{"id":54536,"date":"2019-12-28T00:00:00","date_gmt":"2019-12-27T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/3-elastic-stack-analiz-security-logov-dashbordy"},"modified":"2020-02-18T14:02:33","modified_gmt":"2020-02-18T11:02:33","slug":"3-elastic-stack-analiz-security-logov-dashbordy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","title":{"rendered":"3. Elastic stack: analisi dei log di sicurezza. Dashboard","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nNegli articoli precedenti abbiamo esaminato brevemente lo stack ELK e la configurazione del file di Logstash per il parser dei log; in questo articolo ci concentreremo sulla cosa pi\u00f9 importante dal punto di vista analitico, ovvero ci\u00f2 che si desidera vedere dal sistema e per cui \u00e8 stato creato: grafici e tabelle uniti in dashboard<\/b>. Oggi daremo un'occhiata pi\u00f9 da vicino al sistema di visualizzazione Kibana<\/b>, esamineremo come creare grafici, tabelle e alla fine costruiremo un semplice dashboard basato sui log del firewall Check Point.
\n<\/a><\/noindex>
\nIl primo passo per lavorare con Kibana \u00e8 la creazione di un pattern dell'indice<\/b>, che logicamente \u00e8 un database di indici uniti secondo un principio specifico. Naturalmente, questa \u00e8 solo una configurazione per consentire a Kibana di cercare le informazioni in tutti gli indici contemporaneamente in modo pi\u00f9 conveniente. Si imposta confrontando una stringa, ad esempio \u201ccheckpoint-*\u201d, con il nome dell'indice. Ad esempio, \u00abcheckpoint-2019.12.05\u00bb si adatta al pattern, mentre solo \u00abcheckpoint\u00bb no. \u00c8 importante notare che non \u00e8 possibile cercare informazioni su diversi pattern di indici contemporaneamente; pi\u00f9 avanti, nei prossimi articoli, vedremo che le richieste API vengono effettuate o per nome dell'indice o per un singolo pattern di stringa, l'immagine \u00e8 cliccabile:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

Dopo di che verifichiamo nel menu Discover che tutti i log siano indicizzati e che il parser sia configurato correttamente. Se ci sono delle discrepanze, ad esempio, se \u00e8 necessario cambiare il tipo di dati da stringa a intero, \u00e8 necessario modificare il file di configurazione di Logstash; in questo modo, i nuovi log verranno registrati correttamente. Per fare in modo che i vecchi log, prima della modifica, assumano il formato desiderato, l'unico modo possibile \u00e8 il processo di reindicizzazione; nei prossimi articoli esploreremo questa operazione in dettaglio. Assicuriamoci che sia tutto a posto, l'immagine \u00e8 cliccabile:<\/p>\n

\"3.<\/a><\/noindex><\/p>\n

I log sono al loro posto, il che significa che possiamo iniziare a costruire dashboard. Sulla base dell'analisi delle dashboard di prodotti di sicurezza, \u00e8 possibile comprendere lo stato della sicurezza informatica nell'organizzazione, vedere chiaramente le aree vulnerabili nella politica attuale e sviluppare modi per affrontarle in futuro. Costruiamo un piccolo dashboard utilizzando diversi strumenti di visualizzazione. Il dashboard sar\u00e0 composto da 5 componenti: <\/p>\n

    \n
  1. una tabella per il conteggio del numero totale di log per blade<\/li>\n
  2. una tabella per le firme critiche IPS<\/li>\n
  3. grafico a torta sugli eventi di Threat Prevention<\/li>\n
  4. grafico sui siti web pi\u00f9 popolari visitati<\/li>\n
  5. grafico sull'utilizzo delle applicazioni pi\u00f9 pericolose<\/li>\n<\/ol>\n

    \nPer creare forme di visualizzazione, \u00e8 necessario andare nel menu Visualizza<\/b>, e scegliere la forma desiderata che vogliamo costruire! Procediamo con ordine.<\/p>\n

    Tabella per calcolare il numero totale di log per i blade<\/h3>\n

    \nPer questo, scegliamo la forma Tabella Dati<\/b>, ci addentriamo nello strumento per creare grafici, a sinistra si impostano le impostazioni della forma, a destra come apparir\u00e0 con le attuali impostazioni. Prima mostrer\u00f2 come apparir\u00e0 la tabella finale, dopo di che passeremo alle impostazioni, l'immagine \u00e8 cliccabile:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Impostazioni pi\u00f9 dettagliate della forma, l'immagine \u00e8 cliccabile:<\/p>\n

    \"3.<\/a><\/noindex><\/p>\n

    Analizziamo le impostazioni.<\/p>\n

    Inizialmente si imposta metrica<\/b>, questo \u00e8 il valore su cui verranno aggregati tutti i campi. Le metriche vengono calcolate sulla base dei valori estratti in vari modi dai documenti. I valori vengono solitamente estratti da campi<\/b> del documento, ma possono anche essere generati utilizzando script. In questo caso impostiamo in Aggregazione: Conteggio<\/b> (numero totale di log).<\/p>\n

