ELK SIEM Open Distro: ויזואליזציה של לוחות מחוונים של ELK ו-SIEM ב-ELK

פוסט זה יתאר את הגדרת ההדמיה של לוחות מחוונים של ELK ו-SIEM ב-ELK
המאמר מחולק לחלקים הבאים:

1- סקירת ELK SIEM
2- לוחות מחוונים כברירת מחדל
3- יצירת לוחות המחוונים הראשונים שלך

תוכן העניינים של כל הפוסטים.

• מבוא. פריסת תשתית וטכנולוגיות עבור SOC as a Service (SOCasS)
• מחסנית ELK - התקנה ותצורה
• לכו דרך הדיסטרו הפתוחה
• ויזואליזציה של לוחות מחוונים ו-ELK SIEM
• אינטגרציה עם WAZUH
• מתריע
• דיווח
• ניהול מקרה

סקירת 1-ELK SIEM

ELK SIEM נוספה לאחרונה לערימת האיילים בגרסה 7.2 ב-25 ביוני 2019.

זהו פתרון SIEM שנוצר על ידי elastic.co כדי להפוך את חייו של מנתח אבטחה להרבה יותר קלים ופחות מייגעים.

בגרסה שלנו של העבודה, החלטנו ליצור SIEM משלנו ולבחור בלוח הבקרה שלנו.

אבל אנחנו חושבים שחשוב לחקור תחילה את ELK SIEM.

1.1- מדור מארחים אירועים

תחילה נסתכל על קטע המארח. מדור המארח יאפשר לך לראות את האירועים שנוצרים בנקודת הקצה עצמה.

לאחר לחיצה על הצג מארחים אתה אמור לקבל משהו כזה. כפי שאתה יכול לראות, ישנם שלושה מארחים המחוברים למחשב זה:

1 Windows 10.

2 שרת אובונטו 18.04.

יש לנו כמה הדמיות מוצגות, כל אחת מייצגת סוגים שונים של אירועים.

לדוגמה, זה שבאמצע מציג נתוני כניסה בכל שלושת המכונות.

כמות הנתונים הזו שאתה רואה כאן נאספה במשך חמישה ימים. זה מסביר את המספר הגדול של כניסות כושלות ומוצלחות. סביר להניח שיהיה לך מספר קטן של יומנים, אז אל תדאג

1.2- סעיף אירועי רשת

עוברים לקטע הרשת, אתה אמור לקבל משהו כזה. סעיף זה יאפשר לך לעקוב מקרוב אחר כל מה שקורה ברשת שלך, מתעבורת HTTP/TLS ועד לתעבורת DNS והתראות על אירועים חיצוניים.

2- לוחות מחוונים כברירת מחדל

כדי להקל על המשתמשים, מפתחי elastic.co יצרו סרגל כלים ברירת מחדל הנתמך רשמית על ידי ELK. הקצבים שלנו לא היו חריגים לכלל זה. כאן אשתמש ברירת המחדל של Packetbeat כדוגמה.

אם ביצעת נכון את שלב שני של המאמר. אתה אמור להגדיר סרגל כלים שיחכה לך. אז בואו נתחיל.

מהכרטיסייה השמאלית של Kibana, בחר את סמל לוח המחוונים. זה השלישי, אם סופרים מלמעלה.

הזן את שם השיתוף בלשונית החיפוש

אם יש כמה מודולים בביט. עבור כל אחד מהם ייווצר לוח בקרה. אבל רק זה שהמודול פעיל יציג נתונים לא ריקים.

בחר את זה עם שם המודול שלך.

זו התבנית הראשית PacketBeat.

זהו לוח הבקרה של זרימת הרשת. הוא יספר לנו על החבילה הנכנסת והיוצאת, המקורות והיעדים של כתובות IP, וגם מספק מידע רב שימושי עבור מנתח מרכז אבטחה.

3 - יצירת לוחות המחוונים הראשונים שלך

3–1- מושגי יסוד

א- סוגי לוחות מחוונים:

אלו הם הסוגים השונים של הדמיות שבהן אתה יכול להשתמש כדי להמחיש את הנתונים שלך.

