כיצד ELK עוזרת למהנדסי אבטחה להילחם בהתקפות אתרים ולישון בשקט

מרכז הגנת הסייבר שלנו אחראי על אבטחת תשתית האינטרנט של לקוחות ודוחה התקפות על אתרי לקוחות. אנו משתמשים בחומת אש של יישומי אינטרנט של FortiWeb (WAF) כדי להגן מפני התקפות. אבל אפילו ה-WAF המגניב ביותר אינו תרופת פלא ואינו מגן מחוץ לקופסה מפני התקפות ממוקדות. 

לכן, בנוסף ל-WAF אנו משתמשים דִישׁוֹן. זה עוזר לאסוף את כל האירועים במקום אחד, צובר סטטיסטיקות, מדמיין אותם ומאפשר לנו לראות התקפה ממוקדת בזמן.

היום אספר לכם ביתר פירוט איך חצינו את "עץ חג המולד" עם WAF ומה יצא ממנו.

הסיפור של מתקפה אחת: איך הכל עבד לפני המעבר לאלק

ללקוח יש אפליקציה פרוסה בענן שלנו שנמצאת מאחורי ה-WAF שלנו. מ-10 ל-000 משתמשים מחוברים לאתר ביום, מספר החיבורים הגיע ל-100 מיליון ביום. מתוכם, 000-20 משתמשים היו תוקפים וניסו לפרוץ לאתר. 

FortiWeb חסמה את הצורה הרגילה של כוח גס מכתובת IP אחת די בקלות. מספר הכניסות לדקה לאתר היה גבוה מזה של משתמשים לגיטימיים. פשוט קבענו ספי פעילות מכתובת אחת והדפנו את המתקפה.

הרבה יותר קשה להילחם ב"התקפות איטיות", כאשר התוקפים פועלים לאט ומתחפשים ללקוחות רגילים. הם משתמשים בכתובות IP ייחודיות רבות. פעילות כזו לא נראתה כמו כוח גס עצום ל-WAF; קשה יותר היה לעקוב אחריה באופן אוטומטי. היה גם סיכון לחסימת משתמשים רגילים. חיפשנו סימנים אחרים להתקפה והגדרנו מדיניות לחסום אוטומטית כתובות IP על סמך סימן זה. לדוגמה, להפעלות לא לגיטימיות רבות היו שדות משותפים בכותרות בקשת ה-HTTP. לעתים קרובות היה צורך לחפש שדות אלה באופן ידני ביומני אירועים של FortiWeb. 

זה יצא ארוך ולא נוח. בפונקציונליות הסטנדרטית של FortiWeb, אירועים מתועדים בטקסט ב-3 יומנים שונים: התקפות שזוהו, מידע בקשות והודעות מערכת על פעולת WAF. עשרות או אפילו מאות אירועי תקיפה יכולים להגיע תוך דקה.

לא כל כך, אבל אתה צריך לטפס ידנית דרך כמה יומנים ולחזור על הרבה שורות: 

ביומן ההתקפה אנו רואים את כתובות המשתמש ואת אופי הפעילות. 
 
זה לא מספיק פשוט לסרוק את טבלת היומן. כדי למצוא את המידע המעניין והשימושי ביותר על אופי המתקפה, עליך להסתכל בתוך אירוע ספציפי:

השדות המודגשים עוזרים לזהות "התקפה איטית". מקור: צילום מסך מאת אתר Fortinet. 

ובכן, הבעיה החשובה ביותר היא שרק מומחה FortiWeb יכול להבין זאת. בעוד שבשעות העבודה עדיין יכולנו לעקוב אחר פעילות חשודה בזמן אמת, החקירה של אירועי לילה עשויה להימשך זמן רב יותר. כאשר מדיניות FortiWeb לא פעלה מסיבה כלשהי, מהנדסי משמרות הלילה התורנים לא היו מסוגלים להעריך את המצב ללא גישה ל-WAF והעירו את מומחה FortiWeb. עייננו בכמה שעות של יומנים ומצאנו את רגע הפיגוע. 

עם נפחי מידע כאלה, קשה להבין את התמונה הכוללת במבט ראשון ולפעול באופן יזום. לאחר מכן החלטנו לאסוף נתונים במקום אחד על מנת לנתח הכל בצורה ויזואלית, למצוא את תחילת המתקפה, לזהות את הכיוון ואת שיטת החסימה שלה. 

ממה בחרת?

קודם כל, בדקנו את הפתרונות שכבר נמצאים בשימוש כדי לא להכפיל ישויות שלא לצורך.

