{"id":54536,"date":"2019-12-28T00:00:00","date_gmt":"2019-12-27T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/3-elastic-stack-analiz-security-logov-dashbordy"},"modified":"2020-02-18T14:02:33","modified_gmt":"2020-02-18T11:02:33","slug":"3-elastic-stack-analiz-security-logov-dashbordy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","title":{"rendered":"3. Elastic stack: analisi dei log di sicurezza. Dashboard","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nNegli articoli precedenti ci siamo avvicinati allo stack ELK e alla configurazione del file di Logstash per il parsing dei log; in questo articolo ci concentreremo su ci\u00f2 che \u00e8 pi\u00f9 rilevante dal punto di vista analitico: i grafici e le tabelle unite in dashboard<\/b>. Oggi approfondiremo il sistema di visualizzazione Kibana<\/b>, analizzeremo come creare grafici e tabelle, e alla fine costruiremo un semplice dashboard basato sui log del firewall Check Point.
\n<\/a><\/noindex>
\nIl primo passo per lavorare con Kibana \u00e8 creare un index pattern<\/b>, che logicamente \u00e8 un database di indici unici in base a un determinato principio. Ovviamente, questo \u00e8 solo un'impostazione per facilitare la ricerca delle informazioni da parte di Kibana su tutti gli indici contemporaneamente. Questa viene definita confrontando una stringa, ad esempio \"checkpoint-*\" e il nome dell'indice. Ad esempio, \"checkpoint-2019.12.05\" si adatter\u00e0 al pattern, mentre semplicemente \"checkpoint\" no. \u00c8 importante notare che non \u00e8 possibile cercare informazioni su diversi pattern di indici contemporaneamente; in articoli futuri vedremo che le richieste API possono essere effettuate o per nome dell'indice o per un singolo pattern di stringa, l'immagine \u00e8 cliccabile:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

Dopo questo controlliamo nel menu Discover che tutti i log siano indicizzati e che il parser sia configurato correttamente. Se si riscontrano delle incongruenze, ad esempio, la necessit\u00e0 di cambiare il tipo di dati da stringa a numero intero, occorre modificare il file di configurazione di Logstash, in modo che i nuovi log vengano registrati correttamente. Per rendere i vecchi log conformi al nuovo formato, \u00e8 necessaria solo la procedura di reindicizzazione, che sar\u00e0 trattata pi\u00f9 in dettaglio in articoli successivi. Assicuriamoci che tutto sia in ordine, l'immagine \u00e8 cliccabile:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

I log sono al loro posto, quindi possiamo procedere alla costruzione dei dashboard. Sulla base dell'analisi dei dashboard dei prodotti di sicurezza \u00e8 possibile comprendere lo stato della sicurezza informatica nell'organizzazione, identificare visivamente i punti vulnerabili nella politica attuale e successivamente elaborare modi per affrontarli. Creeremo un piccolo dashboard utilizzando diversi strumenti di visualizzazione. Il dashboard sar\u00e0 composto da 5 elementi: <\/p>\n

    \n
  1. tabella per calcolare il numero totale di log per blade<\/li>\n
  2. tabella per le firme critiche IPS<\/li>\n
  3. grafico a torta per eventi di Threat Prevention<\/li>\n
  4. grafico per i siti pi\u00f9 visitati<\/li>\n
  5. grafico per l'uso delle applicazioni pi\u00f9 pericolose<\/li>\n<\/ol>\n

    \nPer creare le figure di visualizzazione, \u00e8 necessario andare nel menu Visualize<\/b>, e selezionare la figura desiderata che vogliamo costruire! Procediamo per ordine.<\/p>\n

    Tabella per calcolare il numero totale di log per blade<\/h3>\n

    \nPer questo selezioniamo la figura Data Table<\/b>, poi accediamo all'utile per la creazione dei grafici, a sinistra si impostano le configurazioni della figura, a destra come apparir\u00e0 con le impostazioni correnti. Prima mostrer\u00f2 come apparir\u00e0 la tabella completata, poi passeremo alle impostazioni, l'immagine \u00e8 cliccabile:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Impostazioni pi\u00f9 dettagliate della figura, l'immagine \u00e8 cliccabile:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Esaminiamo le impostazioni.<\/p>\n

    All'inizio si configura metrica<\/b>, questo valore sar\u00e0 utilizzato per aggregare tutti i campi. Le metriche vengono calcolate sulla base dei valori estratti in vari modi dai documenti. I valori di solito vengono estratti dai campi<\/b> del documento, ma possono anche essere generati utilizzando script. In questo caso impostiamo Aggregation: Count<\/b> (numero totale di log).<\/p>\n

