Peb lub chaw tiv thaiv cyber yog lub luag haujlwm rau kev ruaj ntseg ntawm tus neeg siv khoom lub vev xaib thiab tawm tsam cov neeg siv khoom. Txhawm rau tiv thaiv kev tawm tsam, peb siv FortiWeb Web Application Firewalls (WAFs). Tab sis txawm tias qhov txias tshaj WAF tsis yog panacea thiab tsis tiv thaiv "tawm ntawm lub thawv" los ntawm kev tawm tsam.
Yog li ntawd, ntxiv rau WAF, peb siv . Nws pab sau tag nrho cov xwm txheej hauv ib qho chaw, khaws cov txheeb cais, pom nws thiab tso cai rau peb pom kev tawm tsam hauv lub sijhawm.
Hnub no kuv yuav qhia rau koj paub meej tias peb hla tsob ntoo Christmas nrog WAF thiab dab tsi tuaj ntawm nws.
Zaj dab neeg ntawm ib qho kev tawm tsam: yuav ua li cas txhua yam ua haujlwm ua ntej hloov mus rau ELK
Hauv peb huab, tus neeg siv khoom tau xa daim ntawv thov tom qab peb WAF. Los ntawm 10 txog 000 cov neeg siv txuas nrog lub xaib hauv ib hnub, tus naj npawb ntawm kev sib txuas mus txog 100 lab ib hnub. Ntawm no, 000-20 cov neeg siv tau intruders thiab sim hack lub xaib.
Daim ntawv ib txwm brute quab yuam los ntawm ib tus IP chaw nyob tau thaiv los ntawm FortiWeb yooj yim heev. Tus naj npawb ntawm hits rau lub xaib ib feeb yog siab dua li cov neeg siv raug cai. Peb tsuas yog teeb tsa qhov pib ua haujlwm los ntawm ib qhov chaw nyob thiab tshem tawm qhov kev tawm tsam.
Nws yog qhov nyuaj dua los cuam tshuam nrog "kev tawm tsam qeeb", thaum cov neeg tawm tsam ua qeeb thiab zais lawv tus kheej li cov neeg siv khoom zoo tib yam. Lawv siv ntau qhov tshwj xeeb IP chaw nyob. Xws li kev ua haujlwm tsis zoo li lub zog loj heev rau WAF, nws nyuaj rau taug qab nws tau. Thiab tseem muaj kev pheej hmoo ntawm kev thaiv cov neeg siv ib txwm muaj. Peb tau saib rau lwm cov cim ntawm kev tawm tsam thiab teeb tsa txoj cai rau kev thaiv cov chaw nyob IP raws li qhov kos npe no. Piv txwv li, ntau qhov kev sib tham tsis raug cai muaj ntau qhov chaw hauv http thov headers. Koj feem ntau yuav tsum tau saib rau cov teb no manually hauv FortiWeb cov ntaub ntawv kev tshwm sim.
Nws tau ntev thiab tsis xis nyob. Nyob rau hauv tus qauv kev ua haujlwm ntawm FortiWeb, cov xwm txheej raug kaw hauv cov ntawv hauv 3 lub cav sib txawv: kuaj pom kev tawm tsam, cov ntaub ntawv hais txog kev thov, thiab cov lus hais txog kev ua haujlwm WAF. Kaum ob lossis ntau pua qhov kev tawm tsam tuaj yeem tuaj hauv ib feeb.
Tsis yog ntau, tab sis koj yuav tsum tau nce los ntawm ntau lub cav thiab rov ua dua ntau cov kab:
Hauv kev tawm tsam, peb pom cov neeg siv chaw nyob thiab qhov xwm txheej ntawm cov haujlwm.
Nws tsis txaus los tsuas yog luam theej duab lub rooj log. Txhawm rau nrhiav qhov nthuav tshaj plaws thiab muaj txiaj ntsig zoo ntawm qhov kev tawm tsam, koj yuav tsum saib hauv ib qho xwm txheej tshwj xeeb:
Highlighted teb pab mus ntes "slow attack". Source: screenshot ntawm .