אחת האפשרויות הראשונות הייתה נאגיוסשבו אנו משתמשים לניטור תשתית הנדסית, תשתית רשת, התראות על מצבי חירום. מאבטחים משתמשים בו גם כדי להודיע ​​לשוטרים במקרה של תנועה חשודה, אך הוא אינו יודע לאסוף בולי עץ מפוזרים ולכן אין בו עוד צורך. 

הייתה אפשרות לצבור הכל באמצעות MySQL ו-PostgreSQL או מסד נתונים יחסי אחר. אבל כדי לשלוף נתונים, היית צריך ליצור אפליקציה משלך. 

החברה שלנו גם משתמשת פורטיאנליזר מפורטינט. אבל זה לא התאים גם במקרה הזה. ראשית, הוא מותאם יותר לעבודה עם חומת אש FortiGate. שנית, הגדרות רבות היו חסרות, והאינטראקציה איתה דרשה ידע מצוין בשאילתות SQL. ושלישית, השימוש בו יעלה את עלות השירות עבור הלקוח.   

כך הגענו לקוד פתוח בצורה של דִישׁוֹן. 

למה לבחור ELK 

ELK היא קבוצה של תוכנות קוד פתוח:

• Elasticsearch - מסד נתונים של סדרות זמן, אשר נוצר במיוחד לעבודה עם נפחים גדולים של טקסט;
• לוגסטאש – מנגנון איסוף נתונים שיכול להמיר יומנים לפורמט הרצוי; 
• קיבאנה - Visualizer טוב, כמו גם ממשק ידידותי למדי לניהול Elasticsearch. אתה יכול להשתמש בו כדי לבנות גרפים שמהנדסים תורנים יכולים לנטר בלילה. 

סף הכניסה ל-ELK נמוך. כל התכונות הבסיסיות הן בחינם. מה עוד צריך בשביל האושר?

איך חיברנו את הכל למערכת אחת?

יצרנו אינדקסים והשארנו רק את המידע הדרוש. טענו את כל שלושת היומנים של FortiWEB לתוך ELK והפלט היה אינדקסים. אלה קבצים עם כל היומנים שנאספו לתקופה, למשל, יום. אם היינו מדמיינים אותם מיד, היינו רואים רק את הדינמיקה של ההתקפות. לפרטים, אתה צריך "ליפול" לכל התקפה ולהסתכל על שדות ספציפיים.

הבנו שקודם כל צריך להגדיר את הניתוח של מידע לא מובנה. לקחנו שדות ארוכים בצורה של מחרוזות, כגון "הודעה" ו-"URL", וניתחנו אותם כדי לקבל מידע נוסף לקבלת החלטות. 

לדוגמה, באמצעות ניתוח, זיהינו בנפרד את מיקומו של המשתמש. זה עזר להדגיש מיד התקפות מחו"ל על אתרים עבור משתמשים רוסים. על ידי חסימת כל הקשרים ממדינות אחרות, צמצמנו את מספר ההתקפות בחצי ויכולנו להתמודד בשלווה עם התקפות בתוך רוסיה. 

לאחר הניתוח, התחלנו לחפש איזה מידע לאחסן ולהמחיש. זה לא היה מעשי להשאיר הכל ביומן: גודלו של אינדקס אחד היה גדול - 7 ג'יגה-בייט. ל-ELK לקח הרבה זמן לעבד את הקובץ. עם זאת, לא כל המידע היה שימושי. משהו שוכפל ותפס מקום נוסף - היה צורך לבצע אופטימיזציה. 

בהתחלה פשוט סרקנו את האינדקס והסרנו אירועים מיותרים. זה התברר אפילו יותר לא נוח וארוך יותר מאשר עבודה עם יומנים ב-FortiWeb עצמה. היתרון היחיד של "עץ חג המולד" בשלב זה הוא שהצלחנו לדמיין פרק זמן גדול על מסך אחד. 

לא התייאשנו, המשכנו לאכול קקטוס, ללמוד ELK והאמנו שנצליח להוציא את המידע הדרוש. לאחר ניקוי האינדקסים, התחלנו לדמיין מה יש לנו. כך הגענו לדשבורדים גדולים. ניסינו כמה ווידג'טים - חזותית ואלגנטית, עץ חג המולד אמיתי! 

