Buongiorno, negli articoli precedenti abbiamo esplorato il funzionamento dell'ELK Stack. Ora discuteremo delle opportunità che un professionista della sicurezza informatica può realizzare utilizzando questi sistemi. Quali log è possibile e necessario registrare in Elasticsearch? Analizzeremo quali statistiche possiamo ottenere configurando i dashboard e se ci sia un reale vantaggio. Come possiamo implementare l'automazione dei processi di sicurezza informatica utilizzando l'ELK Stack? Creeremo l'architettura di funzionamento del sistema. In totale, l'implementazione di tutte le funzionalità è un compito molto grande e complesso, quindi abbiamo dato un nome specifico a questa soluzione: TS Total Sight.
Attualmente stanno guadagnando molta popolarità le soluzioni che consolidano e analizzano gli incidenti di sicurezza informatica in un unico luogo logico; di conseguenza, il professionista ottiene statistiche e una lista di azioni per migliorare lo stato della sicurezza informatica nell'organizzazione. Questa è l'obiettivo che ci siamo posti utilizzando l'ELK Stack, da cui abbiamo suddiviso le funzionalità principali in 4 sezioni:
- Statistiche e visualizzazione;
- Rilevamento degli incidenti di sicurezza informatica;
- Prioritizzazione degli incidenti;
- Automazione dei processi di sicurezza informatica.
Di seguito analizzeremo più dettagliatamente ciascun aspetto.
Rilevamento degli incidenti di sicurezza informatica
La principale esigenza nell'utilizzo di elasticsearch nel nostro caso è la raccolta esclusiva di incidenti di sicurezza informatica. Gli incidenti di sicurezza possono essere raccolti da qualsiasi strumento di protezione, a patto che supporti alcune modalità di invio dei log, le più comuni sono syslog o la conservazione dei file tramite scp.
È possibile fornire alcuni esempi standard di strumenti di protezione da cui configurare l'invio dei log:
- Qualsiasi strumento NGFW (Check Point, Fortinet);
- Qualsiasi scanner di vulnerabilità (PT Scanner, OpenVas);
- Web Application Firewall (PT AF);
- Analizzatori netflow (Flowmon, Cisco StealthWatch);
- Server AD.
Dopo aver configurato l'invio dei log e i file di configurazione in Logstash, è possibile correlare e confrontare gli incidenti provenienti da vari strumenti di sicurezza. A questo scopo, è utile utilizzare indici in cui conservare tutti gli incidenti relativi a un dispositivo specifico. In altre parole, un indice rappresenta tutti gli incidenti legati a un singolo dispositivo. Questa suddivisione può essere realizzata in due modi.
La prima opzione è necessario configurare Logstash. Per questo, è necessario duplicare i log in base a determinati campi in una singola unità con un tipo diverso. E poi utilizzare questo tipo in un secondo momento. Nell'esempio, i log vengono clonati in base al blade IPS del firewall Check Point.
filter {
if [product] == "SmartDefense" {
clone {
clones => ["CloneSmartDefense"]
add_field => {"system" => "checkpoint"}
}
}
}
Per salvare eventi separati in base ai campi dei log, ad esempio, come l'IP di destinazione della firma dell'attacco, si può utilizzare una struttura simile:
output {
if [type] == "CloneSmartDefense"{
{
elasticsearch {
hosts => [",:9200"]
index => "smartdefense-%{dst}"
user => "admin"
password => "password"
}
}
}
In questo modo si può realizzare il salvataggio in indice di tutti gli incidenti, ad esempio, per indirizzo IP o nome di dominio della macchina. In questo caso, salviamo nell'indice «smartdefense-%{dst}», per l'indirizzo IP della firma.
Tuttavia, i vari prodotti avranno campi di log diversi, il che porterà a confusione e a un uso eccessivo della memoria. Qui sarà necessario prestare attenzione alle impostazioni di configurazione di Logstash, sostituendo i campi con quelli prestabiliti, che saranno uguali per tutti i tipi di incidenti, il che è anche un compito complesso.
La seconda opzione di implementazione è la scrittura di uno script o di un processo che accederà in tempo reale al database di Elasticsearch, estrarrà gli incidenti necessari e li salverà in un nuovo indice. Questo è un compito impegnativo, ma consente di lavorare con i log come si desidera e di correlare direttamente con incidenti da altri strumenti di sicurezza. Questa opzione permette di configurare il lavoro con i log in modo massimo vantaggioso per il tuo caso con la massima flessibilità, ma ci si imbatte nel problema di trovare uno specialista che possa realizzarlo.
E naturalmente, la domanda principale è, cosa può essere correlato e rilevato?
Qui possono esserci diverse opzioni, a seconda di quali strumenti di sicurezza vengono utilizzati nella tua infrastruttura, ecco un paio di esempi:
- L'opzione più evidente e, a mio avviso, la più interessante per chi ha una soluzione NGFW e uno scanner di vulnerabilità. Questo è il confronto dei log IPS e dei risultati della scansione delle vulnerabilità. Se un attacco è stato rilevato (non bloccato) dal sistema IPS e questa vulnerabilità non è stata chiusa sulla macchina finale secondo i risultati della scansione, è necessario avvisare al più presto, poiché c'è una grande probabilità che la vulnerabilità sia stata sfruttata.