    Dopo di che la tabella viene suddivisa in segmenti (campi) per i quali verr\u00e0 calcolata la metrica. Questa funzione \u00e8 svolta dalle impostazioni Buckets, che a loro volta sono composte da 2 varianti di configurazione: <\/p>\n

      \n
    1. split rows \u2014 aggiunta di colonne e successivo divisione della tabella in righe<\/li>\n
    2. split table \u2014 divisione in pi\u00f9 tabelle in base ai valori di un campo specifico. <\/li>\n<\/ol>\n

      \nIn buckets<\/b> \u00e8 possibile aggiungere diverse suddivisioni per creare pi\u00f9 colonne o tabelle; qui le limitazioni sono pi\u00f9 logiche. Nella aggregazione si pu\u00f2 scegliere con quale metodo avverr\u00e0 la divisione in segmenti: ipv4 range, date range, Terms, ecc. La scelta pi\u00f9 interessante \u00e8 proprio Terms<\/b> e Significant Terms<\/b>, la divisione in segmenti si basa sui valori di un determinato campo dell'indice; la differenza tra loro sta nel numero di valori restituiti e nella loro visualizzazione. Poich\u00e9 vogliamo suddividere la tabella in base ai nomi dei blade, scegliamo il campo \u2014 product.keyword<\/b> e impostiamo la dimensione a 25 valori restituiti. <\/p>\n

      Invece delle righe, in Elasticsearch vengono utilizzati 2 tipi di dati \u2014 text<\/b> e keyword<\/b>. Se desideri eseguire una ricerca full-text, devi utilizzare il tipo text, molto utile nella scrittura del tuo servizio di ricerca, ad esempio, per cercare la menzione di una parola in un determinato campo (testo). Se desideri solo una corrispondenza esatta, devi utilizzare il tipo keyword. Inoltre, il tipo di dato keyword deve essere utilizzato per i campi che richiedono ordinamento o aggregazione, cio\u00e8, nel nostro caso.<\/p>\n

      Di conseguenza, Elasticsearch conta il numero di log in un certo periodo aggregando per valore nel campo product. In Custom Label impostiamo il nome della colonna che verr\u00e0 visualizzato nella tabella, definiamo il tempo per il quale raccogliamo i log, avviamo la visualizzazione \u2014 Kibana invia una richiesta a elasticsearch, attende la risposta e poi visualizza i dati ottenuti. La tabella \u00e8 pronta!<\/p>\n

      Diagramma a torta degli eventi di Threat Prevention<\/h3>\n

      \n\u00c8 particolarmente interessante sapere qual \u00e8 la percentuale delle reazioni detect<\/b> e prevent<\/b> sugli incidenti di sicurezza informatica nella politica di sicurezza attuale. In questo caso, \u00e8 utile un diagramma a torta. Selezioniamo in Visualize \u2014 Pie chart<\/b>. Inoltre, nella metrica impostiamo l'aggregazione per il numero di log. Nei buckets impostiamo Terms => action. <\/p>\n

      Sembra tutto corretto, ma il risultato mostra valori per tutte le blade, \u00e8 necessario filtrare solo quelle blade che operano nell'ambito di Threat Prevention. Pertanto, \u00e8 indispensabile configurare un filtro<\/b> per cercare informazioni solo sulle blade responsabili degli incidenti di sicurezza informatica \u2014 product: (\u00abAnti-Bot\u00bb OR \u00abNew Anti-Virus\u00bb OR \u00abDDoS Protector\u00bb OR \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). L'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      E ulteriori impostazioni, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Tabella sugli eventi IPS<\/h3>\n

      \nIn seguito, \u00e8 soprattutto importante dal punto di vista della sicurezza informatica visualizzare e controllare gli eventi sulla blade IPS<\/b> e Emulazione delle Minacce<\/b>, che non bloccati<\/b> nella politica attuale, per poter eventualmente passare la firma in prevent, oppure se il traffico \u00e8 valido \u2014 non controllare la firma. Creiamo la tabella nello stesso modo del primo esempio, solo con la differenza che creiamo diverse colonne: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. \u00c8 essenziale configurare un filtro per cercare informazioni solo sulle blade responsabili degli incidenti di sicurezza informatica \u2014 product: (\u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). L'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Ulteriori impostazioni, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Diagrammi sui siti pi\u00f9 visitati<\/h3>\n

