો થયો છે, તો તેનો અર્થ એ છે કે આ IP સરનામાઓ માટે સાઇટ અનુપલબ્ધ છે - તે એક પ્રકારનું અવરોધિત પણ છે. 

ત્રીજા મહિના સુધીમાં, અમે આવી પ્રવૃત્તિને ટ્રેક કરવા માટે ડેશબોર્ડ સેટ કર્યું હતું.

દરેક વસ્તુને મેન્યુઅલી મોનિટર ન કરવા માટે, અમે નાગીઓસ સાથે એકીકરણ સેટ કર્યું, જેણે અમુક સમયાંતરે ELK નું મતદાન કર્યું. જો મને કોડ્સ દ્વારા પહોંચેલા થ્રેશોલ્ડ મૂલ્યો મળ્યાં, તો મેં શંકાસ્પદ પ્રવૃત્તિ વિશે ફરજ અધિકારીઓને સૂચના મોકલી. 

મોનિટરિંગ સિસ્ટમમાં સંયુક્ત 4 ચાર્ટ. હવે ગ્રાફ પર તે ક્ષણ જોવાનું મહત્વનું હતું કે જ્યારે હુમલો અવરોધિત કરવામાં આવ્યો ન હતો અને એન્જિનિયરના હસ્તક્ષેપની જરૂર હતી. 4 જુદા જુદા ચાર્ટ પર અમારી આંખો ઝાંખી પડી ગઈ. તેથી, અમે ચાર્ટને જોડ્યા અને એક સ્ક્રીન પર દરેક વસ્તુનું નિરીક્ષણ કરવાનું શરૂ કર્યું.

મોનિટરિંગ દરમિયાન, અમે જોયું કે વિવિધ રંગોના ગ્રાફ કેવી રીતે બદલાય છે. લાલ રંગના છાંટા બતાવે છે કે હુમલો શરૂ થયો છે, જ્યારે નારંગી અને વાદળી આલેખ ફોર્ટીવેબનો પ્રતિભાવ દર્શાવે છે:

અહીં બધું બરાબર છે: "લાલ" પ્રવૃત્તિમાં વધારો થયો હતો, પરંતુ ફોર્ટીવેબે તેનો સામનો કર્યો અને હુમલાનું શેડ્યૂલ નિષ્ફળ ગયું.

અમે અમારા માટે ગ્રાફનું ઉદાહરણ પણ દોર્યું છે જેમાં હસ્તક્ષેપની જરૂર છે:

અહીં આપણે જોઈએ છીએ કે FortiWeb એ પ્રવૃત્તિમાં વધારો કર્યો છે, પરંતુ લાલ હુમલાના ગ્રાફમાં ઘટાડો થયો નથી. તમારે તમારી WAF સેટિંગ્સ બદલવાની જરૂર છે.

રાત્રિના બનાવોની તપાસ પણ સરળ બની છે. ગ્રાફ તરત જ તે ક્ષણ બતાવે છે જ્યારે તે સાઇટના બચાવમાં આવવાનો સમય છે. 

આવું ક્યારેક રાત્રે થાય છે. લાલ ગ્રાફ - હુમલો શરૂ થયો છે. વાદળી - FortiWeb પ્રવૃત્તિ. હુમલો સંપૂર્ણપણે અવરોધિત ન હતો, તેથી મારે દરમિયાનગીરી કરવી પડી.

આપણે ક્યાં જઈ રહ્યા છીએ?

અમે હાલમાં ELK સાથે કામ કરવા માટે ફરજ સંચાલકોને તાલીમ આપી રહ્યા છીએ. ફરજ પરના લોકો ડેશબોર્ડ પર પરિસ્થિતિનું મૂલ્યાંકન કરવાનું શીખે છે અને નિર્ણય લે છે: ફોર્ટીવેબ નિષ્ણાત પાસે જવાનો સમય છે, અથવા WAF પરની નીતિઓ હુમલાને આપમેળે નિવારવા માટે પૂરતી છે. આ રીતે અમે રાત્રે માહિતી સુરક્ષા ઇજનેરો પરનો ભાર ઘટાડીએ છીએ અને સિસ્ટમ સ્તરે સહાયક ભૂમિકાઓને વિભાજિત કરીએ છીએ. FortiWeb ની ઍક્સેસ ફક્ત સાયબર ડિફેન્સ સેન્ટર પાસે જ રહે છે, અને જ્યારે એકદમ જરૂરી હોય ત્યારે જ તેઓ WAF સેટિંગ્સમાં ફેરફાર કરે છે.

અમે ગ્રાહકો માટે રિપોર્ટિંગ પર પણ કામ કરી રહ્યા છીએ. અમે પ્લાન કરીએ છીએ કે WAF ઓપરેશનની ગતિશીલતા પરનો ડેટા ક્લાયન્ટના વ્યક્તિગત ખાતામાં ઉપલબ્ધ રહેશે. ELK પોતે WAF નો સંપર્ક કર્યા વિના પરિસ્થિતિને વધુ પારદર્શક બનાવશે.

જો ગ્રાહક વાસ્તવિક સમયમાં તેમના રક્ષણ પર નજર રાખવા માંગે છે, તો ELK પણ કામમાં આવશે. અમે WAF ની ઍક્સેસ આપી શકતા નથી, કારણ કે કામમાં ગ્રાહકની દખલગીરી અન્યને અસર કરી શકે છે. પરંતુ તમે એક અલગ ELK પસંદ કરી શકો છો અને તેની સાથે "રમવા" માટે આપી શકો છો. 

આ "ક્રિસમસ ટ્રી" નો ઉપયોગ કરવા માટેના દૃશ્યો છે જે અમે તાજેતરમાં એકઠા કર્યા છે. આ બાબતે તમારા વિચારો શેર કરો અને ભૂલશો નહીં બધું યોગ્ય રીતે સેટ કરોડેટાબેઝ લીક ટાળવા માટે. 

સોર્સ: www.habr.com