როგორ ეხმარება ELK უსაფრთხოების ინჟინრებს ვებსაიტების შეტევებთან ბრძოლაში და მშვიდად იძინებენ

ჩვენი კიბერ თავდაცვის ცენტრი პასუხისმგებელია კლიენტის ვებ ინფრასტრუქტურის უსაფრთხოებაზე და აცილებს თავდასხმებს კლიენტის საიტებზე. თავდასხმებისგან დასაცავად, ჩვენ ვიყენებთ FortiWeb Web Application Firewall-ებს (WAF). მაგრამ ყველაზე მაგარი WAF-იც კი არ არის პანაცეა და არ იცავს "გარემოდან" მიზანმიმართული თავდასხმებისგან. 

ამიტომ, WAF-ის გარდა, ვიყენებთ ELK. ის გვეხმარება ყველა მოვლენის ერთ ადგილზე შეგროვებაში, სტატისტიკის დაგროვებას, მის ვიზუალიზაციას და საშუალებას გვაძლევს დროულად დავინახოთ მიზანმიმართული თავდასხმა.

დღეს უფრო დეტალურად გეტყვით, როგორ გადავკვეთეთ ნაძვის ხე WAF-ით და რა გამოვიდა.

ერთი თავდასხმის ამბავი: როგორ მუშაობდა ყველაფერი ELK-ზე გადასვლამდე

ჩვენს ღრუბელში მომხმარებელმა განათავსა აპლიკაცია ჩვენი WAF-ის უკან. საიტზე 10-დან 000-მდე მომხმარებლამდე უერთდებოდა დღეში, კავშირების რაოდენობამ დღეში 100 მილიონს მიაღწია. აქედან 000-20 მომხმარებელი იყო შემოჭრილი და ცდილობდა საიტის გატეხვას. 

ერთი IP მისამართიდან უხეში ძალის ჩვეულებრივი ფორმა დაბლოკა FortiWeb-მა საკმაოდ მარტივად. საიტზე დახვედრების რაოდენობა წუთში უფრო მაღალი იყო, ვიდრე ლეგიტიმური მომხმარებლების. ჩვენ უბრალოდ დავაყენეთ აქტივობის ზღვრები ერთი მისამართიდან და მოვიგერიეთ შეტევა.

გაცილებით რთულია „ნელი თავდასხმებთან“ გამკლავება, როდესაც თავდამსხმელები ნელა მოქმედებენ და თავს იცვამენ ჩვეულებრივ კლიენტებად. ისინი იყენებენ ბევრ უნიკალურ IP მისამართს. ასეთი აქტივობა WAF-ს არ ჰგავდა მასიური უხეში ძალის, უფრო რთული იყო მისი ავტომატურად თვალყურის დევნება. ასევე არსებობდა ნორმალური მომხმარებლების დაბლოკვის რისკი. ჩვენ მოვძებნეთ თავდასხმის სხვა ნიშნები და დავაყენეთ პოლიტიკა IP მისამართების ავტომატურად დაბლოკვისთვის ამ ნიშნის საფუძველზე. მაგალითად, ბევრ არალეგიტიმურ სესიას ჰქონდა საერთო ველები http მოთხოვნის სათაურებში. ხშირად გიწევდათ ასეთი ველების ხელით მოძიება FortiWeb-ის ღონისძიებების ჟურნალებში. 

გრძელი და არასასიამოვნო გახდა. FortiWeb-ის სტანდარტულ ფუნქციონირებაში მოვლენები ტექსტში ჩაიწერება 3 სხვადასხვა ჟურნალში: აღმოჩენილი თავდასხმები, ინფორმაცია მოთხოვნის შესახებ და სისტემის შეტყობინებები WAF-ის მუშაობის შესახებ. ათობით ან თუნდაც ასობით თავდასხმის მოვლენა შეიძლება მოხდეს წუთში.

არც ისე ბევრი, მაგრამ ხელით უნდა გადახვიდეთ რამდენიმე ჟურნალში და გაიმეოროთ მრავალი ხაზი: 

თავდასხმის ჟურნალში ჩვენ ვხედავთ მომხმარებლის მისამართებს და აქტივობის ბუნებას. 
 
საკმარისი არ არის მხოლოდ ჟურნალის ცხრილის სკანირება. თავდასხმის ხასიათის შესახებ ყველაზე საინტერესო და გამოსადეგი რომ იპოვოთ, თქვენ უნდა გადახედოთ კონკრეტულ მოვლენას:

მონიშნული ველები ხელს უწყობს „ნელი შეტევის“ აღმოჩენას. წყარო: ეკრანის სურათი ფორტინეტის საიტი. 

