TS Total Sight. כלי איסוף אירועים, ניתוח אירועים ואוטומציה של תגובת איומים

צהריים טובים, בכתבות קודמות התוודענו לעבודתה של מחסנית ELK. וכעת נדון באפשרויות שיכולות להתממש על ידי מומחה אבטחת מידע בשימוש במערכות אלו. אילו יומנים ניתן ורצוי להוסיף ל- elasticsearch. הבה נבחן אילו סטטיסטיקות ניתן לקבל על ידי הקמת לוחות מחוונים והאם יש בכך רווח. כיצד ניתן ליישם אוטומציה של תהליכי אבטחת מידע באמצעות מחסנית ELK. בואו ניצור את הארכיטקטורה של המערכת. לסיכום, הטמעת כל הפונקציונליות היא משימה מאוד גדולה וקשה, ולכן הפתרון קיבל שם נפרד - TS Total Sight.

נכון להיום, פתרונות שמגבשים ומנתחים אירועי אבטחת מידע במקום הגיוני אחד זוכים לפופולריות, כתוצאה מכך, מומחה מקבל סטטיסטיקות וחזית לפעולה לשיפור מצב אבטחת המידע בארגון. הצבנו לעצמנו משימה כזו בשימוש בערימת ה-ELK, כתוצאה מכך, ייחדנו את הפונקציונליות העיקרית ב-4 סעיפים:

1. סטטיסטיקה והדמיה;
2. זיהוי אירועי IS;
3. תעדוף אירועים;
4. אוטומציה של תהליכי אבטחת מידע.

בואו נסתכל מקרוב על כל אחד בפירוט רב יותר.

זיהוי אירועי אבטחת מידע

המשימה העיקרית בשימוש ב- elasticsearch במקרה שלנו היא לאסוף רק אירועי אבטחת מידע. אתה יכול לאסוף אירועי אבטחת מידע מכל אמצעי הגנה אם הם תומכים לפחות בכמה מצבי העברת יומנים, הסטנדרטי הוא syslog או scp שמירת לקובץ.

אתה יכול לתת דוגמאות סטנדרטיות של כלי הגנה ולא רק מהמקום שבו עליך להגדיר את העברת היומנים:

1. כל קרנות NGFW (צ'ק פוינט, פורטינט);
2. כל סורקי פגיעות (PT Scanner, OpenVas);
3. חומת אש של יישומי אינטרנט (PTAF);
4. מנתחי Netflow (Flowmon, Cisco StealthWatch);
5. שרת AD.

לאחר שהגדרת את Logstash לשליחת יומנים וקובצי תצורה, תוכל לתאם ולהשוות עם תקריות המגיעות מכלי אבטחה שונים. לשם כך, נוח להשתמש באינדקסים, בהם נאחסן את כל התקריות הקשורות למכשיר מסוים. במילים אחרות, אינדקס אחד הוא כל התקריות עבור מכשיר אחד. ניתן ליישם הפצה זו בשתי דרכים.

התגלמות ראשונה הוא להגדיר את תצורת Logstash. לשם כך, עליך לשכפל את היומן עבור שדות מסוימים ליחידה נפרדת עם סוג אחר. ולאחר מכן השתמש בסוג זה. הדוגמה משבטת יומנים מלהב ה-IPS של חומת האש של צ'ק פוינט.

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

על מנת לאחסן אירועים כאלה באינדקס נפרד בהתאם לשדות היומנים, למשל, כמו ה-Destination IP של חתימת ההתקפה. אתה יכול להשתמש במבנה דומה:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

ובדרך זו תוכלו לשמור את כל התקריות באינדקס, למשל לפי כתובת IP, או לפי שם הדומיין של המחשב. במקרה זה, אנו מאחסנים באינדקס "smartdefense-%{dst}", לפי כתובת ה-IP של יעד החתימה.

עם זאת, למוצרים שונים יהיו שדות יומן שונים, וכתוצאה מכך כאוס ובזבוז זיכרון. וכאן יהיה צורך להחליף בזהירות את השדות בהגדרות התצורה של Logstash בשדות שתוכננו מראש, שיהיו זהים עבור כל סוגי התקריות, וזו גם משימה קשה.

אפשרות יישום שניה - זה כתיבת סקריפט או תהליך שייגש לבסיס האלסטי בזמן אמת, יוציא את התקריות הנחוצות, וישמור אותם לאינדקס חדש, זו משימה קשה, אבל זה מאפשר לך לעבוד עם היומנים כרצונך , ומתאם ישירות עם תקריות מכלי אבטחה אחרים. אפשרות זו מאפשרת לך להתאים את העבודה עם יומנים שימושיים ככל האפשר למקרה שלך עם גמישות מרבית, אך כאן יש בעיה למצוא מומחה שיוכל ליישם זאת.

וכמובן, השאלה הכי חשובה מה ניתן לתאם ולגלות?

עשויות להיות כאן מספר אפשרויות, ובהתאם לאלו כלי אבטחה משמשים בתשתית שלך, כמה דוגמאות:

1. האופציה הכי ברורה ומנקודת מבטי הכי מעניינת למי שיש פתרון NGFW וסורק פרצות. זוהי השוואה של יומני IPS ותוצאות סריקת פגיעות. אם זוהתה תקיפה (לא נחסמה) על ידי מערכת ה-IPS, ופגיעות זו לא נסגרת במכונת הקצה על סמך תוצאות הסריקה, יש צורך לפוצץ את כל הצינורות, שכן ישנה סבירות גבוהה שהפגיעות הייתה מְנוּצָל.
2. ניסיונות כניסה רבים ממכונה אחת למקומות שונים יכולים לסמל פעילות זדונית.
3. הורדת קבצי וירוסים על ידי המשתמש עקב ביקור במספר עצום של אתרים שעלולים להיות מסוכנים.