      \nPer questo creiamo una figura \u2014 Vertical Bar<\/b>. Utilizziamo anche count come metrica (asse Y), mentre sull'asse X utilizzeremo i nomi dei siti visitati \u2014 \u201cappi_name\u201d. Qui c'\u00e8 un piccolo trucco, se avviamo le impostazioni nell'attuale variante, tutti i siti verranno segnati sul grafico con lo stesso colore, per rendere i colori diversi utilizziamo un'impostazione aggiuntiva \u2014 \u201csplit series\u201d, che consente di dividere una colonna gi\u00e0 pronta in ulteriori valori, a seconda del campo selezionato, naturalmente! Questa divisione pu\u00f2 essere usata come una colonna multicolore basata sui valori in modalit\u00e0 stacked o in modalit\u00e0 normal per creare pi\u00f9 colonne a seconda di un valore sull'asse X. In questo caso, qui utilizziamo lo stesso valore che sull'asse X, il che consente di rendere tutte le colonne multicolori, a destra in alto saranno designate con colori. Nel filtro impostiamo \u2014 product:\u00abURL Filtering\u00bb per visualizzare informazioni solo sui siti visitati, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Impostazioni:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Diagramma sull'uso delle applicazioni pi\u00f9 pericolose<\/h3>\n

      \nPer questo creiamo una figura \u2014 Vertical Bar. Utilizziamo anche count come metrica (asse Y), mentre sull'asse X utilizzeremo i nomi delle applicazioni utilizzate \u2014 \u201cappi_name\u201d. La cosa pi\u00f9 importante \u00e8 impostare il filtro \u2014 product: \u00abApplication Control\u00bb AND app_risk: (4 OR 5 OR 3 ) AND action:\u00abaccept\u00bb. Filtriamo i log sulla blade Application control, prendendo solo quei siti che sono categorizzati come siti a rischio Critico, Alto, Medio solo nel caso in cui l'accesso a questi siti sia consentito. L'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Impostazioni, cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Dashboard<\/h3>\n

      \nLa visualizzazione e la creazione di dashboard si trovano in un'apposita voce di menu \u2014 Dashboard<\/b>. Qui \u00e8 tutto semplice, si crea un nuovo dashboard, si aggiunge una visualizzazione, si sistemano i vari elementi e il gioco \u00e8 fatto!<\/p>\n

      Creiamo un dashboard per comprendere la situazione di base dello stato di sicurezza informatica nell'organizzazione, chiaro, solo a livello di Check Point, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Sulla base di questi grafici possiamo capire quali firme critiche non vengono bloccate dal firewall, dove navigano gli utenti, quali applicazioni pi\u00f9 pericolose stanno utilizzando.<\/p>\n

      Conclusione<\/h3>\n

      \nAbbiamo esaminato le possibilit\u00e0 di base della visualizzazione in Kibana e abbiamo creato un dashboard, ma questo \u00e8 solo un piccolo assaggio. Nel corso, tratteremo in dettaglio la configurazione delle mappe, il lavoro con il sistema Elasticsearch, ci familiarizzeremo con le richieste API, l'automazione e molto altro!<\/p>\n

      Quindi segui gli aggiornamenti (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, Blog di TS Solution<\/a><\/noindex>), Yandex.Zen<\/a><\/noindex>.
      \n
      Fonte:       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u0412 \u043f\u0440\u043e\u0448\u043b\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445 \u043c\u044b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043b\u0438\u0441\u044c \u0441\u043e \u0441\u0442\u0435\u043a\u043e\u043c elk \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 Logstash \u0434\u043b\u044f \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u043b\u043e\u0433\u043e\u0432, \u0432 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u0430\u043c\u043e\u043c\u0443 \u0432\u0430\u0436\u043d\u043e\u043c\u0443 \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438, \u0442\u043e \u0447\u0442\u043e \u0432\u044b \u0445\u043e\u0442\u0438\u0442\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u043e\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0440\u0430\u0434\u0438 \u0447\u0435\u0433\u043e \u0432\u0441\u0435 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u2014 \u044d\u0442\u043e \u0433\u0440\u0430\u0444\u0438\u043a\u0438 \u0438 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u043d\u044b\u0435 \u0432 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u043f\u043e\u0431\u043b\u0438\u0436\u0435 \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043c\u0441\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-54536","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd473. Elastic stack: analisi dei log di sicurezza. Dashboard | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd473. Elastic stack: \u0430\u043d\u0430\u043b\u0438\u0437 security \u043b\u043e\u0433\u043e\u0432. \u0414\u0430\u0448\u0431\u043e\u0440\u0434\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-27T21:00:00+00:00","article:modified_time":"2020-02-18T11:02:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"54536","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 11:45:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:03:57","updated":"2026-01-24 11:45:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/54536","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=54536"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/54536\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=54536"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=54536"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=54536"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}