टीएस कुल दृष्टि। घटना संग्रह, घटना विश्लेषण, और खतरा प्रतिक्रिया स्वचालन उपकरण

शुभ दोपहर, पिछले लेखों में हम ईएलके स्टैक के काम से परिचित हुए। और अब हम उन संभावनाओं पर चर्चा करेंगे जो एक सूचना सुरक्षा विशेषज्ञ द्वारा इन प्रणालियों का उपयोग करने में महसूस की जा सकती हैं। इलास्टिक्स खोज में कौन से लॉग जोड़े जा सकते हैं और क्या जोड़े जाने चाहिए। आइए विचार करें कि डैशबोर्ड स्थापित करके कौन से आँकड़े प्राप्त किए जा सकते हैं और क्या इसमें कोई लाभ है। मैं ईएलके स्टैक का उपयोग करके सूचना सुरक्षा प्रक्रियाओं के स्वचालन को कैसे कार्यान्वित कर सकता हूं। चलिए सिस्टम का आर्किटेक्चर बनाते हैं। संक्षेप में, सभी कार्यक्षमताओं का कार्यान्वयन एक बहुत बड़ा और कठिन कार्य है, इसलिए समाधान को एक अलग नाम दिया गया - TS Total Sight।

वर्तमान में, सूचना सुरक्षा की घटनाओं को एक तार्किक स्थान पर समेकित और विश्लेषण करने वाले समाधान लोकप्रियता प्राप्त कर रहे हैं, परिणामस्वरूप, एक विशेषज्ञ एक संगठन में सूचना सुरक्षा की स्थिति में सुधार के लिए आंकड़े और कार्रवाई के लिए एक मोर्चा प्राप्त करता है। हमने ईएलके स्टैक का उपयोग करने के लिए खुद को ऐसा कार्य निर्धारित किया है, परिणामस्वरूप, हमने 4 खंडों में मुख्य कार्यक्षमता का चयन किया है:

1. सांख्यिकी और दृश्य;
2. आईएस घटना का पता लगाना;
3. घटनाओं की प्राथमिकता;
4. सूचना सुरक्षा प्रक्रियाओं का स्वचालन।

आइए प्रत्येक को अधिक विस्तार से देखें।

सूचना सुरक्षा घटना का पता लगाने

हमारे मामले में इलास्टिक्स खोज का उपयोग करने का मुख्य कार्य केवल सूचना सुरक्षा घटनाओं को एकत्र करना है। आप सुरक्षा के किसी भी माध्यम से सूचना सुरक्षा घटनाओं को एकत्र कर सकते हैं यदि वे कम से कम कुछ लॉग ट्रांसफर मोड का समर्थन करते हैं, मानक एक फ़ाइल में syslog या scp सहेजना है।

आप सुरक्षा उपकरणों के मानक उदाहरण दे सकते हैं और न केवल जहां से आपको लॉग अग्रेषण को कॉन्फ़िगर करना चाहिए:

1. कोई भी एनजीएफडब्ल्यू फंड (चेक प्वाइंट, फोर्टिनेट);
2. कोई भेद्यता स्कैनर (पीटी स्कैनर, ओपनवास);
3. वेब अनुप्रयोग फ़ायरवॉल (पीटीएएफ);
4. नेटफ्लो एनालाइजर (फ्लोमोन, सिस्को स्टील्थवॉच);
5. विज्ञापन सर्वर।

एक बार जब आप लॉग और कॉन्फ़िगरेशन फ़ाइल भेजने के लिए लॉगस्टैश सेट कर लेते हैं, तो आप विभिन्न सुरक्षा उपकरणों से आने वाली घटनाओं के साथ सहसंबंध और तुलना कर सकते हैं। ऐसा करने के लिए, इंडेक्स का उपयोग करना सुविधाजनक है, जिसमें हम किसी विशेष उपकरण से संबंधित सभी घटनाओं को संग्रहीत करेंगे। दूसरे शब्दों में, एक अनुक्रमणिका एक उपकरण के लिए सभी घटनाएँ हैं। इस वितरण को लागू करने के दो तरीके हैं।