Zoo, qhov teeb meem tseem ceeb yog tias tsuas yog FortiWeb tus kws tshaj lij tuaj yeem paub nws. Yog tias thaum lub sijhawm ua haujlwm peb tseem tuaj yeem taug qab cov haujlwm tsis txaus ntseeg hauv lub sijhawm tiag tiag, tom qab ntawd kev tshawb nrhiav qhov xwm txheej hmo ntuj tuaj yeem ncua sijhawm. Thaum FortiWeb cov cai tsis ua haujlwm rau qee yam, cov kws ua haujlwm ua haujlwm hmo ntuj ua haujlwm tsis tuaj yeem ntsuas qhov xwm txheej yam tsis muaj kev nkag mus rau WAF thiab tsa tus kws tshaj lij FortiWeb. Peb tau saib ntawm lub cav rau ob peb teev thiab pom lub sijhawm ntawm kev tawm tsam.
Nrog xws li cov ntaub ntawv ntim, nws yog ib qho nyuaj rau kev nkag siab txog daim duab loj ntawm ib nrais muag thiab ua haujlwm ua haujlwm. Tom qab ntawd peb txiav txim siab los sau cov ntaub ntawv hauv ib qho chaw txhawm rau txheeb xyuas txhua yam hauv daim ntawv pom, nrhiav qhov pib ntawm kev tawm tsam, txheeb xyuas nws cov kev taw qhia thiab txoj hauv kev ntawm kev thaiv.
Koj xaiv dab tsi los ntawm
Ua ntej tshaj plaws, peb tau saib cov kev daws teeb meem uas twb tau siv lawm, yog li tsis txhob sib faib cov khoom tsis tsim nyog.
Ib qho kev xaiv thawj zaug yog Nagiosuas peb siv los saib xyuas , , ceeb toom xwm txheej ceev. Cov neeg saib xyuas kev ruaj ntseg kuj siv nws ceeb toom rau cov neeg tuaj koom thaum muaj kev tsis txaus ntseeg ntawm kev khiav tsheb, tab sis nws tsis paub yuav ua li cas sau cov cav tawg thiab yog li ntawd ploj mus.
Muaj kev xaiv los sau txhua yam nrog MySQL thiab PostgreSQL los yog lwm cov ntaub ntawv sib txheeb. Tab sis txhawm rau rub tawm cov ntaub ntawv, nws yog qhov yuav tsum tau ua kom pom koj daim ntawv thov.
Raws li ib tug log collector nyob rau hauv peb lub tuam txhab lawv kuj siv FortiAnalyzer los ntawm Fortinet. Tab sis qhov no, nws kuj tsis haum. Ua ntej, nws yog sharpened dua ua hauj lwm nrog ib tug firewall FortiGate. Qhov thib ob, ntau qhov chaw tau ploj lawm, thiab kev cuam tshuam nrog nws xav tau kev paub zoo ntawm SQL queries. Thiab qhov thib peb, nws siv yuav ua rau kom tus nqi ntawm kev pabcuam rau cov neeg siv khoom.
Qhov no yog li cas peb tuaj qhib qhov chaw nyob rau hauv lub ntsej muag ELK.
Vim li cas thiaj xaiv ELK
ELK yog ib txheej ntawm cov kev pab cuam qhib:
- Elasticsearch - ib tug database ntawm lub sij hawm series, uas nyuam qhuav tsim los ua hauj lwm nrog loj ntim ntawm cov ntawv nyeem;
- Logstash - cov txheej txheem sau cov ntaub ntawv uas tuaj yeem hloov cov cav mus rau hom ntawv xav tau;
- Kibana - ib tug zoo visualizer, nrog rau ib tug ncaj tus phooj ywg interface rau tswj Elasticsearch. Koj tuaj yeem siv nws los tsim cov sijhawm uas tuaj yeem saib xyuas los ntawm cov kws ua haujlwm ua haujlwm hmo ntuj.
Qhov pib nkag rau ELK yog tsawg. Tag nrho cov yam ntxwv yooj yim yog dawb. Dab tsi ntxiv yog xav tau rau kev zoo siab.
Yuav ua li cas koj muab nws tag nrho ua ke nyob rau hauv ib tug system?
Tsim indexes thiab tshuav tsuas yog cov ntaub ntawv tsim nyog. Peb thauj tag nrho peb FortiWEB cav rau hauv ELK - cov zis yog indexes. Cov no yog cov ntaub ntawv nrog tag nrho cov ntawv sau tseg rau ib lub sijhawm, piv txwv li, ib hnub. Yog tias peb pom lawv tam sim ntawd, peb tsuas pom qhov kev tawm tsam ntawm kev tawm tsam. Txhawm rau kom paub meej, koj yuav tsum "dhuav dhau" rau hauv txhua qhov kev tawm tsam thiab saib cov chaw tshwj xeeb.
