Elastic Stack הוא כלי מוכר בשוק מערכות ה-SIEM (למעשה, לא רק אותם). זה יכול לאסוף הרבה נתונים בגדלים שונים, גם רגישים וגם לא מאוד רגישים. זה לא לגמרי נכון אם הגישה לאלמנטים האלסטיים עצמם אינה מוגנת. כברירת מחדל, כל האלמנטים של Elastic מחוץ לקופסה (אספני Elasticsearch, Logstash, Kibana ו-Beats) פועלים על פרוטוקולים פתוחים. ובקיבאנה עצמה, האימות מושבת. ניתן לאבטח את כל האינטראקציות הללו ובמאמר זה נספר לכם כיצד לעשות זאת. מטעמי נוחות, חילקנו את הנרטיב ל-3 בלוקים סמנטיים:

• מודל גישה לנתונים מבוסס תפקידים
• אבטחת נתונים בתוך אשכול Elasticsearch
• אבטחת נתונים מחוץ לאשכול Elasticsearch

פרטים מתחת לחתוך.

מודל גישה לנתונים מבוסס תפקידים

אם תתקין את Elasticsearch ולא תכוון אותו בשום צורה, הגישה לכל האינדקסים תהיה פתוחה לכולם. ובכן, או כאלה שיכולים להשתמש בתלתל. כדי להימנע מכך, ל- Elasticsearch יש מודל לחיקוי שזמין החל ממנוי Basic (שהוא בחינם). סכמטית זה נראה בערך כך:

מה בתמונה

• משתמשים הם כל מי שיכול להתחבר באמצעות האישורים שלהם.
• תפקיד הוא אוסף של זכויות.
• זכויות הן קבוצה של הרשאות.
• הרשאות הן הרשאות כתיבה, קריאה, מחיקה וכו'. (רשימה מלאה של הרשאות)
• משאבים הם אינדקסים, מסמכים, שדות, משתמשים וישויות אחסון אחרות (המודל לחיקוי למשאבים מסוימים זמין רק עם מנויים בתשלום).

כברירת מחדל יש ל-Elasticsearch משתמשי קופסא, שאליו הם מחוברים תפקידי קופסה. לאחר שתפעיל את הגדרות האבטחה, תוכל להתחיל להשתמש בהן באופן מיידי.

כדי להפעיל אבטחה בהגדרות Elasticsearch, עליך להוסיף אותה לקובץ התצורה (כברירת מחדל זה elasticsearch/config/elasticsearch.yml) שורה חדשה:

xpack.security.enabled: true

לאחר שינוי קובץ התצורה, הפעל או הפעל מחדש את Elasticsearch כדי שהשינויים ייכנסו לתוקף. השלב הבא הוא הקצאת סיסמאות למשתמשי התיבה. בואו נעשה זאת באופן אינטראקטיבי באמצעות הפקודה למטה:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-setup-passwords interactive
Initiating the setup of passwords for reserved users elastic,apm_system,kibana,logstash_system,beats_system,remote_monitoring_user.
You will be prompted to enter passwords as the process progresses.
Please confirm that you would like to continue [y/N]y


Enter password for [elastic]:
Reenter password for [elastic]:
Enter password for [apm_system]:
Reenter password for [apm_system]:
Enter password for [kibana]:
Reenter password for [kibana]:
Enter password for [logstash_system]:
Reenter password for [logstash_system]:
Enter password for [beats_system]:
Reenter password for [beats_system]:
Enter password for [remote_monitoring_user]:
Reenter password for [remote_monitoring_user]:
Changed password for user [apm_system]
Changed password for user [kibana]
Changed password for user [logstash_system]
Changed password for user [beats_system]
Changed password for user [remote_monitoring_user]
Changed password for user [elastic]

אנו בודקים:

[elastic@node1 ~]$ curl -u elastic 'node1:9200/_cat/nodes?pretty'
Enter host password for user 'elastic':
192.168.0.2 23 46 14 0.28 0.32 0.18 dim * node1

אתה יכול לטפוח לעצמך על השכם - ההגדרות בצד Elasticsearch הושלמו. עכשיו הגיע הזמן להגדיר את Kibana. אם תפעיל אותו כעת, יופיעו שגיאות, ולכן חשוב ליצור חנות מפתחות. זה נעשה בשתי פקודות (משתמש קיבאנה והסיסמה שהוזנה בשלב יצירת הסיסמה ב- Elasticsearch):

[elastic@node1 ~]$ ./kibana/bin/kibana-keystore add elasticsearch.username
[elastic@node1 ~]$ ./kibana/bin/kibana-keystore add elasticsearch.password

אם הכל נכון, Kibana יתחיל לבקש כניסה וסיסמה. המנוי Basic כולל מודל לחיקוי המבוסס על משתמשים פנימיים. החל מ-Gold, ניתן לחבר מערכות אימות חיצוניות - LDAP, PKI, Active Directory ומערכות כניסה יחידה.

