ELK SIEM Open Distro: ELK და SIEM დაფების ვიზუალიზაცია ELK-ში

ეს პოსტი აღწერს ELK და SIEM დაფების ვიზუალიზაციის დაყენებას ELK-ში
სტატია დაყოფილია შემდეგ განყოფილებებად:

1- ELK SIEM მიმოხილვა
2- ნაგულისხმევი დაფები
3- შექმენით თქვენი პირველი დაფები

ყველა პოსტის სარჩევი.

• შესავალი. ინფრასტრუქტურისა და ტექნოლოგიების დანერგვა SOC როგორც სერვისისთვის (SOCasS)
• ELK stack - ინსტალაცია და კონფიგურაცია
• იარეთ ღია დისტროში
• დაფების და ELK SIEM-ის ვიზუალიზაცია
• WAZUH-თან ინტეგრაცია
• გაფრთხილება
• ანგარიშგება
• საქმისწარმოების

1-ELK SIEM მიმოხილვა

ELK SIEM ახლახან დაემატა ელკის დასტას 7.2 ვერსიაში, 25 წლის 2019 ივნისს.

ეს არის SIEM გადაწყვეტა, რომელიც შექმნილია elastic.co-ს მიერ, რათა უსაფრთხოების ანალიტიკოსის ცხოვრება ბევრად უფრო ადვილი და ნაკლებად დამღლელი იყოს.

სამუშაოს ჩვენს ვერსიაში გადავწყვიტეთ შეგვექმნა ჩვენი საკუთარი SIEM და ავირჩიოთ საკუთარი მართვის პანელი.

მაგრამ ჩვენ ვფიქრობთ, რომ მნიშვნელოვანია ჯერ ELK SIEM-ის შესწავლა.

1.1- მასპინძელი ღონისძიებების განყოფილება

ჯერ მასპინძლის განყოფილებას გადავხედავთ. მასპინძლის განყოფილება საშუალებას მოგცემთ ნახოთ მოვლენები, რომლებიც წარმოიქმნება თავად საბოლოო წერტილში.

ჰოსტების ნახვაზე დაწკაპუნების შემდეგ თქვენ უნდა მიიღოთ მსგავსი რამ. როგორც ხედავთ, ამ კომპიუტერთან დაკავშირებულია სამი ჰოსტი:

1 Windows 10.

2 Ubuntu სერვერი 18.04.

ჩვენ გვაქვს რამდენიმე ვიზუალიზაცია ნაჩვენები, თითოეული წარმოადგენს სხვადასხვა ტიპის მოვლენებს.

მაგალითად, შუაში ნაჩვენებია შესვლის მონაცემები სამივე მანქანაზე.

მონაცემების ეს რაოდენობა, რომელსაც აქ ხედავთ, შეგროვდა ხუთი დღის განმავლობაში. ეს ხსნის წარუმატებელი და წარმატებული შესვლის დიდ რაოდენობას. თქვენ ალბათ გექნებათ მორების მცირე რაოდენობა, ასე რომ არ ინერვიულოთ

1.2- ქსელის მოვლენების განყოფილება

ქსელის განყოფილებაში გადასვლისას, თქვენ უნდა მიიღოთ მსგავსი რამ. ეს განყოფილება საშუალებას მოგცემთ თვალყური ადევნოთ ყველაფერს, რაც ხდება თქვენს ქსელში, HTTP/TLS ტრაფიკიდან დაწყებული DNS ტრაფიკით და გარე მოვლენის გაფრთხილებებით.

2- ნაგულისხმევი დაფები

მომხმარებლებისთვის ცხოვრების გასაადვილებლად, elastic.co-ს დეველოპერებმა შექმნეს ნაგულისხმევი ხელსაწყოთა პანელი, რომელსაც ოფიციალურად აქვს მხარდაჭერა ELK-ის მიერ. ჩვენი ბითები არ იყო გამონაკლისი ამ წესიდან. აქ მე გამოვიყენებ Packetbeat-ის ნაგულისხმევ დაფებს, როგორც მაგალითად.