סטטיסטיקה והדמיה

המטרה הברורה והמובנת ביותר של ELK Stack היא אחסון והדמיה של יומנים, במאמרי העבר הוצג כיצד ניתן לקבל יומנים ממכשירים שונים באמצעות Logstash. לאחר שהלוגים עוברים אל Elasticsearch, אתה יכול להגדיר לוחות מחוונים, שגם הוזכרו במאמרי העבר, עם המידע והסטטיסטיקה הדרושים לך באמצעות הדמיה.

דוגמאות:

1. לוח המחוונים של אירועי מניעת איומים עם האירועים הקריטיים ביותר. כאן אתה יכול לשקף אילו חתימות IPS זוהו, מהיכן הן מגיעות מבחינה גיאוגרפית.

   

2. לוח מחוונים על השימוש באפליקציות הקריטיות ביותר שעבורן ניתן לדלוף מידע.

   

3. סריקת תוצאות מכל סורק אבטחה.

   

4. יומנים מ-Active Directory לפי משתמשים.

   

5. לוח המחוונים לחיבור VPN.

במקרה זה, אם תגדיר לוחות מחוונים לעדכון כל כמה שניות, תוכל לקבל מערכת נוחה למדי לניטור אירועים בזמן אמת, אשר לאחר מכן תוכל לשמש כדי להגיב לאירועי אבטחת מידע במהירות האפשרית אם תשים דשבורדים על מסך נפרד.

תעדוף לאירועים

בתנאים של תשתית גדולה, מספר האירועים יכול לרדת בקנה מידה, ולמומחים לא יהיה זמן לנתח את כל האירועים בזמן. במקרה זה, יש צורך קודם כל לייחד רק את התקריות שיש בהן איום גדול. לכן, על המערכת לתעדף אירועים לפי חומרתם ביחס לתשתית שלכם. רצוי להגדיר הודעה בדואר או מברקים על אירועים אלו. ניתן ליישם תעדוף באמצעות כלים רגילים של Kibana, על ידי הגדרת הדמיה. אבל עם הודעה זה קשה יותר, כברירת מחדל פונקציונליות זו אינה כלולה בגרסה הבסיסית של Elasticsearch, רק בגרסה בתשלום. לכן, או לקנות גרסה בתשלום, או, שוב, לכתוב תהליך בעצמך שיודיע למומחים בזמן אמת בדואר או מברק.

אוטומציה של תהליכי אבטחת מידע

ואחד החלקים המעניינים ביותר הוא אוטומציה של פעולות לאירועי אבטחת מידע. בעבר, הטמענו את הפונקציונליות הזו עבור Splunk, אתה יכול לקרוא קצת יותר בזה статье. הרעיון הבסיסי הוא שמדיניות ה-IPS לעולם לא נבדקת או מותאמת, למרות שבמקרים מסוימים היא מהווה חלק מהותי מתהליכי אבטחת מידע. כך למשל, שנה לאחר יישום NGFW והיעדר פעולות לייעול IPS, תצברו מספר רב של חתימות בפעולת Detect שלא תיחסם, מה שמפחית מאוד את מצב אבטחת המידע בארגון. הנה כמה דוגמאות למה שניתן לבצע אוטומטיות:

1. החלפת חתימת ה-IPS מ-Detect ל-Prevent. אם Prevent לא עובד על חתימות קריטיות, אז זה לא תקין, ופריצה חמורה במערכת ההגנה. אנו משנים את הפעולה במדיניות לחתימות כאלה. ניתן ליישם פונקציונליות זו אם למכשיר NGFW יש את הפונקציונליות של REST API. זה אפשרי רק אם יש לך כישורי תכנות, אתה צריך לשלוף את המידע הדרוש מ Elastcisearch ולבצע בקשות API לשרת הבקרה של NGFW.
2. אם הרבה חתימות זוהו או נחסמו בתעבורת רשת מכתובת IP אחת, אז הגיוני לחסום כתובת IP זו למשך זמן מה במדיניות חומת האש. ההטמעה מורכבת גם משימוש ב- REST API.
3. הפעל סריקת מארח עם סורק פגיעות אם לארח זה יש מספר רב של חתימות עבור IPS או כלי אבטחה אחרים, אם זה OpenVas, אז אתה יכול לכתוב סקריפט שיתחבר דרך ssh לסורק האבטחה ויפעיל את הסריקה.

TS Total Sight

לסיכום, יישום כל הפונקציונליות הוא משימה גדולה וקשה מאוד. ללא כישורי תכנות, אתה יכול להגדיר את הפונקציונליות המינימלית, שעשויה להספיק לשימוש בפרודוקטיביות. אבל אם אתה מעוניין בכל הפונקציונליות, אתה יכול לשים לב ל-TS Total Sight. תוכל למצוא פרטים נוספים אצלנו מקוון. כתוצאה מכך, כל ערכת העבודה והארכיטקטורה תיראה כך:

מסקנה

בדקנו מה ניתן ליישם באמצעות ELK Stack. במאמרים הבאים נשקול בנפרד ביתר פירוט את הפונקציונליות של TS Total Sight!

אז הישארו מעודכניםמברק, פייסבוק, VK, בלוג פתרונות TS), יאנדקס זן.

מקור: www.habr.com