רגע הפיגוע תועד. כעת היינו צריכים להבין איך נראית תחילתה של התקפה על הגרף. כדי לזהות זאת, בדקנו את תגובות השרת למשתמש (קודי החזרה). התעניינו בתגובות שרת עם הקודים הבאים (rc): 

קוד (rc)

שם

תיאור

0

DROP

הבקשה לשרת חסומה

200

Ok

הבקשה עובדה בהצלחה

400

בקשה גרועה

בקשה שגויה

403

האסורה

הרשאה נדחתה

500

שגיאת שרת פנימית

השירות אינו זמין

אם מישהו התחיל לתקוף את האתר, יחס הקודים השתנה: 

• אם היו עוד בקשות שגויות עם קוד 400, אבל נשאר אותו מספר של בקשות רגילות עם קוד 200, זה אומר שמישהו ניסה לפרוץ לאתר. 
• אם במקביל גדלו גם הבקשות עם קוד 0, אז גם פוליטיקאים של FortiWeb "ראו" את המתקפה והפעילו עליה חסימות. 
• אם מספר ההודעות עם קוד 500 גדל, זה אומר שהאתר אינו זמין עבור כתובות ה-IP הללו - גם סוג של חסימה. 

בחודש השלישי, הקמנו לוח מחוונים למעקב אחר פעילות כזו.

כדי לא לנטר הכל באופן ידני, הגדרנו אינטגרציה עם Nagios, שסקרה את ELK במרווחים מסוימים. אם זיהיתי ערכי סף שהגיעו אליהם באמצעות קודים, שלחתי הודעה למפקדים על פעילות חשודה. 

משולבת 4 גרפיקות במערכת הניטור. כעת היה חשוב לראות בגרפים את הרגע שבו ההתקפה לא נחסמה והיה צורך בהתערבות של מהנדס. ב-4 תרשימים שונים עינינו טושטשו. לכן שילבנו את התרשימים והתחלנו לנטר הכל על מסך אחד.

במהלך הניטור, צפינו כיצד השתנו גרפים של צבעים שונים. כתם אדום הראה שהמתקפה החלה, בעוד שגרפים כתומים וכחולים הראו את התגובה של FortiWeb:

הכל בסדר כאן: היה גל של פעילות "אדום", אבל FortiWeb התמודדה עם זה ולוח הזמנים של התקיפות עלה בתוהו.

שרטטנו לעצמנו גם דוגמה של גרף שדורש התערבות:

כאן אנו רואים ש-FortiWeb הגדילה את הפעילות, אך גרף ההתקפה האדום לא ירד. עליך לשנות את הגדרות ה-WAF שלך.

גם חקירת אירועי לילה הפכה לקלה יותר. הגרף מציג מיד את הרגע שבו הגיע הזמן לבוא להגן על האתר. 

זה מה שקורה לפעמים בלילה. גרף אדום - המתקפה החלה. כחול – פעילות FortiWeb. ההתקפה לא נחסמה לגמרי, אז נאלצתי להתערב.

לאן אנחנו הולכים?

אנו מכשירים כעת מנהלי תורנות לעבודה עם ELK. התורנים לומדים להעריך את המצב בלוח המחוונים ולקבל החלטה: הגיע הזמן להסלים למומחה של FortiWeb, או שהמדיניות ב-WAF מספיקה כדי להדוף אוטומטית את המתקפה. כך אנו מפחיתים את העומס על מהנדסי אבטחת מידע בלילה ומחלקים תפקידי תמיכה ברמת המערכת. הגישה ל-FortiWeb נשארת רק עם מרכז הגנת הסייבר, ורק הם מבצעים שינויים בהגדרות WAF כאשר יש צורך מוחלט.

אנחנו עובדים גם על דיווח ללקוחות. אנו מתכננים כי נתונים על הדינמיקה של פעולת WAF יהיו זמינים בחשבון האישי של הלקוח. ELK תהפוך את המצב לשקוף יותר מבלי ליצור קשר עם ה-WAF עצמו.

אם הלקוח רוצה לנטר את ההגנה שלו בזמן אמת, גם ELK תועיל. אנחנו לא יכולים לתת גישה ל-WAF, שכן התערבות לקוחות בעבודה עלולה להשפיע על אחרים. אבל אתה יכול להרים ELK נפרד ולתת לו "לשחק" איתו. 

אלו הם התרחישים לשימוש ב"עץ חג המולד" שצברנו לאחרונה. שתף את הרעיונות שלך בעניין הזה ואל תשכח להגדיר הכל נכוןכדי למנוע דליפות של מסד נתונים. 

מקור: www.habr.com