თუ სწორად დაიცავით სტატიის მეორე ნაბიჯი. თქვენ უნდა გქონდეთ დაყენებული ხელსაწყოების პანელი გელოდებათ. ასე რომ, დავიწყოთ.

Kibana-ს მარცხენა ჩანართიდან აირჩიეთ დაფის სიმბოლო. ეს არის მესამე, თუ ზემოდან ჩავთვლით.

შეიყვანეთ გაზიარების სახელი საძიებო ჩანართში

თუ ბიტში რამდენიმე მოდულია. თითოეული მათგანისთვის შეიქმნება მართვის პანელი. მაგრამ მხოლოდ ის, ვისაც მოდული აქვს აქტიური, აჩვენებს ცარიელ მონაცემებს.

აირჩიეთ ერთი თქვენი მოდულის სახელით.

ეს არის მთავარი შაბლონი PacketBeat.

ეს არის ქსელის ნაკადის მართვის პანელი. ის მოგვითხრობს შემომავალი და გამავალი პაკეტის, IP მისამართების წყაროებისა და დანიშნულების შესახებ და ასევე გვაწვდის უამრავ სასარგებლო ინფორმაციას უსაფრთხოების ცენტრის ანალიტიკოსისთვის.

3 - თქვენი პირველი დაფების შექმნა

3–1- ძირითადი ცნებები

ა- დაფების ტიპები:

ეს არის სხვადასხვა ტიპის ვიზუალიზაცია, რომელიც შეგიძლიათ გამოიყენოთ თქვენი მონაცემების ვიზუალიზაციისთვის.

მაგალითად გვაქვს:

• ზოლის გრაფიკი
• რუკა
• მარკდაუნის ვიჯეტი
• ტორტი სქემა

B- KQL (Kibana შეკითხვის ენა):

ეს არის ენა, რომელიც გამოიყენება Kibana-ში მონაცემთა მარტივი მოსაძიებლად. ის საშუალებას გაძლევთ შეამოწმოთ არის თუ არა გარკვეული მონაცემები და ბევრი სხვა სასარგებლო ფუნქცია. მეტი ინფორმაციისთვის შეგიძლიათ გაეცნოთ ინფორმაციას ამ ბმულზე

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

ეს არის მოთხოვნის მაგალითი, რომ იპოვოთ მასპინძელი, რომელიც მუშაობს Windows 10 Pro-ზე.

C- ფილტრები:

ეს ფუნქცია საშუალებას მოგცემთ გაფილტროთ გარკვეული პარამეტრები, როგორიცაა ჰოსტის სახელი, მოვლენის კოდი ან ID და ა.შ. ფილტრები მნიშვნელოვნად გააუმჯობესებს გამოძიების ფაზას მტკიცებულებების ძიებაში დახარჯული დროისა და ძალისხმევის თვალსაზრისით.

D- პირველი ვიზუალიზაცია:

მოდით შევქმნათ ვიზუალიზაცია MITER ATT & CK-ისთვის.

ჯერ უნდა წავიდეთ დაფა → შექმენით ახალი დაფა → შექმენით ახალი → Pie დაფა

დააყენეთ ინდექსის ნიმუშის ტიპი, შემდეგ შეეხეთ თქვენი ბიტის სახელს.

დააჭირეთ Enter. ამ დროისთვის თქვენ უნდა ნახოთ მწვანე დონატი.

თაიგულების ჩანართში მარცხნივ იპოვით:

— გაყოფილი ნაჭრები დონატს დაყოფს სხვადასხვა ნაწილად, მონაცემების გავრცელების მიხედვით.

- Split Chart შექმნის კიდევ ერთ დონატს ამის გვერდით.

ჩვენ გამოვიყენებთ გაყოფილი ნაჭრებს.

