3. ជង់ Elastic: ការវិភាគនៃកំណត់ហេតុសុវត្ថិភាព។ ផ្ទាំងគ្រប់គ្រង

នៅក្នុងអត្ថបទមុន យើងបានស្គាល់តិចតួចជាមួយ elk stack និងរៀបចំឯកសារកំណត់រចនាសម្ព័ន្ធ Logstash សម្រាប់កម្មវិធីញែកកំណត់ហេតុ។ នៅក្នុងអត្ថបទនេះ យើងនឹងបន្តទៅរឿងសំខាន់បំផុត តាមទស្សនៈវិភាគ អ្វីដែលអ្នកចង់ឃើញពី ប្រព័ន្ធ និងអ្វីដែលអ្វីៗត្រូវបានបង្កើតឡើងសម្រាប់ - ទាំងនេះគឺជាក្រាហ្វ និងតារាងរួមបញ្ចូលគ្នាទៅក្នុង ផ្ទាំងគ្រប់គ្រង. ថ្ងៃនេះយើងនឹងពិនិត្យមើលឱ្យកាន់តែច្បាស់អំពីប្រព័ន្ធមើលឃើញ Kibanaយើងនឹងមើលពីរបៀបបង្កើតក្រាហ្វ និងតារាង ហើយជាលទ្ធផល យើងនឹងបង្កើតផ្ទាំងគ្រប់គ្រងដ៏សាមញ្ញមួយដោយផ្អែកលើកំណត់ហេតុពីជញ្ជាំងភ្លើង Check Point ។

ជំហានដំបូងក្នុងការធ្វើការជាមួយ kibana គឺដើម្បីបង្កើត លំនាំសន្ទស្សន៍ឡូជីខល នេះគឺជាមូលដ្ឋាននៃលិបិក្រមដែលរួបរួមគ្នាតាមគោលការណ៍ជាក់លាក់មួយ។ ជាការពិតណាស់ នេះគ្រាន់តែជាការកំណត់ដើម្បីធ្វើឱ្យ Kibana កាន់តែងាយស្រួលស្វែងរកព័ត៌មាននៅគ្រប់សន្ទស្សន៍ទាំងអស់ក្នុងពេលតែមួយ។ វា​ត្រូវ​បាន​កំណត់​ដោយ​ការ​ផ្គូផ្គង​ខ្សែ​មួយ​និយាយ​ថា “checkpoint-*” និង​ឈ្មោះ​សន្ទស្សន៍។ ឧទាហរណ៍ "ចំណុចត្រួតពិនិត្យ-2019.12.05" នឹងសមនឹងលំនាំ ប៉ុន្តែជាធម្មតា "ចំណុចត្រួតពិនិត្យ" មិនមានទៀតទេ។ វាគឺមានតំលៃនិយាយដាច់ដោយឡែកថានៅក្នុងការស្វែងរកវាមិនអាចទៅរួចទេក្នុងការស្វែងរកព័ត៌មានអំពីគំរូលិបិក្រមផ្សេងៗគ្នាក្នុងពេលតែមួយ។ បន្តិចក្រោយមកនៅក្នុងអត្ថបទជាបន្តបន្ទាប់យើងនឹងឃើញថាសំណើ API ត្រូវបានធ្វើឡើងដោយឈ្មោះនៃលិបិក្រមឬដោយតែមួយ។ បន្ទាត់នៃលំនាំ, រូបភាពគឺអាចចុចបាន:

បន្ទាប់ពីនេះ យើងពិនិត្យមើលនៅក្នុងម៉ឺនុយ Discover ដែលកំណត់ហេតុទាំងអស់ត្រូវបានធ្វើលិបិក្រម ហើយឧបករណ៍ញែកត្រឹមត្រូវត្រូវបានកំណត់រចនាសម្ព័ន្ធ។ ប្រសិនបើភាពមិនស៊ីសង្វាក់គ្នាណាមួយត្រូវបានរកឃើញ ឧទាហរណ៍ ការផ្លាស់ប្តូរប្រភេទទិន្នន័យពីខ្សែអក្សរទៅជាចំនួនគត់ អ្នកត្រូវកែសម្រួលឯកសារកំណត់រចនាសម្ព័ន្ធ Logstash ជាលទ្ធផល កំណត់ហេតុថ្មីនឹងត្រូវបានសរសេរយ៉ាងត្រឹមត្រូវ។ ដើម្បីឱ្យកំណត់ហេតុចាស់យកទម្រង់ដែលចង់បានមុនពេលមានការផ្លាស់ប្តូរ មានតែដំណើរការធ្វើលិបិក្រមឡើងវិញប៉ុណ្ណោះដែលអាចជួយបាន។ នៅក្នុងអត្ថបទបន្តបន្ទាប់ទៀតប្រតិបត្តិការនេះនឹងត្រូវបានពិភាក្សាលម្អិតបន្ថែមទៀត។ តោះ​មើល​ថា​គ្រប់​យ៉ាង​គឺ​តាម​លំដាប់​រូបភាព​អាច​ចុច​បាន៖

