Ebben a posztban az ELK és SIEM információs panelek vizualizációjának beállítását fogjuk részletezni az ELK-ben
A cikk a következő szakaszokra van osztva:
1- ELK SIEM áttekintés
2- Alapértelmezett irányítópultok
3- Az első irányítópultjaid létrehozása
Az összes bejegyzés tartalomjegyzéke.
- Integráció a WAZUH-val
- Értesítések (Alerting)
- Jelentés
- Esetkezelés
1- ELK SIEM áttekintés
Az ELK SIEM-et nemrégiben adták hozzá az elk stackhez a 2019. június 25-i 7.2-es verzióban.
Ez egy SIEM megoldás, amelyet az elastic.co készített, hogy a biztonsági elemzők élete sokkal könnyebb és kevésbé kimerítő legyen.
A dolgozatunkban úgy döntöttünk, hogy saját SIEM-et készítünk és saját irányítópultot választunk.
De fontosnak tartjuk előbb megismerni az ELK SIEM-et.
1.1- A Host események szakasza
Először a host szakaszt fogjuk megvizsgálni. A host szakasz lehetővé teszi számunkra, hogy megnézzük azokat az eseményeket, amelyek a végpontján generálódnak.
Ha rákattint a hostok megtekintésére, akkor valami ilyesmit kell kapnia. Ahogy látja, három host csatlakozik ehhez a számítógéphez:
1 Windows 10.
2 Ubuntu 18.04 szerver.
Több vizualizáció van megjelenítve, mindegyik különböző típusú eseményeket mutat be.
Például a középső azt mutatja, hogy mikor történt bejelentkezés mindhárom gépen.
Ez a mennyiség, amit itt lát, öt nap alatt gyűlt össze. Ez magyarázza a sok sikertelen és sikeres bejelentkezést. Valószínűleg kevesebb naplója lesz, ezért ne aggódjon.
1.2- A hálózati események szakasza
A hálózati szakaszra lépve valami ilyesmit kell kapnia. Ez a szakasz lehetővé teszi, hogy alaposan nyomon kövesse, hogy mi történik a hálózatában, a HTTP / TLS forgalomtól kezdve a DNS forgalomig és külső eseményriasztásokig.
2- Alapértelmezett irányítópultok
A felhasználók életének megkönnyítése érdekében az elastic.co fejlesztői létrehozták az alapértelmezett irányítópultot, amelyet hivatalosan támogattak az ELK. A biteink nem voltak kivételek e szabály alól. Itt a Packetbeat alapértelmezett irányítópultját fogom példaként venni.
Ha helyesen hajtotta végre a cikk második lépését. Egy olyan irányítópultnak kell lennie, ami vár önre. Tehát, kezdjük.
A Kibana bal oldali fülön válassza ki a műszerfal ikonját. Ez a harmadik, ha fentről számítjuk.
Írja be a részesedés nevét a kereső fülön
Ha a bitben több modul is van. Mindenkinek létrejön egy vezérlőpult, de csak az, akinek aktív a modulja, fog megjeleníteni nem üres adatokat.
Válassza ki azt, amelyik a modulja nevét tartalmazza.
Ez a fő sablon PacketBeat.
Ez a hálózati forgalom vezérlőpultja. Informálni fog minket a bejövő és kimenő csomagokról, az IP-címek forrásairól és úticéljairól, valamint sok hasznos információt ad az IT biztonsági elemzőnek.
3 — Az első irányítópultjaid létrehozása
3–1- Alapfogalmak
A- Irányítópult típusok:
Ezek különböző típusú vizualizációk, amelyeket felhasználhatsz az adataid ábrázolására.
például nálunk van:
- Hisztogram
- Térkép
- Markdown widget
- Kördiagram
B- KQL (Kibana lekérdező nyelv):
Ez a nyelv, amelyet a Kibana használ az adatok kényelmes keresésére. Lehetővé teszi, hogy ellenőrizze, léteznek-e bizonyos adatok, és számos más hasznos funkciót nyújt. További információkért érdemes megnézni ezt a hivatkozást
Ez egy példa keresésre egy Windows 10 pro rendszeren futó hoszt esetében.