למשל יש לנו:

• היסטוגרמה
• מפה
• ווידג'ט סימון
• תרשים עוגה

B- KQL (שפת שאילתות קיבנה):

זוהי השפה המשמשת ב-Kibana לחיפוש קל של נתונים. זה מאפשר לך לבדוק אם קיימים נתונים מסוימים ותכונות שימושיות רבות אחרות. למידע נוסף, תוכל לחקור את המידע בקישור זה

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

זוהי שאילתה לדוגמה למציאת מארח המריץ את Windows 10 pro.

C- מסננים:

תכונה זו תאפשר לך לסנן פרמטרים מסוימים כגון שם מארח, קוד אירוע או מזהה וכו'. מסננים ישפרו מאוד את שלב החקירה מבחינת זמן ומאמץ שהושקעו בחיפוש ראיות.

D- הדמיה ראשונה:

בואו ניצור הדמיה עבור MITER ATT & CK.

ראשית אנחנו צריכים ללכת ל לוח מחוונים ← צור לוח מחוונים חדש ← צור חדש → לוח מחוונים של עוגה

הגדר את הסוג עבור תבנית האינדקס, ולאחר מכן הקש על שם הקצב שלך.

לחץ אנטר. עד עכשיו אתה אמור לראות סופגנייה ירוקה.

בלשונית דליים משמאל תמצא:

— פרוסות מפוצלות יחלקו את הסופגניה לחלקים שונים בהתאם לפיזור הנתונים.

- תרשים מפוצל ייצור סופגנייה נוספת ליד זו.

נשתמש בפרוסות מפוצלות.

אנו נדמיין את הנתונים שלנו בהתאם למונח שנבחר. במקרה זה המונח יתייחס ל-MITER ATT & CK.

ב-Winlogbeat, השדה שיספק לנו את המידע הזה נקרא:

winlog.event_data.RuleName

נגדיר מדד ספירה לסדר אירועים על סמך מספר הפעמים שהם מתרחשים.

הפעל את התכונה "קבץ ערכים אחרים בקטע נפרד".

זה יהיה שימושי אם למונחים שתבחר יש הרבה משמעויות שונות המבוססות על קצב. זה עוזר לדמיין את שאר הנתונים כמכלול. זה ייתן לך מושג לגבי אחוז האירועים שנותרו.

כעת, לאחר שסיימנו להגדיר את לשונית הנתונים, נעבור ללשונית האפשרויות

עליך לבצע את הפעולות הבאות:

**הסר את צורת הסופגניה כך שהעיבוד יראה עיגול שלם.

**בחר את מיקום האגדה שאתה אוהב. במקרה זה, נציג אותם בצד ימין.

**הגדר ערכי תצוגה שיוצגו ליד הקטע שלהם לקריאה קלה יותר והשאר את השאר כברירת מחדל

חיתוך קובע כמה אתה רוצה להציג מתוך שם האירוע.

הגדר את השעה שבה תרצה שהעיבוד יתחיל ולאחר מכן לחץ על הריבוע הכחול.

אתה אמור לסיים עם משהו כזה:

אתה יכול גם להוסיף מסנן להדמיה שלך כדי לסנן את המארח הספציפי שאתה רוצה לבדוק או כל פרמטר שאתה חושב שהוא שימושי למטרה שלך. ההדמיה תציג רק נתונים התואמים את הכלל שהוצב במסנן. במקרה זה, נציג רק נתוני MITER ATT&CK המגיעים מהמארח בשם win10.

3-2- יצירת לוח המחוונים הראשון שלך:

לוח מחוונים הוא אוסף של הדמיות רבות. לוחות המחוונים שלך צריכים להיות ברורים, מובנים ולהכיל נתונים דטרמיניסטיים שימושיים. הנה דוגמה ללוחות המחוונים שיצרנו מאפס עבור winlogbeat.

תודה על זמנך. אני מקווה שמצאת מאמר זה מועיל. אם תרצה מידע נוסף על הנושא, אנו ממליצים לך לבקר אתר רשמי.

צ'אט טלגרם ב- Elasticsearch: https://t.me/elasticsearch_ru

מקור: www.habr.com