កំណត់ហេតុគឺនៅនឹងកន្លែង ដែលមានន័យថាយើងអាចចាប់ផ្តើមបង្កើតផ្ទាំងគ្រប់គ្រង។ ដោយផ្អែកលើការវិភាគនៃផ្ទាំងគ្រប់គ្រងពីផលិតផលសុវត្ថិភាព អ្នកអាចយល់ពីស្ថានភាពសុវត្ថិភាពព័ត៌មាននៅក្នុងអង្គភាព មើលឃើញយ៉ាងច្បាស់នូវភាពងាយរងគ្រោះនៅក្នុងគោលការណ៍បច្ចុប្បន្ន និងបង្កើតវិធីជាបន្តបន្ទាប់ដើម្បីលុបបំបាត់ពួកគេ។ តោះបង្កើតផ្ទាំងគ្រប់គ្រងតូចមួយដោយប្រើឧបករណ៍មើលឃើញជាច្រើន។ ផ្ទាំងគ្រប់គ្រងនឹងមាន 5 ធាតុផ្សំ៖

1. តារាងសម្រាប់គណនាចំនួនសរុបនៃកំណត់ហេតុដោយ blades
2. តារាងនៅលើហត្ថលេខា IPS សំខាន់ៗ
3. តារាងចំណិតសម្រាប់ព្រឹត្តិការណ៍ការពារការគំរាមកំហែង
4. តារាងនៃគេហទំព័រដែលបានចូលមើលពេញនិយមបំផុត។
5. តារាងស្តីពីការប្រើប្រាស់កម្មវិធីគ្រោះថ្នាក់បំផុត។

ដើម្បីបង្កើតរូបភាពដែលមើលឃើញ អ្នកត្រូវចូលទៅកាន់ម៉ឺនុយ មើលឃើញហើយជ្រើសរើសតួលេខដែលយើងចង់បង្កើត! តោះទៅតាមលំដាប់។

តារាងសម្រាប់គណនាចំនួនសរុបនៃកំណត់ហេតុដោយ blade

ដើម្បីធ្វើដូចនេះជ្រើសរើសតួលេខ តារាងទិន្នន័យយើងធ្លាក់ចូលទៅក្នុងឧបករណ៍សម្រាប់បង្កើតក្រាហ្វ នៅខាងឆ្វេងគឺជាការកំណត់របស់តួលេខ នៅខាងស្តាំគឺជារបៀបដែលវានឹងមើលទៅក្នុងការកំណត់បច្ចុប្បន្ន។ ដំបូង ខ្ញុំ​នឹង​បង្ហាញ​ពី​អ្វី​ដែល​តារាង​ដែល​បាន​បញ្ចប់​នឹង​មាន​រូបរាង បន្ទាប់​ពី​នោះ​យើង​នឹង​ចូល​ទៅ​តាម​ការ​កំណត់ រូបភាព​អាច​ចុច​បាន៖

ការកំណត់លម្អិតបន្ថែមទៀតនៃរូបភាពអាចចុចបាន៖

តោះមើលការកំណត់។

កំណត់រចនាសម្ព័ន្ធដំបូង ម៉ែត្រនេះគឺជាតម្លៃដែលវាលទាំងអស់នឹងត្រូវបានប្រមូលផ្តុំ។ ម៉ែត្រត្រូវបានគណនាដោយផ្អែកលើតម្លៃដែលបានស្រង់ចេញតាមមធ្យោបាយមួយឬផ្សេងទៀតពីឯកសារ។ តម្លៃជាធម្មតាត្រូវបានស្រង់ចេញពី នៃវាល ឯកសារ ប៉ុន្តែក៏អាចបង្កើតដោយប្រើស្គ្រីបផងដែរ។ ក្នុងករណីនេះយើងដាក់ សរុប៖ រាប់ (ចំនួនសរុបនៃកំណត់ហេតុ) ។

បន្ទាប់ពីនេះយើងបែងចែកតារាងទៅជាផ្នែក (វាល) ដែលម៉ែត្រនឹងត្រូវបានគណនា។ មុខងារនេះត្រូវបានអនុវត្តដោយការកំណត់ Buckets ដែលនៅក្នុងវេនមានជម្រើសការកំណត់ចំនួន 2៖