მთავარი პრობლემა ისაა, რომ მხოლოდ FortiWeb-ის სპეციალისტს შეუძლია ამის გარკვევა. თუ სამუშაო საათებში მაინც შეგვეძლო რეალურ დროში თვალყური ადევნოთ საეჭვო აქტივობას, მაშინ ღამის ინციდენტების გამოძიება შეიძლება გადაიდოს. როდესაც FortiWeb-ის პოლიტიკა რაიმე მიზეზით არ მუშაობდა, ღამის ცვლის მორიგე ინჟინრებმა ვერ შეაფასეს სიტუაცია WAF-ზე წვდომის გარეშე და გააღვიძეს FortiWeb-ის სპეციალისტი. რამდენიმე საათის განმავლობაში დავხედეთ ჟურნალებს და აღმოვაჩინეთ თავდასხმის მომენტი. 

ასეთი მოცულობის ინფორმაციით, რთულია ერთი შეხედვით დიდი სურათის გაგება და პროაქტიულად მოქმედება. შემდეგ გადავწყვიტეთ შეგვეგროვებინა მონაცემები ერთ ადგილას, რათა ყველაფერი ვიზუალური სახით გაგვეანალიზებინა, შეტევის დასაწყისი აღმოვაჩინოთ, მისი მიმართულება და დაბლოკვის მეთოდი დავადგინოთ. 

რაც აირჩიეს

უპირველეს ყოვლისა, ჩვენ გადავხედეთ უკვე გამოყენებულ გადაწყვეტილებებს, რათა არ გავამრავლოთ ერთეულები ზედმეტად.

ერთ-ერთი პირველი ვარიანტი იყო Nagiosრომელსაც ვიყენებთ მონიტორინგისთვის საინჟინრო ინფრასტრუქტურა, ქსელის ინფრასტრუქტურა, საგანგებო გაფრთხილებები. დაცვის თანამშრომლები მას საეჭვო მოძრაობის შემთხვევაში აცნობებენ დამსწრეებსაც, მაგრამ მან არ იცის როგორ შეაგროვოს გაფანტული მორები და ამიტომ ქრება. 

იყო ყველაფრის გაერთიანების ვარიანტი MySQL და PostgreSQL ან სხვა რელაციური მონაცემთა ბაზა. მაგრამ მონაცემების ამოსაღებად, საჭირო იყო თქვენი განაცხადის გამოძერწვა. 

როგორც ჟურნალის შემგროვებელი ჩვენს კომპანიაში, ისინი ასევე იყენებენ FortiAnalyzer Fortinet-დან. მაგრამ ამ შემთხვევაში ის ასევე არ ჯდებოდა. უპირველეს ყოვლისა, უფრო გამძაფრებულია Firewall-თან მუშაობა FortiGate. მეორეც, ბევრი პარამეტრი აკლია და მასთან ურთიერთქმედება მოითხოვდა SQL მოთხოვნების შესანიშნავ ცოდნას. და მესამე, მისი გამოყენება გაზრდიდა მომხმარებლისთვის მომსახურების ღირებულებას.   

ასე მივედით ღია წყარომდე ELK. 

რატომ აირჩიეთ ELK 

ELK არის ღია კოდის პროგრამების ნაკრები:

• ელასტიური ძებნა - დროის სერიების მონაცემთა ბაზა, რომელიც ახლახან შეიქმნა დიდი მოცულობის ტექსტთან მუშაობისთვის;
• ლოგსტაში – მონაცემთა შეგროვების მექანიზმი, რომელსაც შეუძლია ჟურნალების გადაყვანა სასურველ ფორმატში; 
• კიბანა - კარგი ვიზუალიზატორი, ასევე საკმაოდ მეგობრული ინტერფეისი Elasticsearch-ის მართვისთვის. თქვენ შეგიძლიათ გამოიყენოთ ის გრაფიკების შესაქმნელად, რომელთა მონიტორინგიც შესაძლებელია ღამით მორიგე ინჟინრების მიერ. 

ELK-სთვის შესვლის ბარიერი დაბალია. ყველა ძირითადი ფუნქცია უფასოა. კიდევ რა არის საჭირო ბედნიერებისთვის.

როგორ მოათავსეთ ეს ყველაფერი ერთ სისტემაში?

შექმენით ინდექსები და დატოვეთ მხოლოდ საჭირო ინფორმაცია. ჩვენ ჩავტვირთეთ FortiWEB-ის სამივე ჟურნალი ELK-ში - გამომავალი იყო ინდექსები. ეს არის ფაილები ყველა შეგროვებული ჟურნალით გარკვეული პერიოდის განმავლობაში, მაგალითად, დღეში. თუ მათ დაუყოვნებლივ ვიზუალურად წარმოვიდგენდით, მხოლოდ შეტევების დინამიკას დავინახავდით. დეტალებისთვის, თქვენ უნდა "გადავარდეთ" თითოეულ თავდასხმაში და გადახედოთ კონკრეტულ ველებს.