पहला अवतार लॉगस्टैश कॉन्फ़िगरेशन को कॉन्फ़िगर करना है। ऐसा करने के लिए, आपको कुछ फ़ील्ड के लिए लॉग को एक अलग प्रकार के साथ एक अलग इकाई में डुप्लिकेट करने की आवश्यकता है। और फिर बाद में इस प्रकार का प्रयोग करें। चेक प्वाइंट फ़ायरवॉल के IPS ब्लेड से उदाहरण क्लोन लॉग करता है।

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

लॉग के क्षेत्रों के आधार पर इस तरह की घटनाओं को एक अलग सूचकांक में संग्रहीत करने के लिए, उदाहरण के लिए, जैसे कि हमले के हस्ताक्षर का गंतव्य आईपी। आप एक समान निर्माण का उपयोग कर सकते हैं:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

और इस तरह, आप सभी घटनाओं को इंडेक्स में सहेज सकते हैं, उदाहरण के लिए, आईपी एड्रेस या मशीन के डोमेन नाम से। इस मामले में, हम इंडेक्स में स्टोर करते हैं "स्मार्टडेफेंस-%{डीएसटी}", हस्ताक्षर गंतव्य के आईपी पते से।

हालांकि, अलग-अलग उत्पादों में अलग-अलग लॉग फ़ील्ड होंगे, जिसके परिणामस्वरूप अराजकता और व्यर्थ स्मृति होगी। और यहां यह आवश्यक होगा कि लॉगस्टैश कॉन्फ़िगरेशन सेटिंग्स में फ़ील्ड्स को पूर्व-डिज़ाइन किए गए लोगों के साथ सावधानी से बदलें, जो सभी प्रकार की घटनाओं के लिए समान होगा, जो एक मुश्किल काम भी है।

दूसरा कार्यान्वयन विकल्प - यह एक स्क्रिप्ट या प्रक्रिया लिख ​​रहा है जो वास्तविक समय में इलास्टिक बेस तक पहुंचेगा, आवश्यक घटनाओं को बाहर निकालेगा, और उन्हें एक नई अनुक्रमणिका में सहेजेगा, यह एक कठिन कार्य है, लेकिन यह आपको लॉग के साथ काम करने की अनुमति देता है जैसा आप चाहते हैं , और अन्य सुरक्षा उपकरणों की घटनाओं से सीधे संबंधित होते हैं। यह विकल्प आपको अधिकतम लचीलेपन के साथ आपके मामले के लिए यथासंभव उपयोगी लॉग के साथ काम को अनुकूलित करने की अनुमति देता है, लेकिन यहां एक विशेषज्ञ को खोजने में समस्या है जो इसे लागू कर सके।

और, ज़ाहिर है, सबसे महत्वपूर्ण सवाल क्या सहसंबद्ध और पता लगाया जा सकता है?

यहां कई विकल्प हो सकते हैं, और आपके बुनियादी ढांचे में कौन से सुरक्षा उपकरण उपयोग किए जाते हैं, इसके आधार पर कुछ उदाहरण:

1. सबसे स्पष्ट और मेरे दृष्टिकोण से उन लोगों के लिए सबसे दिलचस्प विकल्प जिनके पास NGFW समाधान और भेद्यता स्कैनर है। यह IPS लॉग और भेद्यता स्कैन परिणामों की तुलना है। यदि आईपीएस प्रणाली द्वारा एक हमले का पता लगाया गया (अवरुद्ध नहीं किया गया), और स्कैन के परिणामों के आधार पर अंत मशीन पर यह भेद्यता बंद नहीं हुई है, तो सभी पाइपों को उड़ा देना जरूरी है, क्योंकि उच्च संभावना है कि भेद्यता थी शोषण किया।
2. एक मशीन से विभिन्न स्थानों पर कई लॉगिन प्रयास दुर्भावनापूर्ण गतिविधि का प्रतीक हो सकते हैं।
3. बड़ी संख्या में संभावित खतरनाक साइटों पर जाने के कारण उपयोगकर्ता द्वारा वायरस फ़ाइलों को डाउनलोड करना।