- Molti tentativi di accesso da una sola macchina in posti diversi possono simboleggiare un'attività malevola.
- Download da parte dell'utente di file virus a causa della visita a un numero elevato di siti potenzialmente pericolosi.
Statistiche e visualizzazione
La cosa più ovvia e comprensibile per cui è necessario l'ELK Stack è la conservazione e la visualizzazione dei log. è stato mostrato come è possibile importare i log da diversi dispositivi utilizzando Logstash. Dopo che i log sono stati inviati a Elasticsearch, è possibile configurare i dashboard, di cui si è parlato anche , con le informazioni e le statistiche necessarie per voi tramite la visualizzazione.
Esempi:
- Dashboard sugli eventi di Threat Prevention con gli eventi più critici. Qui è possibile visualizzare quali signature IPS sono state rilevate e da dove provengono geograficamente.
- Dashboard sull'utilizzo delle applicazioni più critiche, da cui potrebbero fluire dati riservati.
- Risultati della scansione da qualsiasi scanner di sicurezza.
- Log di Active Directory relativi agli utenti.
- Dashboard per la connessione VPN.
In questo caso, configurando i dashboard per l'aggiornamento ogni pochi secondi, si può ottenere un sistema piuttosto efficace per il monitoraggio degli eventi in tempo reale, che può poi essere utilizzato per rispondere rapidamente agli incidenti di sicurezza informatica, se si visualizzano i dashboard su uno schermo separato.
Prioritizzazione degli incidenti
In una grande infrastruttura, il numero di incidenti può superare le aspettative e gli specialisti potrebbero non riuscire a gestire tutti gli incidenti in tempo. In questo caso, è fondamentale selezionare prioritariamente solo gli incidenti che rappresentano una maggiore minaccia. Pertanto, il sistema deve dare priorità agli incidenti in base al loro pericolo per la vostra infrastruttura. È consigliabile configurare notifiche via email o Telegram per questi eventi. La priorizzazione può essere realizzata utilizzando le funzionalità native di Kibana, configurando la visualizzazione. Tuttavia, la configurazione delle notifiche è più complessa: per impostazione predefinita, questa funzionalità non è inclusa nella versione base di Elasticsearch, ma solo in quella a pagamento. Pertanto, è necessario acquistare la versione a pagamento o sviluppare un processo che notifichi in tempo reale gli specialisti via email o Telegram.
Automazione dei processi di sicurezza informatica
Una delle parti più interessanti è l'automazione delle azioni sugli incidenti di sicurezza informatica. In precedenza, abbiamo implementato questa funzionalità per Splunk; per maggiori dettagli, puoi leggere qui. . L'idea principale è che la politica IPS non venga mai controllata o ottimizzata, anche se in alcuni casi è una parte fondamentale dei processi di sicurezza informatica. Ad esempio, un anno dopo l'implementazione del NGFW e in assenza di azioni per ottimizzare l'IPS, avrete accumulato un gran numero di firme con azione Detect, che non verranno bloccate, riducendo drasticamente lo stato della sicurezza informatica nell'organizzazione. Di seguito alcuni esempi di ciò che può essere automatizzato:
- Traduzione della firma IPS da Detect a Prevent. Se le firme critiche non attivano il Prevent, si tratta di un problema serio e di una grave vulnerabilità nel sistema di protezione. Cambiamo l'azione in politica per queste firme. Questa funzionalità può essere implementata se il dispositivo NGFW dispone delle funzionalità REST API. Ciò è possibile solo possedendo competenze di programmazione, perché è necessario estrarre le informazioni da Elasticsearch ed eseguire richieste API al server di gestione del NGFW.
- Se da un indirizzo IP nel traffico di rete sono state rilevate o bloccate numerose firme, ha senso bloccare temporaneamente questo indirizzo IP nella politica del Firewall. Anche l'implementazione consiste nell'utilizzo delle REST API.
- Avviare la scansione del host con uno scanner di vulnerabilità se questo host ha un elevato numero di firme da IPS o altri strumenti di sicurezza. Se si utilizza OpenVas, è possibile scrivere uno script che si connette via ssh allo scanner di sicurezza e avvia la scansione.
TS Total Sight
Complessivamente, implementare tutte le funzionalità è un compito molto grande e complesso. Senza competenze di programmazione, è possibile configurare funzionalità minime che potrebbero essere sufficienti per l'uso in produzione. Ma se sei interessato all'intera gamma di funzionalità, puoi dare un'occhiata a TS Total Sight. Puoi trovare maggiori dettagli sul nostro . Di conseguenza, l'intero schema di lavoro e l'architettura appariranno in questo modo:
Conclusione
Abbiamo visto cosa è possibile realizzare utilizzando l'ELK Stack. Nei prossimi articoli esploreremo più in dettaglio le funzionalità di TS Total Sight!
Quindi segui gli aggiornamenti (, , , ), .
Fonte: habr.com