ჩვენ მივხვდით, რომ ჯერ უნდა დავაყენოთ არასტრუქტურირებული ინფორმაციის ანალიზი. ჩვენ ავიღეთ გრძელი ველები, როგორც სტრიქონები, როგორიცაა "მესიჯი" და "URL" და გავაანალიზეთ ისინი გადაწყვეტილების მიღებისთვის მეტი ინფორმაციის მისაღებად. 

მაგალითად, პარსინგის გამოყენებით, ჩვენ ცალკე ამოვიღეთ მომხმარებლის მდებარეობა. ეს დაეხმარა მყისიერად გამოეჩინა უცხოეთიდან შემოსული თავდასხმები საიტებზე რუსი მომხმარებლებისთვის. სხვა ქვეყნებიდან ყველა კავშირის დაბლოკვით, ჩვენ 2-ჯერ შევამცირეთ თავდასხმების რაოდენობა და ადვილად გავუმკლავდით თავდასხმებს რუსეთის შიგნით. 

ანალიზის შემდეგ მათ დაიწყეს მოძიება, თუ რა ინფორმაციის შესანახი და ვიზუალიზაცია. ჟურნალში ყველაფრის დატოვება შეუსაბამო იყო: ერთი ინდექსის ზომა იყო დიდი - 7 GB. ELK-ს დიდი დრო დასჭირდა ფაილის დამუშავებას. თუმცა, ყველა ინფორმაცია არ იყო სასარგებლო. რაღაც გაორმაგდა და დაიკავა დამატებითი სივრცე - საჭირო იყო ოპტიმიზაცია. 

თავდაპირველად, ჩვენ უბრალოდ გადავხედეთ ინდექსს და წავშალეთ არასაჭირო მოვლენები. ეს კიდევ უფრო მოუხერხებელი და უფრო გრძელი აღმოჩნდა, ვიდრე თავად FortiWeb-ზე ჟურნალებთან მუშაობა. „ნაძვის ხისგან“ ამ ეტაპზე ერთადერთი პლიუსი ის არის, რომ ერთ ეკრანზე დროის დიდი პერიოდის ვიზუალიზაცია შევძელით. 

სასოწარკვეთილება არ გვქონია, გავაგრძელეთ კაქტუსის ჭამა და ELK-ის შესწავლა და გვჯეროდა, რომ შევძლებდით საჭირო ინფორმაციის ამოღებას. ინდექსების გაწმენდის შემდეგ დავიწყეთ იმის ვიზუალიზაცია, რაც არის. ასე მივედით დიდ დაფებთან. ჩვენ შევძელით ვიჯეტები - ვიზუალურად და ელეგანტურად, ნამდვილი ЁLKa! 

თავდასხმის მომენტი აღბეჭდილია. ახლა საჭირო იყო იმის გაგება, თუ როგორ გამოიყურება შეტევის დასაწყისი სქემაზე. მის აღმოსაჩენად, ჩვენ გადავხედეთ სერვერის პასუხებს მომხმარებლისადმი (დაბრუნების კოდები). ჩვენ გვაინტერესებდა სერვერის პასუხები ასეთი კოდებით (rc): 

კოდი (rc)

სახელი

აღწერა

0

ვარდნა

სერვერზე მოთხოვნა დაბლოკილია

200

Ok

მოთხოვნა წარმატებით დამუშავდა

400

ცუდი მოთხოვნა

Არასწორი მოთხოვნა

403

აკრძალული

ავტორიზაცია უარყოფილია

500

შინაგან შეცდომა სერვერზე

სერვისი მიუწვდომელია

თუ ვინმემ დაიწყო საიტის შეტევა, კოდების თანაფარდობა შეიცვალა: 

• თუ იყო მეტი მცდარი მოთხოვნა 400 კოდით და იგივე რაოდენობის ნორმალური მოთხოვნა 200 კოდით, მაშინ ვიღაც ცდილობდა საიტის გატეხვას. 
• თუ ამავდროულად, 0 კოდით მოთხოვნებიც გაიზარდა, მაშინ FortiWeb-ის პოლიტიკოსებმაც „ნახეს“ შეტევა და მასზე ბლოკები გამოიყენეს. 
• თუ 500 კოდით შეტყობინებების რაოდენობა გაიზარდა, მაშინ საიტი არ არის ხელმისაწვდომი ამ IP მისამართებისთვის - ასევე ერთგვარი დაბლოკვა. 

მესამე თვისთვის ჩვენ დავაყენეთ საინფორმაციო დაფა ამ აქტივობის თვალყურის დევნებისთვის.