Peb pom tau hais tias ua ntej peb yuav tsum teeb tsa qhov kev txheeb xyuas cov ntaub ntawv tsis muaj teeb meem. Peb tau siv sijhawm ntev li cov hlua, xws li "Xaiv" thiab "URL", thiab muab cais tawm kom tau txais cov ntaub ntawv ntxiv rau kev txiav txim siab.
Piv txwv li, siv parsing, peb tshem tawm tus neeg siv qhov chaw sib cais. Qhov no tau pab tam sim ntawd qhia txog kev tawm tsam los ntawm txawv teb chaws ntawm cov chaw rau cov neeg siv Lavxias. Los ntawm kev thaiv txhua qhov kev sib txuas los ntawm lwm lub tebchaws, peb txo tus naj npawb ntawm kev tawm tsam los ntawm 2 zaug thiab tuaj yeem cuam tshuam nrog kev tawm tsam hauv Russia tau yooj yim.
Tom qab parsing, lawv pib nrhiav cov ntaub ntawv dab tsi los khaws thiab pom. Tawm txhua yam hauv lub cav yog qhov tsis tsim nyog: qhov loj ntawm ib qhov ntsuas tau loj - 7 GB. ELK siv sijhawm ntev los ua cov ntaub ntawv. Txawm li cas los xij, tsis yog txhua cov ntaub ntawv tseem ceeb. Ib yam dab tsi tau duplicated thiab coj qhov chaw ntxiv - nws yog qhov tsim nyog los ua kom zoo dua.
Thaum xub thawj, peb tsuas saib los ntawm qhov ntsuas thiab tshem tawm cov xwm txheej tsis tsim nyog. Qhov no tau dhau los ua qhov tsis yooj yim dua thiab ntev dua li kev ua haujlwm nrog cov cav ntawm FortiWeb nws tus kheej. Qhov tsuas yog ntxiv los ntawm "Christmas ntoo" nyob rau theem no yog tias peb tuaj yeem pom lub sijhawm loj ntawm ib qho screen.
Peb tsis poob siab, peb txuas ntxiv noj cactus thiab kawm ELK thiab ntseeg tias peb tuaj yeem muab cov ntaub ntawv tsim nyog. Tom qab ntxuav cov indexes, peb pib pom dab tsi yog. Yog li peb tuaj rau cov dashboards loj. Peb poked widgets - visually thiab elegantly, ib tug tiag tiag ΠLKa!
Tau ntes lub sijhawm ntawm kev tawm tsam. Tam sim no nws yog qhov tsim nyog kom nkag siab tias qhov pib ntawm kev tawm tsam zoo li cas ntawm daim duab. Txhawm rau txheeb xyuas nws, peb tau saib cov neeg rau zaub mov cov lus teb rau tus neeg siv (cov lej xa rov qab). Peb txaus siab rau cov lus teb rau cov neeg rau zaub mov nrog cov lej zoo li no (rc):
Code (rc)
Lub npe
piav qhia
0
Nruas
Qhov kev thov rau lub server raug thaiv
200
Ok
Thov ua tiav
400
Kev thov tsis zoo
Phem Thov
403
txwv tsis pub
Kev tso cai tsis kam lees
500
Internal neeg rau zaub mov yuam kev
Kev pabcuam tsis muaj
Yog tias ib tug neeg pib tawm tsam lub xaib, qhov piv ntawm cov lej hloov pauv:
- Yog tias muaj ntau qhov kev thov yuam kev nrog code 400, thiab tib tus lej ntawm kev thov ib txwm nrog code 200, ces ib tus neeg tau sim hack lub xaib.
- Yog tias, tib lub sijhawm, kev thov nrog code 0 kuj tau loj hlob, ces FortiWeb cov nom tswv kuj "pom" qhov kev tawm tsam thiab siv cov blocks rau nws.
- Yog hais tias tus naj npawb ntawm cov lus nrog code 500 nce, ces lub xaib tsis muaj rau cov chaw nyob IP no - kuj yog ib hom kev thaiv.
Txog rau lub hlis thib peb, peb tau teeb tsa lub dashboard los taug qab cov haujlwm no.
