U ovom postu bit će opisano postavljanje vizualizacije informacijskih panela ELK i SIEM u ELK
Članak je podijeljen u sljedeće odjeljke:
1- Pregled ELK SIEM
2- Zadani nadzorni paneli
3- Izrada vaših prvih nadzornih panela
Sadržaj svih postova.
- Integracija s WAZUH
- Obavijesti (Alerting)
- Izvještavanje
- Upravljanje slučajevima
1-Pregled ELK SIEM
ELK SIEM je nedavno dodat u ELK stack u verziji 7.2 od 25. lipnja 2019. godine.
Ovo je SIEM rješenje koje je izradila elastic.co kako bi život analitičara sigurnosti bio puno jednostavniji i manje zamoran.
U našoj verziji rada odlučili smo izraditi vlastiti SIEM i odabrati vlastitu upravljačku ploču.
No, smatramo važnim prvo istražiti ELK SIEM.
1.1- Odjeljak događaja s hosta
Prvo ćemo pregledati odjeljak hosta. Odjeljak hosta omogućit će vam da vidite događaje koji se generiraju na samoj krajnjoj točki.
Nakon što pritisnete pregled hostova, trebali biste dobiti nešto poput ovoga. Kao što vidite, na ovu računalnu jedinicu spojena su tri hosta:
1 Windows 10.
2 Server Ubuntu 18.04.
Imamo nekoliko prikazanih vizualizacija, svaka od njih prikazuje različite vrste događaja.
Na primjer, ona koja je u sredini prikazuje podatke o prijavama na sve tri mašine.
Ova količina podataka koju ovdje vidite prikupljena je tijekom pet dana. To objašnjava veliki broj neuspješnih i uspješnih prijava u sustav. Vjerojatno ćete imati mali broj zapisa, stoga se ne brinite
1.2- Odjeljak mrežnih događaja
Prelazeći na odjeljak mreže, trebali biste dobiti nešto poput ovoga. Ovaj odjeljak omogućit će vam da pažljivo pratite sve što se događa u vašoj mreži, od HTTP/TLS prometa do DNS prometa i vanjskih upozorenja o događajima.
2- Zadani nadzorni paneli
Kako bi olakšali život korisnicima, programeri elastic.co stvorili su zadani nadzorni panel, službeno podržan od ELK-a. Naši bitovi nisu bili izuzetak iz ovog pravila. Ovdje ću uzeti kao primjer zadani nadzorni panel Packetbeat.
Ako ste ispravno izvršili drugi korak članka. Trebala bi vam biti postavljena nadzorna ploča koja čeka na vas. Pa, krenimo.
Na lijevoj kartici Kibana odaberite simbol nadzorne ploče. To je treće, ako se broji od vrha.
Unesite naziv udjela u pretraživaču
Ako u bitu ima više modula. Bit će stvoren upravljačka ploča za svaki od njih. No, samo onaj s aktivnim modulom će prikazati neprazne podatke.
Odaberite onaj koji ima naziv vašeg modula.
To je osnovna predložak PacketBeat.
Ovo je upravljačka ploča mrežnih tokova. Obavijestit će nas o dolaznom i odlaznom paketu, izvorima i odredištima IP adresa, te dati mnogo korisnih informacija analitičaru sigurnosnog centra.
3 — Kreiranje vaših prvih nadzornih ploča
3–1– Osnovni pojmovi
A- Tipovi nadzornih ploča:
To su različite vrste vizualizacija koje možete koristiti za vizualizaciju vaših podataka.
Na primjer, imamo:
- Histogram
- Karta
- Markdown widget
- Kružni dijagram
B- KQL (jezik upita Kibana):
To je jezik koji se koristi u Kibani za jednostavno pretraživanje podataka. Omogućava vam da provjerite postoje li određeni podaci i mnoge druge korisne funkcije. Da biste saznali više, možete proučiti informacije na ovoj poveznici
Ovo je primjer upita za pretraživanje hosta s operativnim sustavom Windows 10 pro.
C- Filtri:
Ova funkcija omogućit će vam filtriranje određenih parametara, kao što su ime hosta, kod ili identifikator događaja itd. Filtri će značajno poboljšati fazu istrage u pogledu vremena i truda uloženih u pretraživanje dokaza.
D- Prva vizualizacija:
Kreirat ćemo vizualizaciju za MITER ATT & CK.
Prvo trebamo otići u Dashboard → Kreiraj novu nadzornu ploču → kreiraj novo → Kružna nadzorna ploča
Postavite tip za indeksni obrazac, zatim dodirnite naziv svog bita.
Pritisnite Enter. U ovom trenutku trebali biste vidjeti zeleni kolačić.
Na kartici Buckets lijevo ćete pronaći:
— Split slices podijelit će kolačić na različite dijelove ovisno o raspršenju podataka.
— Split Chart stvorit će još jedan kolačić pored ovoga.
Koristit ćemo podijeljene kriške.
Vizualizirat ćemo naše podatke u odnosu na termin koji smo odabrali. U ovom slučaju pojam će se odnositi na MITER ATT & CK.
U Winlogbeat polje koje će nam pružiti ove informacije zove se:
winlog.event_data.RuleNamePostavit ćemo metrik count kako bismo rasporedili događaje prema broju njihovih pojavnosti.
Uključite funkciju "Grupiraj druge vrijednosti u odvojenom segmentu".
Ovo će biti korisno ako termini koje ste odabrali imaju mnogo različitih značenja koja proizlaze iz ritma. To pomaže vizualizirati ostale podatke kao cjelinu. To će vam dati predstavu o postotku ostalih događaja.
Sada kada smo završili s postavkama kartice podataka, pređimo na karticu opcija.
Treba da uradite sledeće:
** Uklonite donut oblik kako bi se na vizualizaciji pojavio pun krug.
** Odaberite poziciju legende koja vam se sviđa. U ovom slučaju, prikažemo ih s desne strane.
** Postavite vrijednosti prikazivanja da se prikazuju pored svog segmenta radi lakšeg čitanja, a ostale ostavite prema zadanim postavkama.
Skraćivanje određuje koliko želite prikazati od imena događaja.
Postavite vrijeme od kojega bi trebala početi vizualizacija, a zatim kliknite plavi kvadrat.
Trebalo bi da dobijete nešto slično:
Možete također dodati filtriranje svojoj vizualizaciji kako biste filtrirali određeni host koji želite provjeriti, ili bilo koje parametre za koje mislite da su korisni za vašu svrhu. Vizualizacija će prikazivati samo podatke koji odgovaraju pravilu postavljenom u filtar. U ovom slučaju, prikazat ćemo podatke MITER ATT & CK, dolazeći samo s hosta pod nazivom win10.
3–2- Izrada vaše prve kontrolne ploče:
Kontrolna ploča je set više vizualizacija. Vaše kontrolne ploče trebaju biti jasne, razumljive i sadržavati korisne i određene podatke. Evo primjera kontrolnih ploča koje smo stvorili od nule za winlogbeat.
Hvala vam na vremenu. Nadam se da vam je ovaj članak bio od pomoći. Ako želite više informacija na ovu temu, preporučujemo vam da posjetite .
Telegram chat za Elasticsearch:
Izvor: habr.com