იმისათვის, რომ ყველაფერი ხელით არ გავაკონტროლოთ, ჩვენ შევქმენით ინტეგრაცია Nagios-თან, რომელიც გამოკითხავდა ELK-ს გარკვეული ინტერვალებით. თუ ის აღრიცხავდა ზღვრული მნიშვნელობების მიღწევას კოდებით, მორიგეებს უგზავნიდა შეტყობინებას საეჭვო მოქმედების შესახებ. 

მონიტორინგის სისტემაში გაერთიანებულია 4 სქემა. ახლა მნიშვნელოვანი იყო გრაფიკებზე დანახვა მომენტი, როდესაც შეტევა არ იბლოკება და ინჟინრის ჩარევაა საჭირო. 4 სხვადასხვა გრაფიკზე ჩვენი თვალი დაბინდული იყო. ამიტომ, ჩვენ გავაერთიანეთ სქემები და დავიწყეთ ყველაფრის დაკვირვება ერთ ეკრანზე.

მონიტორინგზე ჩვენ ვუყურეთ, თუ როგორ იცვლება სხვადასხვა ფერის გრაფიკები. წითელი ფერის აფეთქება მიუთითებდა, რომ შეტევა დაიწყო, ხოლო ნარინჯისფერი და ლურჯი გრაფიკები აჩვენებდნენ FortiWeb-ის რეაქციას:

აქ ყველაფერი კარგადაა: იყო "წითელი" აქტივობის მატება, მაგრამ FortiWeb-მა გაართვა თავი და შეტევის განრიგი ჩაიშალა.

ჩვენ ასევე დავხატეთ გრაფიკის მაგალითი, რომელიც მოითხოვს ჩარევას:

აქ ჩვენ ვხედავთ, რომ FortiWeb-მა გაზარდა აქტივობა, მაგრამ წითელი შეტევის გრაფიკი არ შემცირებულა. თქვენ უნდა შეცვალოთ WAF პარამეტრები.

ღამის ინციდენტების გამოძიებაც გაადვილდა. გრაფიკი დაუყოვნებლივ აჩვენებს მომენტს, როდესაც დროა მივიდეთ საიტის დაცვაზე. 

ასე ხდება ხოლმე ღამით. წითელი გრაფიკი - შეტევა დაიწყო. ლურჯი - FortiWeb აქტივობა. შეტევა მთლიანად არ იყო დაბლოკილი, ჩარევა მოგვიწია.

Სად მივდივართ

ახლა ჩვენ ვამზადებთ მორიგე ადმინისტრატორებს ELK-თან მუშაობისთვის. დამსწრეები სწავლობენ დაფაზე სიტუაციის შეფასებას და გადაწყვეტილების მიღებას: დროა გადახვიდეთ FortiWeb-ის სპეციალისტთან, ან WAF-ის პოლიტიკა საკმარისი იქნება თავდასხმის ავტომატურად მოსაგერიებლად. ასე რომ, ჩვენ ვამცირებთ დატვირთვას ინფორმაციული უსაფრთხოების ინჟინრებზე ღამით და ვყოფთ როლებს სისტემის დონეზე. FortiWeb-ზე წვდომა რჩება მხოლოდ კიბერ თავდაცვის ცენტრთან და მხოლოდ ისინი ახორციელებენ ცვლილებებს WAF პარამეტრებში გადაუდებელი აუცილებლობის შემთხვევაში.

ჩვენ ასევე ვმუშაობთ მომხმარებლისთვის მოხსენებაზე. ჩვენ ვგეგმავთ, რომ მონაცემები WAF-ის მუშაობის დინამიკის შესახებ ხელმისაწვდომი იქნება კლიენტის პირად ანგარიშზე. ELK უფრო ნათელს გახდის სიტუაციას WAF-ის მიმართვის საჭიროების გარეშე.

თუ მომხმარებელს სურს რეალურ დროში საკუთარი დაცვის მონიტორინგი, ELK ასევე გამოდგება. ჩვენ არ შეგვიძლია მივცეთ წვდომა WAF-ზე, რადგან მომხმარებლის ჩარევამ სამუშაოში შეიძლება გავლენა მოახდინოს დანარჩენზე. მაგრამ თქვენ შეგიძლიათ აიღოთ ცალკე ELK და მისცეთ მას "თამაში". 

ეს არის ნაძვის ხის გამოყენების სცენარები, რომლებიც ამ ბოლო დროს დაგვიგროვდა. გაგვიზიარეთ თქვენი აზრი ამის შესახებ და არ დაგავიწყდეთ ყველაფერი სწორად დააყენეთმონაცემთა ბაზის გაჟონვის თავიდან ასაცილებლად. 

წყარო: www.habr.com