1. បំបែក​ជួរ​ដេក - បន្ថែម​ជួរ​ឈរ និង​បន្ទាប់​មក​ចែក​តារាង​ជា​ជួរ​ដេក
2. តារាងបំបែក - ការបែងចែកទៅជាតារាងជាច្រើនដោយផ្អែកលើតម្លៃនៃវាលជាក់លាក់មួយ។

В ធុង អ្នកអាចបន្ថែមផ្នែកជាច្រើនដើម្បីបង្កើតជួរឈរ ឬតារាងជាច្រើន ការរឹតបន្តឹងនៅទីនេះគឺសមហេតុផលជាង។ នៅក្នុងការប្រមូលផ្តុំ អ្នកអាចជ្រើសរើសវិធីណាដែលនឹងត្រូវប្រើដើម្បីបែងចែកជាផ្នែក៖ ជួរ ipv4 ជួរកាលបរិច្ឆេទ លក្ខខណ្ឌ។ល។ ជម្រើសគួរឱ្យចាប់អារម្មណ៍បំផុតគឺជាក់លាក់ លក្ខខណ្ឌ и លក្ខខណ្ឌសំខាន់ៗការបែងចែកជាផ្នែកត្រូវបានអនុវត្តទៅតាមតម្លៃនៃវាលលិបិក្រមជាក់លាក់ ភាពខុសគ្នារវាងពួកវាស្ថិតនៅក្នុងចំនួននៃតម្លៃដែលបានត្រឡប់មកវិញ និងការបង្ហាញរបស់ពួកគេ។ ដោយសារយើងចង់បែងចែកតារាងតាមឈ្មោះរបស់ blades យើងជ្រើសរើសវាល - product. ពាក្យគន្លឹះ ហើយកំណត់ទំហំទៅ 25 តម្លៃដែលបានត្រឡប់មកវិញ។

ជំនួសឱ្យខ្សែអក្សរ elasticsearch ប្រើ 2 ប្រភេទទិន្នន័យ - អត្ថបទ и ពាក្យគន្លឹះ. ប្រសិនបើអ្នកចង់ធ្វើការស្វែងរកអត្ថបទពេញ អ្នកគួរតែប្រើប្រភេទអត្ថបទ ដែលជារឿងងាយស្រួលបំផុតនៅពេលសរសេរសេវាកម្មស្វែងរករបស់អ្នក ឧទាហរណ៍ រកមើលការលើកឡើងនៃពាក្យនៅក្នុងតម្លៃវាលជាក់លាក់មួយ (អត្ថបទ)។ ប្រសិនបើអ្នកគ្រាន់តែចង់បានការផ្គូផ្គងពិតប្រាកដ អ្នកគួរតែប្រើប្រភេទពាក្យគន្លឹះ។ ដូចគ្នានេះផងដែរ ប្រភេទទិន្នន័យពាក្យគន្លឹះគួរតែត្រូវបានប្រើសម្រាប់វាលដែលត្រូវការការតម្រៀប ឬការប្រមូលផ្តុំ ពោលគឺក្នុងករណីរបស់យើង។

ជាលទ្ធផល Elasticsearch រាប់ចំនួនកំណត់ហេតុសម្រាប់ពេលវេលាជាក់លាក់មួយ សរុបដោយតម្លៃនៅក្នុងវាលផលិតផល។ នៅក្នុង Custom Label យើងកំណត់ឈ្មោះជួរឈរដែលនឹងត្រូវបានបង្ហាញក្នុងតារាង កំណត់ពេលវេលាដែលយើងប្រមូលកំណត់ហេតុ ចាប់ផ្តើមបង្ហាញ - Kibana ផ្ញើសំណើទៅកាន់ elasticsearch រង់ចាំការឆ្លើយតប ហើយបន្ទាប់មកមើលឃើញទិន្នន័យដែលទទួលបាន។ តុរួចរាល់ហើយ!

តារាងចំណិតសម្រាប់ព្រឹត្តិការណ៍ការពារការគំរាមកំហែង

ការចាប់អារម្មណ៍ជាពិសេសគឺព័ត៌មានអំពីចំនួនប្រតិកម្មដែលមានគិតជាភាគរយ រកឃើញ и ការពារ អំពីឧប្បត្តិហេតុសន្តិសុខព័ត៌មាននៅក្នុងគោលនយោបាយសន្តិសុខបច្ចុប្បន្ន។ គំនូសតាងចំណិតដំណើរការល្អសម្រាប់ស្ថានភាពនេះ។ ជ្រើសរើសក្នុង Visualize - គំនូសតាងចំណិត. ផងដែរនៅក្នុងម៉ែត្រយើងកំណត់ការប្រមូលផ្តុំដោយចំនួនកំណត់ហេតុ។ នៅក្នុងធុងយើងដាក់លក្ខខណ្ឌ => សកម្មភាព។