    Dopo di ci\u00f2, suddividiamo la tabella in segmenti (campi) su cui verr\u00e0 calcolata la metrica. Questa funzione \u00e8 svolta dall'impostazione Buckets, che a sua volta consiste in 2 opzioni di configurazione: <\/p>\n

      \n
    1. split rows \u2014 aggiunta di colonne e successiva suddivisione della tabella in righe<\/li>\n
    2. split table \u2014 suddivisione in pi\u00f9 tabelle in base ai valori di un determinato campo. <\/li>\n<\/ol>\n

      \nIn buckets<\/b> \u00e8 possibile aggiungere pi\u00f9 suddivisioni per creare pi\u00f9 colonne o tabelle, qui i limiti sono pi\u00f9 logici. Nella aggregazione si pu\u00f2 scegliere in quale modo avverr\u00e0 la suddivisione in segmenti: ipv4 range, date range, Terms, ecc. La scelta pi\u00f9 interessante \u00e8 proprio Terms<\/b> e Significant Terms<\/b>, la suddivisione in segmenti avviene in base ai valori di un determinato campo dell'indice, la differenza tra di essi consiste nel numero di valori restituiti e nella loro visualizzazione. Poich\u00e9 vogliamo suddividere la tabella in base ai nomi dei blade, selezioniamo il campo - product.keyword<\/b> e stabiliamo la dimensione in 25 valori restituiti. <\/p>\n

      Invece delle righe in elasticsearch si utilizzano 2 tipi di dati - text<\/b> e keyword<\/b>. Se desideri eseguire una ricerca a testo completo, devi utilizzare il tipo text, molto utile quando si scrive il proprio servizio di ricerca, ad esempio, cercando un riferimento a una parola nel significato specifico del campo (testo). Se desideri solo una corrispondenza esatta, devi utilizzare il tipo keyword. Inoltre, il tipo di dati keyword deve essere utilizzato per i campi che richiedono ordinamento o aggregazione, cio\u00e8, nel nostro caso.<\/p>\n

      Di conseguenza, Elasticsearch conta il numero di log in un determinato intervallo di tempo aggregandoli in base al valore del campo product. Nel Custom Label impostiamo il nome della colonna che verr\u00e0 visualizzato nella tabella, impostiamo il tempo per il quale raccogliamo i log, avviamo il rendering \u2014 Kibana invia una richiesta a Elasticsearch, attende la risposta e successivamente visualizza i dati ottenuti. La tabella \u00e8 pronta!<\/p>\n

      Diagramma a torta sugli eventi di Threat Prevention<\/h3>\n

      \nUn certo interesse \u00e8 suscitato dall'informazione su quante reazioni ci siano in percentuale detect<\/b> e prevent<\/b> sugli incidenti di sicurezza informatica nella corrente politica di sicurezza. Per questo caso \u00e8 molto adatto un diagramma a torta. Selezioniamo in Visualize \u2014 Pie chart<\/b>. Inoltre, nella metrica impostiamo l'aggregazione in base al numero di log. In buckets impostiamo Terms => action. <\/p>\n

      A quanto pare, \u00e8 tutto corretto, ma il risultato mostra valori per tutti i blade, \u00e8 necessario filtrare solo quelli che operano nell'ambito di Threat Prevention. Quindi \u00e8 fondamentale configurare il filtro<\/b> in modo da cercare informazioni solo sui blade responsabili degli incidenti di sicurezza informatica \u2014 product: (\u00abAnti-Bot\u00bb OR \u00abNew Anti-Virus\u00bb OR \u00abDDoS Protector\u00bb OR \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). L'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      E impostazioni pi\u00f9 dettagliate, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Tabella sugli eventi IPS<\/h3>\n

      \nSuccessivamente, \u00e8 molto importante dal punto di vista della sicurezza informatica visualizzare e controllare gli eventi per il blade IPS<\/b> e Emulazione delle minacce<\/b>, che non vengono bloccati<\/b> dalla politica attuale, affinch\u00e9 in seguito si possa o spostare la firma in prevent, o se il traffico \u00e8 valido \u2014 non controllare la firma. Creiamo la tabella esattamente come per il primo esempio, solo con la differenza che creiamo pi\u00f9 colonne: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. \u00c8 fondamentale configurare il filtro per cercare informazioni solo sui blade responsabili degli incidenti di sicurezza informatica \u2014 product: ( \u00abSmartDefense\u00bb OR \u00abThreat Emulation\u00bb). L'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Impostazioni pi\u00f9 dettagliate, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Diagrammi sui siti web pi\u00f9 popolari visitati<\/h3>\n