C- Szűrők:
Ez a funkció lehetővé teszi, hogy meghatározott paramétereket, például a hoszt nevét, a kódot vagy az esemény azonosítót szűrjön. A szűrők jelentősen javítják a nyomozási fázist az eltöltött idő és energia szempontjából, amelyet az bizonyítékok keresésére fordítanak.
D- Elsődleges vizualizáció:
Készítsünk vizualizációt a MITER ATT & CK számára.
Először lépjünk a következő menüpontra: Dashboard → Új műszerfal létrehozása → új létrehozása → Kördiagram műszerfal
Állítsa be az indexmintához való típust, majd érintse meg a bitjének nevét.
Nyomja meg az Entert. Eddigra már látnia kellene egy zöld fánkot.
A Bal oldali Buckets fülön ezt találja:
— A szeletek felosztása különböző részekre osztja a fánkot az adatok szórása szerint.
— A grafikon felosztása újabb fánkot hoz létre, mellette.
Mi a felosztott szeleteket fogjuk használni.
Adatainkat a választott kifejezésünk szerint vizualizáljuk. Ebben az esetben a kifejezés a MITER ATT & CK-re fog vonatkozni.
A Winlogbeat-ben az a mező, amely ezt az információt biztosítja nekünk, a következő:
winlog.event_data.RuleNameBeállítjuk a számláló metrikát, hogy az eseményeket a megjelenésük száma szerint rendezze.
Kapcsolja be a „Más értékek csoportosítása külön szegmensben” funkciót.
Ez hasznos lesz, ha a kiválasztott kifejezéseknek sok különböző jelentése van, amelyek a három ritmusból származnak. Ez segít vizualizálni a többi adatot egy egységes egészként. Ez betekintést nyújt a többi esemény arányába.
Most, hogy befejeztük az adatlap beállítását, lépjünk át a beállítások lapra.
A következőket kell elvégeznie:
** Törölje a donut formát, hogy a vizualizációban teljes kört láthasson.
** Válassza ki az Önnak tetsző legenda pozíciót. Ebben az esetben jobb oldalra fogjuk őket megjeleníteni.
** Állítsa be a megjelenítési értékeket, hogy azok az olvashatóság érdekében a részük mellett jelenjenek meg, a többit pedig hagyja alapértelmezettnek.
A levágás határozza meg, hogy mennyit szeretne megjeleníteni az esemény nevéből.
Állítsa be az időt, amikor a vizualizációnak kezdődnie kell, majd kattintson a kék négyzetre.
Olyasmit kell kapnia, mint ez:
Szűrőt is hozzáadhat a vizualizációjához, hogy kiszűrje azt a bizonyos hostot, amelyet ellenőrizni szeretne, vagy bármely beállítást, amely a célja szempontjából hasznosnak tűnik. A vizualizáció csak azokat az adatokat fogja megjeleníteni, amelyek megfelelnek a szűrőbe helyezett szabálynak. Ebben az esetben a MITER ATT & CK adatait fogjuk megjeleníteni, amelyek csak a win10 nevű hostból érkeztek.
3–2- Az első műszerfal létrehozása:
A műszerfal számos vizualizáció készlete. Az Ön műszerfalainak világosnak, érthetőnek kell lenniük, és hasznos, jól meghatározott adatokat kell tartalmazniuk. Íme egy példa az általunk nulláról készített műszerfalakról a winlogbeat számára.
Köszönöm az időt. Remélem, ez a cikk hasznos volt Önnek. Ha további részleteket szeretne a témában, javasoljuk, hogy látogasson el a .
Elasticsearch Telegram csoportjába:
Forrás: habr.com