អ្វីគ្រប់យ៉ាងហាក់ដូចជាត្រឹមត្រូវ ប៉ុន្តែលទ្ធផលបង្ហាញពីតម្លៃសម្រាប់ blades ទាំងអស់ អ្នកត្រូវត្រងតែដោយ blades ទាំងនោះដែលធ្វើការក្នុងក្របខ័ណ្ឌនៃការការពារការគំរាមកំហែង។ ដូច្នេះ យើង​ប្រាកដ​ជា​រៀបចំ​វា​ឡើង ត្រង ដើម្បីស្វែងរកព័ត៌មានតែនៅលើ blades ដែលទទួលខុសត្រូវចំពោះឧប្បត្តិហេតុសុវត្ថិភាពព័ត៌មាន - ផលិតផល៖ (“Anti-Bot” ឬ “New Anti-Virus” ឬ “DDoS Protector” ឬ “SmartDefense” ឬ “Threat Emulation”)។ រូបភាពអាចចុចបាន៖

និងការកំណត់លម្អិតបន្ថែមទៀត រូបភាពអាចចុចបាន៖

តារាងព្រឹត្តិការណ៍ IPS

បន្ទាប់ សារៈសំខាន់ខ្លាំងណាស់ពីចំណុចសុវត្ថិភាពព័ត៌មានគឺការមើល និងពិនិត្យមើលព្រឹត្តិការណ៍នៅលើ blade ។ IPS и ការត្រាប់តាមការគំរាមកំហែង, которые មិនត្រូវបានរារាំង គោលការណ៍បច្ចុប្បន្ន ដើម្បីផ្លាស់ប្តូរហត្ថលេខាជាបន្តបន្ទាប់ដើម្បីការពារ ឬប្រសិនបើចរាចរណ៍មានសុពលភាព សូមកុំពិនិត្យហត្ថលេខា។ យើងបង្កើតតារាងតាមរបៀបដូចគ្នានឹងឧទាហរណ៍ដំបូងដែរ ដោយមានភាពខុសគ្នាតែមួយគត់ដែលយើងបង្កើតជួរឈរជាច្រើន៖ protections.keyword, severity.keyword, product.keyword, originsicname.keyword ។ ត្រូវប្រាកដថារៀបចំតម្រង ដើម្បីស្វែងរកព័ត៌មានតែនៅលើ blades ដែលទទួលខុសត្រូវចំពោះឧប្បត្តិហេតុសុវត្ថិភាពព័ត៌មាន - ផលិតផល៖ ("SmartDefense" ឬ "Threat Emulation")។ រូបភាពអាចចុចបាន៖

ការកំណត់លម្អិតបន្ថែមទៀត រូបភាពអាចចុចបាន៖

គំនូសតាងសម្រាប់គេហទំព័រដែលបានចូលមើលពេញនិយមបំផុត។

ដើម្បីធ្វើដូចនេះបង្កើតតួលេខ - របារបញ្ឈរ. យើងក៏ប្រើការរាប់ (អ័ក្ស Y) ជាម៉ែត្រ ហើយនៅលើអ័ក្ស X យើងនឹងប្រើឈ្មោះគេហទំព័រដែលបានចូលមើលជាតម្លៃ – “appi_name” ។ មានល្បិចតិចតួចនៅទីនេះ៖ ប្រសិនបើអ្នកដំណើរការការកំណត់នៅក្នុងកំណែបច្ចុប្បន្ន នោះគេហទំព័រទាំងអស់នឹងត្រូវបានសម្គាល់នៅលើក្រាហ្វដែលមានពណ៌ដូចគ្នា ដើម្បីធ្វើឱ្យពួកវាមានពណ៌ចម្រុះ យើងប្រើការកំណត់បន្ថែម - "ស៊េរីបំបែក" ។ ដែលអនុញ្ញាតឱ្យអ្នកបែងចែកជួរឈរដែលត្រៀមរួចជាស្រេចទៅជាតម្លៃជាច្រើនទៀត អាស្រ័យលើវាលដែលបានជ្រើសរើសជាការពិតណាស់! ការបែងចែកនេះអាចត្រូវបានប្រើជាជួរឈរពហុពណ៌មួយយោងទៅតាមតម្លៃនៅក្នុងរបៀបជង់ ឬក្នុងរបៀបធម្មតាដើម្បីបង្កើតជួរឈរជាច្រើនតាមតម្លៃជាក់លាក់មួយនៅលើអ័ក្ស X។ ក្នុងករណីនេះ នៅទីនេះយើងប្រើ តម្លៃដូចគ្នាទៅនឹងអ័ក្ស X នេះធ្វើឱ្យវាអាចធ្វើឱ្យជួរឈរទាំងអស់មានពហុពណ៌ ពួកវានឹងត្រូវបានចង្អុលបង្ហាញដោយពណ៌នៅខាងស្តាំខាងលើ។ នៅក្នុងតម្រងដែលយើងបានកំណត់ - ផលិតផល៖ “ការត្រង URL” ដើម្បីមើលព័ត៌មានតែនៅលើគេហទំព័រដែលបានចូលមើល រូបភាពអាចចុចបាន៖