      \nPer questo creiamo una figura \u2014 Barra verticale<\/b>. Utilizziamo anche la metrica count (asse Y), mentre sull'asse X utilizzeremo come valori il nome dei siti visitati \u2014 \u201cappi_name\u201d. Qui c'\u00e8 un piccolo trucco, se avviamo le impostazioni nella versione attuale, tutti i siti saranno contrassegnati sul grafico con un colore unico. Per farli diventare multicolori, utilizziamo un'impostazione aggiuntiva \u2014 \u201csplit series\u201d, che consente di dividere la colonna gi\u00e0 pronta in ulteriori valori, a seconda del campo selezionato, ovviamente! Questa divisione pu\u00f2 essere utilizzata come un'unica colonna multicolore in modalit\u00e0 stacked, oppure in modalit\u00e0 normale per creare pi\u00f9 colonne in base a valori specifici dell'asse X. In questo caso utilizziamo lo stesso valore dell'asse X, il che ci permette di rendere tutte le colonne multicolori, che saranno indicate a destra in alto con colori diversi. Nel filtro impostiamo \u2014 product:\u00abURL Filtering\u00bb per vedere informazioni solo sui siti visitati, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Impostazioni:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Grafico sull'utilizzo delle applicazioni pi\u00f9 pericolose<\/h3>\n

      \nPer questo creiamo una figura \u2014 Vertical Bar. Utilizziamo anche la metrica count (asse Y), mentre sull'asse X utilizzeremo come valori il nome delle applicazioni utilizzate \u2014 \u201cappi_name\u201d. \u00c8 fondamentale impostare il filtro \u2014 product: \u00abApplication Control\u00bb AND app_risk: (4 OR 5 OR 3 ) AND action:\u00abaccept\u00bb. Filtriamo i log per il blade Application control, prendiamo solo i siti categorizzati come siti con rischio Critico, Alto, Medio e solo nel caso in cui l'accesso a questi siti sia consentito. L'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Impostazioni, cliccabili:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Dashboard<\/h3>\n

      \nLa visualizzazione e creazione dei dashboard si trovano in un punto menu separato \u2014 Dashboard<\/b>. Qui \u00e8 tutto semplice, si crea un nuovo dashboard, si aggiunge la visualizzazione, si dispone il tutto e via!<\/p>\n

      Creiamo un dashboard che permetta di comprendere la situazione di base della sicurezza delle informazioni nell'organizzazione, ovviamente solo a livello di Check Point, l'immagine \u00e8 cliccabile:<\/p>\n

      \"3.<\/a><\/noindex><\/p>\n

      Sulla base di questi grafici possiamo capire quali firme critiche non vengono bloccate sul firewall, dove si recano gli utenti, quali sono le applicazioni pi\u00f9 pericolose che utilizzano.<\/p>\n

      Conclusione<\/h3>\n

      \nAbbiamo esaminato le possibilit\u00e0 di visualizzazione di base in Kibana e abbiamo creato un dashboard, ma questo \u00e8 solo una piccola parte. Proseguendo nel corso, approfondiremo la configurazione delle mappe, l'interazione con il sistema Elasticsearch, ci familiarizzeremo con le richieste API, l'automazione e molto altro!<\/p>\n

      Quindi, seguite gli aggiornamenti (Telegram<\/a><\/noindex>, Facebook<\/a><\/noindex>, VK<\/a><\/noindex>, Blog di TS Solution<\/a><\/noindex>), Yandex.Zen<\/a><\/noindex>.
      \n
      Fonte:       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u0412 \u043f\u0440\u043e\u0448\u043b\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445 \u043c\u044b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043b\u0438\u0441\u044c \u0441\u043e \u0441\u0442\u0435\u043a\u043e\u043c elk \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 Logstash \u0434\u043b\u044f \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u043b\u043e\u0433\u043e\u0432, \u0432 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u0430\u043c\u043e\u043c\u0443 \u0432\u0430\u0436\u043d\u043e\u043c\u0443 \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438, \u0442\u043e \u0447\u0442\u043e \u0432\u044b \u0445\u043e\u0442\u0438\u0442\u0435 \u0443\u0432\u0438\u0434\u0435\u0442\u044c \u043e\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0440\u0430\u0434\u0438 \u0447\u0435\u0433\u043e \u0432\u0441\u0435 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u2014 \u044d\u0442\u043e \u0433\u0440\u0430\u0444\u0438\u043a\u0438 \u0438 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u043d\u044b\u0435 \u0432 \u0434\u0430\u0448\u0431\u043e\u0440\u0434\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u043f\u043e\u0431\u043b\u0438\u0436\u0435 \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043c\u0441\u044f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-54536","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd473. Elastic stack: analisi dei log di sicurezza. Dashboard | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd473. Elastic stack: \u0430\u043d\u0430\u043b\u0438\u0437 security \u043b\u043e\u0433\u043e\u0432. \u0414\u0430\u0448\u0431\u043e\u0440\u0434\u044b | ProHoster","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/3-elastic-stack-analiz-security-logov-dashbordy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-27T21:00:00+00:00","article:modified_time":"2020-02-18T11:02:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"54536","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 11:45:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:03:57","updated":"2026-01-24 11:45:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/54536","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=54536"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/54536\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=54536"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=54536"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=54536"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}