सांख्यिकी और दृश्य

ईएलके स्टैक का सबसे स्पष्ट और समझने योग्य उद्देश्य लॉग का भंडारण और विज़ुअलाइज़ेशन है, पिछले लेखों में यह दिखाया गया था कि आप लॉगस्टैश का उपयोग करके विभिन्न उपकरणों से लॉग कैसे प्राप्त कर सकते हैं। लॉग के Elasticsearch पर जाने के बाद, आप डैशबोर्ड सेट कर सकते हैं, जिसका उल्लेख भी किया गया था पिछले लेखों में, विज़ुअलाइज़ेशन के माध्यम से आपको आवश्यक जानकारी और आंकड़ों के साथ।

Примеры:

1. सबसे महत्वपूर्ण घटनाओं के साथ थ्रेट प्रिवेंशन इवेंट्स का डैशबोर्ड। यहां आप यह दर्शा सकते हैं कि किन IPS हस्ताक्षरों का पता चला है, वे भौगोलिक रूप से कहां से आए हैं।

   

2. सबसे महत्वपूर्ण एप्लिकेशन के उपयोग पर डैशबोर्ड जिसके लिए जानकारी लीक की जा सकती है।

   

3. किसी भी सुरक्षा स्कैनर से परिणाम स्कैन करें।

   

4. उपयोगकर्ताओं द्वारा सक्रिय निर्देशिका से लॉग।

   

5. वीपीएन कनेक्शन डैशबोर्ड।

इस मामले में, यदि आप हर कुछ सेकंड में अपडेट करने के लिए डैशबोर्ड सेट करते हैं, तो आप वास्तविक समय में घटनाओं की निगरानी के लिए एक काफी सुविधाजनक प्रणाली प्राप्त कर सकते हैं, जिसका उपयोग सूचना सुरक्षा घटनाओं पर जल्द से जल्द प्रतिक्रिया देने के लिए किया जा सकता है यदि आप डैशबोर्ड को एक पर रखते हैं। अलग स्क्रीन।

घटना प्राथमिकता

एक बड़े बुनियादी ढाँचे की स्थितियों में, घटनाओं की संख्या कम हो सकती है, और विशेषज्ञों के पास समय पर सभी घटनाओं का विश्लेषण करने का समय नहीं होगा। इस मामले में, सबसे पहले यह आवश्यक है कि केवल उन घटनाओं को चिन्हित किया जाए जो एक बड़ा खतरा पैदा करती हैं। इसलिए, सिस्टम को आपके बुनियादी ढांचे के संबंध में घटनाओं की गंभीरता के अनुसार उन्हें प्राथमिकता देनी चाहिए। इन घटनाओं के मेल या टेलीग्राम में अधिसूचना स्थापित करने की सलाह दी जाती है। विज़ुअलाइज़ेशन सेट करके नियमित किबाना टूल का उपयोग करके प्राथमिकता को लागू किया जा सकता है। लेकिन एक अधिसूचना के साथ यह कठिन है, डिफ़ॉल्ट रूप से यह कार्यक्षमता एलिटिक्स खोज के मूल संस्करण में शामिल नहीं है, केवल भुगतान किए गए एक में। इसलिए, या तो एक भुगतान किया संस्करण खरीदें, या, फिर से, एक प्रक्रिया स्वयं लिखें जो मेल या टेलीग्राम द्वारा वास्तविक समय में विशेषज्ञों को सूचित करेगी।