ការកំណត់៖

ដ្យាក្រាមស្តីពីការប្រើប្រាស់កម្មវិធីគ្រោះថ្នាក់បំផុត។

ដើម្បីធ្វើដូចនេះបង្កើតតួរលេខ - របារបញ្ឈរ។ យើងក៏ប្រើការរាប់ (អ័ក្ស Y) ជាម៉ែត្រ ហើយនៅលើអ័ក្ស X យើងនឹងប្រើឈ្មោះកម្មវិធីដែលបានប្រើ - “appi_name” ជាតម្លៃ។ សំខាន់បំផុតគឺការកំណត់តម្រង - ផលិតផល៖ “ការគ្រប់គ្រងកម្មវិធី” និងហានិភ័យកម្មវិធី៖ (៤ ឬ ៥ ឬ ៣) និងសកម្មភាព៖ “ទទួល”។ យើងត្រងកំណត់ហេតុដោយផ្ទាំងគ្រប់គ្រងកម្មវិធី ដោយយកតែគេហទំព័រទាំងនោះដែលត្រូវបានចាត់ថ្នាក់ជាគេហទំព័រហានិភ័យខ្ពស់ មធ្យម ហើយប្រសិនបើការចូលប្រើគេហទំព័រទាំងនេះត្រូវបានអនុញ្ញាត។ រូបភាពអាចចុចបាន៖

ការកំណត់ អាចចុចបាន៖

ផ្ទាំងគ្រប់គ្រង

ការមើល និងបង្កើតផ្ទាំងគ្រប់គ្រងគឺនៅក្នុងធាតុម៉ឺនុយដាច់ដោយឡែកមួយ - Dashboard. អ្វីគ្រប់យ៉ាងគឺសាមញ្ញនៅទីនេះ ផ្ទាំងគ្រប់គ្រងថ្មីត្រូវបានបង្កើត ការមើលឃើញត្រូវបានបន្ថែមទៅវា ដាក់នៅកន្លែងរបស់វា ហើយនោះជាវា!

យើងកំពុងបង្កើតផ្ទាំងគ្រប់គ្រងមួយ ដែលអ្នកអាចយល់ពីស្ថានភាពមូលដ្ឋាននៃសុវត្ថិភាពព័ត៌មាននៅក្នុងស្ថាប័នមួយ ជាការពិត មានតែនៅកម្រិត Check Point ប៉ុណ្ណោះ រូបភាពអាចចុចបាន៖

ផ្អែកលើក្រាហ្វទាំងនេះ យើងអាចយល់បានថា ហត្ថលេខាសំខាន់ៗណាដែលមិនត្រូវបានរារាំងនៅលើជញ្ជាំងភ្លើង កន្លែងដែលអ្នកប្រើប្រាស់ទៅ និងកម្មវិធីដែលគ្រោះថ្នាក់បំផុតដែលពួកគេប្រើ។

សេចក្តីសន្និដ្ឋាន

យើងបានពិនិត្យមើលសមត្ថភាពនៃការមើលឃើញជាមូលដ្ឋាននៅក្នុង Kibana និងបានសាងសង់ផ្ទាំងគ្រប់គ្រង ប៉ុន្តែនេះគ្រាន់តែជាផ្នែកតូចមួយប៉ុណ្ណោះ។ បន្ថែមទៀតនៅក្នុងវគ្គសិក្សា យើងនឹងពិនិត្យមើលដោយឡែកពីគ្នាអំពីការដំឡើងផែនទី ធ្វើការជាមួយប្រព័ន្ធស្វែងរកយឺត ការស្គាល់សំណើ API ស្វ័យប្រវត្តិកម្ម និងច្រើនទៀត!

ដូច្នេះសូមរង់ចាំ (Telegram, Facebook, VK, ប្លុក TS Solution), Yandex.Zen.

ប្រភព: www.habr.com