Txhawm rau kom tsis txhob saib xyuas txhua yam ntawm tes, peb teeb tsa kev koom ua ke nrog Nagios, uas tau xaiv ELK ntawm qee lub sijhawm. Yog tias nws tau kaw qhov kev ua tiav ntawm qhov ntsuas qhov tseem ceeb los ntawm cov lej, nws tau xa ib daim ntawv ceeb toom rau cov tub ceev xwm txog kev ua haujlwm tsis txaus ntseeg.
Ua ke 4 kab ntawv hauv kev saib xyuas. Tam sim no nws yog ib qho tseem ceeb kom pom ntawm daim duab lub sijhawm thaum qhov kev tawm tsam tsis raug thaiv thiab kev cuam tshuam ntawm tus kws ua haujlwm yog xav tau. Ntawm 4 daim duab sib txawv, peb lub qhov muag tau plooj. Yog li ntawd, peb muab cov kab kos thiab pib soj ntsuam txhua yam ntawm ib qho screen.
Ntawm kev saib xyuas, peb tau saib yuav ua li cas cov duab ntawm cov xim sib txawv hloov. Qhov tawg ntawm liab qhia tias qhov kev tawm tsam tau pib, thaum lub txiv kab ntxwv thiab xiav daim duab qhia FortiWeb cov tshuaj tiv thaiv:
Txhua yam zoo ntawm no: muaj kev nce siab ntawm "liab" kev ua si, tab sis FortiWeb coped thiab lub sijhawm tawm tsam tuaj rau tsis muaj dab tsi.
Peb kuj tau kos rau peb tus kheej ib qho piv txwv ntawm daim duab uas yuav tsum muaj kev cuam tshuam:
Ntawm no peb tuaj yeem pom tias FortiWeb tau nce kev ua haujlwm, tab sis cov duab liab nres tsis tau txo qis. Koj yuav tsum tau hloov qhov chaw WAF.
Kev tshawb nrhiav qhov xwm txheej hmo ntuj kuj tau yooj yim dua. Daim duab tam sim ntawd qhia txog lub sijhawm thaum nws yog lub sijhawm los mus rau kev tiv thaiv ntawm qhov chaw.
Qhov ntawd yog qhov qee zaum tshwm sim thaum hmo ntuj. Liab daim duab - kev tawm tsam tau pib. Xiav - FortiWeb kev ua si. Qhov kev tawm tsam tsis tau thaiv tag nrho, peb yuav tsum tau cuam tshuam.
Peb mus qhov twg
Tam sim no peb tab tom cob qhia cov thawj coj ua haujlwm ua haujlwm nrog ELK. Cov neeg tuaj koom kawm los ntsuas qhov xwm txheej ntawm lub dashboard thiab txiav txim siab: nws yog lub sijhawm los nce mus rau FortiWeb tus kws tshaj lij, lossis cov cai ntawm WAF yuav txaus los txiav txim siab tawm tsam. Yog li peb txo cov load ntawm cov ntaub ntawv kev ruaj ntseg engineers thaum hmo ntuj thiab faib lub luag haujlwm hauv kev txhawb nqa ntawm qib system. Kev nkag mus rau FortiWeb tsuas yog nyob nrog lub chaw tiv thaiv cyber, thiab tsuas yog lawv hloov pauv rau WAF chaw thaum xav tau sai.
Peb kuj tseem ua haujlwm tshaj tawm rau cov neeg siv khoom. Peb npaj tias cov ntaub ntawv ntawm kev ua haujlwm ntawm WAF yuav muaj nyob rau hauv tus neeg siv khoom tus kheej tus account. ELK yuav ua kom pom tseeb dua yam tsis tas yuav xa mus rau WAF nws tus kheej.
Yog tias tus neeg siv khoom xav saib xyuas lawv tus kheej kev tiv thaiv hauv lub sijhawm tiag tiag, ELK kuj tseem tuaj yeem ua ke. Peb tsis tuaj yeem muab kev nkag mus rau WAF, vim tias cov neeg siv khoom cuam tshuam hauv kev ua haujlwm yuav cuam tshuam rau lwm tus. Tab sis koj tuaj yeem nqa ib qho ELK cais thiab muab rau "ua si ncig".
Cov no yog cov xwm txheej rau kev siv tsob ntoo Christmas uas peb tau sau tsis ntev los no. Qhia koj cov kev xav txog qhov no thiab tsis txhob hnov ββββqab kom tsis txhob muaj cov ntaub ntawv xau.
Tau qhov twg los: www.hab.com