सूचना सुरक्षा प्रक्रियाओं का स्वचालन

और सबसे दिलचस्प भागों में से एक सूचना सुरक्षा घटनाओं के लिए कार्यों का स्वचालन है। पहले, हमने इस कार्यक्षमता को स्प्लंक के लिए लागू किया था, आप इसमें थोड़ा और पढ़ सकते हैं लेख. मूल विचार यह है कि IPS नीति का कभी भी परीक्षण या अनुकूलन नहीं किया जाता है, हालाँकि कुछ मामलों में यह सूचना सुरक्षा प्रक्रियाओं का एक अनिवार्य हिस्सा है। उदाहरण के लिए, एनजीएफडब्ल्यू के कार्यान्वयन के एक साल बाद और आईपीएस को अनुकूलित करने के लिए कार्रवाई की अनुपस्थिति, आप डिटेक्ट एक्शन के साथ बड़ी संख्या में हस्ताक्षर जमा करेंगे जो अवरुद्ध नहीं होंगे, जो संगठन में सूचना सुरक्षा की स्थिति को बहुत कम कर देता है। यहां कुछ उदाहरण दिए गए हैं कि क्या स्वचालित किया जा सकता है:

1. IPS सिग्नेचर को डिटेक्ट से प्रिवेंट में स्विच करना। यदि प्रिवेंट महत्वपूर्ण हस्ताक्षरों पर काम नहीं करता है, तो यह आदेश से बाहर है, और सुरक्षा प्रणाली में एक गंभीर उल्लंघन है। हम नीति में कार्रवाई को ऐसे हस्ताक्षरों में बदलते हैं। यह कार्यक्षमता लागू की जा सकती है यदि NGFW डिवाइस में REST API कार्यक्षमता है। यह तभी संभव है जब आपके पास प्रोग्रामिंग कौशल हो, आपको Elastcisearch से आवश्यक जानकारी निकालने और NGFW नियंत्रण सर्वर के लिए API अनुरोधों को निष्पादित करने की आवश्यकता है।
2. यदि एक IP पते से नेटवर्क ट्रैफ़िक में बहुत सारे हस्ताक्षर पाए गए या अवरुद्ध कर दिए गए, तो फ़ायरवॉल नीति में इस IP पते को कुछ समय के लिए अवरुद्ध करना समझ में आता है। कार्यान्वयन में REST API का उपयोग करना भी शामिल है।
3. यदि इस होस्ट के पास IPS या अन्य सुरक्षा उपकरणों के लिए बड़ी संख्या में हस्ताक्षर हैं, तो एक भेद्यता स्कैनर के साथ एक होस्ट स्कैन लॉन्च करें, यदि यह OpenVas है, तो आप एक स्क्रिप्ट लिख सकते हैं जो ssh के माध्यम से सुरक्षा स्कैनर से जुड़ेगी और स्कैन चलाएगी।

टीएस कुल दृष्टि

संक्षेप में, सभी कार्यक्षमताओं का कार्यान्वयन एक बहुत बड़ा और कठिन कार्य है। प्रोग्रामिंग कौशल के बिना, आप न्यूनतम कार्यक्षमता निर्धारित कर सकते हैं, जो उत्पादकता में उपयोग के लिए पर्याप्त हो सकती है। लेकिन अगर आप सभी कार्यक्षमता में रुचि रखते हैं, तो आप TS Total Sight पर ध्यान दे सकते हैं। आप हमारे बारे में अधिक जानकारी प्राप्त कर सकते हैं ऑनलाइन. नतीजतन, काम और वास्तुकला की पूरी योजना इस तरह दिखेगी:

निष्कर्ष

हमने देखा कि ईएलके स्टैक का उपयोग करके क्या कार्यान्वित किया जा सकता है। बाद के लेखों में, हम अलग से टीएस टोटल साइट की कार्यक्षमता पर अधिक विस्तार से विचार करेंगे!

तो मिले रहेंTelegram, फेसबुक, VK, टीएस समाधान ब्लॉग), Yandeks.Dzen.

स्रोत: www.habr.com