ניתן גם להגביל את זכויות הגישה לאובייקטים בתוך Elasticsearch. עם זאת, כדי לעשות את אותו הדבר עבור מסמכים או שדות, תצטרך מנוי בתשלום (מותרות זו מתחילה ברמת פלטינום). הגדרות אלו זמינות בממשק Kibana או באמצעות API אבטחה. אתה יכול לבדוק דרך התפריט Dev Tools המוכר כבר:

יצירת תפקיד

PUT /_security/role/ruslan_i_ludmila_role
{
  "cluster": [],
  "indices": [
    {
      "names": [ "ruslan_i_ludmila" ],
      "privileges": ["read", "view_index_metadata"]
    }
  ]
}

יצירת משתמש

POST /_security/user/pushkin
{
  "password" : "nataliaonelove",
  "roles" : [ "ruslan_i_ludmila_role", "kibana_user" ],
  "full_name" : "Alexander Pushkin",
  "email" : "[email protected]",
  "metadata" : {
    "hometown" : "Saint-Petersburg"
  }
}

אבטחת נתונים בתוך אשכול Elasticsearch

כאשר Elasticsearch פועל באשכול (שנפוצה), הגדרות האבטחה בתוך האשכול הופכות חשובות. לתקשורת מאובטחת בין צמתים, Elasticsearch משתמש בפרוטוקול TLS. כדי להגדיר אינטראקציה מאובטחת ביניהם, אתה צריך אישור. אנו יוצרים אישור ומפתח פרטי בפורמט PEM:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil ca --pem

לאחר ביצוע הפקודה למעלה, בספרייה /../elasticsearch יופיע ארכיון elastic-stack-ca.zip. בתוכו תמצאו תעודה ומפתח פרטי עם הרחבות crt и מפתח בהתאמה. רצוי לשים אותם על משאב משותף, שאמור להיות נגיש מכל הצמתים באשכול.

כל צומת זקוק כעת לאישורים ומפתחות פרטיים משלו המבוססים על אלה שבספרייה המשותפת. בעת ביצוע הפקודה, תתבקש להגדיר סיסמה. אתה יכול להוסיף אפשרויות נוספות -ip ו-dns לאימות מלאה של צמתים באינטראקציה.

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil cert --ca-cert /shared_folder/ca/ca.crt --ca-key /shared_folder/ca/ca.key

כתוצאה מביצוע הפקודה נקבל אישור ומפתח פרטי בפורמט PKCS#12, מוגן בסיסמה. כל מה שנותר הוא להעביר את הקובץ שנוצר p12 לספריית התצורה:

[elastic@node1 ~]$ mv elasticsearch/elastic-certificates.p12 elasticsearch/config

הוסף סיסמה לאישור בפורמט p12 ב-keystore וב-truststore בכל צומת:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password
[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password

כבר ידוע elasticsearch.yml כל מה שנותר הוא להוסיף שורות עם נתוני אישור:

xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12

אנו משיקים את כל צמתי Elasticsearch ומבצעים תלתל. אם הכל בוצע כהלכה, תוחזר תגובה עם מספר צמתים:

[elastic@node1 ~]$ curl node1:9200/_cat/nodes -u elastic:password                                                                                    
172.18.0.3 43 75 4 0.00 0.05 0.05 dim * node2                                                                                                                     
172.18.0.4 21 75 3 0.00 0.05 0.05 dim - node3                                                                                                                     
172.18.0.2 39 75 4 0.00 0.05 0.05 dim - node1

ישנה אפשרות אבטחה נוספת - סינון כתובות IP (זמין במנויים מרמת זהב). מאפשר לך ליצור רשימות לבנות של כתובות IP שמהן אתה רשאי לגשת לצמתים.

אבטחת נתונים מחוץ לאשכול Elasticsearch

מחוץ לאשכול פירושו חיבור כלים חיצוניים: Kibana, Logstash, Beats או לקוחות חיצוניים אחרים.

כדי להגדיר תמיכה עבור https (במקום http), הוסף שורות חדשות אל elasticsearch.yml:

xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: elastic-certificates.p12
xpack.security.http.ssl.truststore.path: elastic-certificates.p12

כי האישור מוגן בסיסמה, הוסף אותו למאגר המפתחות ולמחסן האמון בכל צומת:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password
[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.http.ssl.truststore.secure_password

לאחר הוספת המפתחות, צמתי Elasticsearch מוכנים להתחבר באמצעות https. עכשיו אפשר להשיק אותם.

השלב הבא הוא ליצור מפתח לחיבור Kibana ולהוסיף אותו לתצורה. בהתבסס על האישור שכבר נמצא בספרייה המשותפת, ניצור אישור בפורמט PEM (PKCS#12 Kibana, Logstash ו-Beats עדיין לא תומכים):

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil cert --ca-cert /shared_folder/ca/ca.crt --ca-key /shared_folder/ca/ca.key --pem

כל מה שנותר הוא לפרוק את המפתחות שנוצרו לתוך התיקיה עם תצורת Kibana:

[elastic@node1 ~]$ unzip elasticsearch/certificate-bundle.zip -d kibana/config

המפתחות נמצאים שם, אז כל מה שנותר הוא לשנות את תצורת Kibana כך שיתחיל להשתמש בהם. בקובץ התצורה kibana.yml, שנה http ל-https והוסף שורות עם הגדרות חיבור SSL. שלוש השורות האחרונות קובעות תקשורת מאובטחת בין הדפדפן של המשתמש ל-Kibana.

elasticsearch.hosts: ["https://${HOSTNAME}:9200"]
elasticsearch.ssl.certificateAuthorities: /shared_folder/ca/ca.crt
elasticsearch.ssl.verificationMode: certificate
server.ssl.enabled: true
server.ssl.key: /../kibana/config/instance/instance.key
server.ssl.certificate: /../kibana/config/instance/instance.crt

כך, ההגדרות הושלמו והגישה לנתונים באשכול Elasticsearch מוצפנת.

אם יש לך שאלות לגבי היכולות של Elastic Stack על מנויים בחינם או בתשלום, משימות ניטור או יצירת מערכת SIEM, השאר בקשה ל טופס משוב באתר שלנו.

עוד מאמרים שלנו על Elastic Stack ב-Habré:

הבנת למידת מכונה במחסנית האלסטית (המכונה Elasticsearch, aka ELK)

גודל Elasticsearch

מקור: www.habr.com