ჩვენ ვიზუალიზაციას ვახდენთ ჩვენი მონაცემების მიხედვით, ჩვენ მიერ არჩეული ტერმინის მიხედვით. ამ შემთხვევაში ტერმინი ეხება MITER ATT & CK.

Winlogbeat-ში ველი, რომელიც მოგვაწვდის ამ ინფორმაციას, ეწოდება:

winlog.event_data.RuleName

ჩვენ დავაყენებთ დათვლის მეტრიკას, რათა მოხდეს მოვლენების შეკვეთა მათი გატარების რაოდენობის მიხედვით.

ჩართეთ ფუნქცია "სხვა მნიშვნელობების დაჯგუფება ცალკე სეგმენტში".

ეს სასარგებლო იქნება, თუ თქვენს მიერ არჩეულ ტერმინებს აქვთ მრავალი განსხვავებული მნიშვნელობა რიტმიდან გამომდინარე. ეს ხელს უწყობს დანარჩენი მონაცემების ვიზუალიზაციას მთლიანობაში. ეს მოგცემთ წარმოდგენას დარჩენილი მოვლენების პროცენტულ მაჩვენებელზე.

ახლა, როდესაც დავასრულეთ მონაცემთა ჩანართის დაყენება, მოდით გადავიდეთ პარამეტრების ჩანართზე

თქვენ უნდა გააკეთოთ შემდეგი:

** ამოიღეთ დონატის ფორმა, რათა გამოსახულებაში გამოჩნდეს სრული წრე.

** აირჩიეთ თქვენთვის სასურველი ლეგენდის პოზიცია. ამ შემთხვევაში, ჩვენ გამოვაჩენთ მათ მარჯვნივ.

** დააყენეთ ჩვენების მნიშვნელობები, რომ აჩვენოთ მათი ფრაგმენტის გვერდით, უფრო ადვილად წასაკითხად და დატოვეთ დანარჩენი ნაგულისხმევად

Truncation განსაზღვრავს, თუ რამდენის ჩვენება გსურთ მოვლენის სახელიდან.

დააყენეთ დრო, როდესაც გსურთ რენდერის დაწყება და შემდეგ დააწკაპუნეთ ლურჯ კვადრატზე.

თქვენ უნდა დაასრულოთ ასეთი რამ:

თქვენ ასევე შეგიძლიათ დაამატოთ ფილტრი თქვენს ვიზუალიზაციას, რათა გაფილტროთ კონკრეტული ჰოსტი, რომლის შემოწმებაც გსურთ ან ნებისმიერი პარამეტრი, რომელიც თქვენი მიზნისთვის სასარგებლოა. ვიზუალიზაცია აჩვენებს მხოლოდ მონაცემებს, რომლებიც ემთხვევა ფილტრში მოთავსებულ წესს. ამ შემთხვევაში, ჩვენ გამოვაჩენთ მხოლოდ MITER ATT&CK მონაცემებს, რომლებიც მომდინარეობს ჰოსტიდან, სახელად win10.

3-2- თქვენი პირველი დაფის შექმნა:

დაფა არის მრავალი ვიზუალიზაციის კოლექცია. თქვენი დაფები უნდა იყოს მკაფიო, გასაგები და შეიცავდეს სასარგებლო, განმსაზღვრელ მონაცემებს. აქ მოცემულია დაფების მაგალითი, რომელიც ჩვენ შევქმენით ნულიდან winlogbeat-ისთვის.

Გმადლობთ, რომ დრო დაგვითმეთ. იმედი მაქვს, რომ ეს სტატია თქვენთვის სასარგებლო აღმოჩნდა. თუ გსურთ მეტი ინფორმაცია თემაზე, გირჩევთ ეწვიოთ ოფიციალური ვებგვერდი.

Telegram ჩატი Elasticsearch-ზე: https://t.me/elasticsearch_ru

წყარო: www.habr.com