ELK SIEM Open Distro៖ ការមើលឃើញផ្ទាំងគ្រប់គ្រង ELK និង SIEM នៅក្នុង ELK

ការបង្ហោះនេះនឹងពិពណ៌នាអំពីការដំឡើងការមើលឃើញនៃផ្ទាំងគ្រប់គ្រង ELK និង SIEM នៅក្នុង ELK
អត្ថបទត្រូវបានបែងចែកជាផ្នែកដូចខាងក្រោមៈ

១- ELK SIEM ពិនិត្យ
2- ផ្ទាំងគ្រប់គ្រងលំនាំដើម
3- បង្កើតផ្ទាំងគ្រប់គ្រងដំបូងរបស់អ្នក។

តារាងមាតិកានៃប្រកាសទាំងអស់។

• សេចក្តីផ្តើម។ ការដាក់ពង្រាយហេដ្ឋារចនាសម្ព័ន្ធ និងបច្ចេកវិទ្យាសម្រាប់ SOC as a Service (SOCasS)
• ជង់ ELK - ការដំឡើងនិងការកំណត់រចនាសម្ព័ន្ធ
• ដើរកាត់ Distro បើក
• ការមើលឃើញនៃផ្ទាំងគ្រប់គ្រង និង ELK SIEM
• ការរួមបញ្ចូលជាមួយ WAZUH
• ការជូនដំណឹង
• ការរាយការណ៍
• ការគ្រប់គ្រងសំណុំរឿង

1-ELK SIEM ពិនិត្យ

ELK SIEM ថ្មីៗនេះត្រូវបានបញ្ចូលទៅក្នុង elk stack នៅក្នុងកំណែ 7.2 នៅថ្ងៃទី 25 ខែមិថុនា ឆ្នាំ 2019។

នេះគឺជាដំណោះស្រាយ SIEM ដែលបង្កើតឡើងដោយ elastic.co ដើម្បីធ្វើឱ្យជីវិតរបស់អ្នកវិភាគសន្តិសុខកាន់តែងាយស្រួល និងមិនសូវធុញទ្រាន់។

នៅក្នុងកំណែរបស់យើងនៃការងារ យើងបានសម្រេចចិត្តបង្កើត SIEM ផ្ទាល់ខ្លួនរបស់យើង ហើយជ្រើសរើសផ្ទាំងបញ្ជាផ្ទាល់ខ្លួនរបស់យើង។

ប៉ុន្តែ​យើង​គិត​ថា​វា​ជា​ការ​សំខាន់​ក្នុង​ការ​ស្វែង​រក ELK SIEM ជា​មុន​សិន។

1.1- ផ្នែកព្រឹត្តិការណ៍ម្ចាស់ផ្ទះ

យើងនឹងពិនិត្យមើលផ្នែកម៉ាស៊ីនជាមុនសិន។ ផ្នែកម៉ាស៊ីននឹងអនុញ្ញាតឱ្យអ្នកមើលឃើញព្រឹត្តិការណ៍ដែលត្រូវបានបង្កើតនៅចំណុចបញ្ចប់ដោយខ្លួនវាផ្ទាល់។

បន្ទាប់ពីចុចលើ view hosts អ្នកគួរតែទទួលបានអ្វីមួយដូចនេះ។ ដូចដែលអ្នកអាចឃើញមានម៉ាស៊ីនបីដែលភ្ជាប់ទៅកុំព្យូទ័រនេះ៖

1 វីនដូ 10 ។

2 ម៉ាស៊ីនមេ Ubuntu 18.04 ។

យើងមានការបង្ហាញរូបភាពជាច្រើន ដែលនីមួយៗតំណាងឱ្យប្រភេទព្រឹត្តិការណ៍ផ្សេងៗគ្នា។

ឧទាហរណ៍ លេខមួយនៅកណ្តាលបង្ហាញទិន្នន័យចូលនៅលើម៉ាស៊ីនទាំងបី។

ចំនួនទិន្នន័យដែលអ្នកឃើញនៅទីនេះត្រូវបានប្រមូលក្នុងរយៈពេលប្រាំថ្ងៃ។ នេះពន្យល់អំពីចំនួនដ៏ធំនៃការចូលដែលបរាជ័យ និងជោគជ័យ។ អ្នកប្រហែលជាមានកំណត់ហេតុមួយចំនួនតូច ដូច្នេះកុំបារម្ភ

1.2- ផ្នែកព្រឹត្តិការណ៍បណ្តាញ

បន្តទៅផ្នែកបណ្តាញ អ្នកគួរតែទទួលបានអ្វីមួយដូចនេះ។ ផ្នែកនេះនឹងអនុញ្ញាតឱ្យអ្នកតាមដានយ៉ាងដិតដល់នូវអ្វីគ្រប់យ៉ាងដែលកើតឡើងនៅលើបណ្តាញរបស់អ្នក ចាប់ពីចរាចរណ៍ HTTP/TLS ដល់ចរាចរណ៍ DNS និងការជូនដំណឹងអំពីព្រឹត្តិការណ៍ខាងក្រៅ។

2- ផ្ទាំងគ្រប់គ្រងលំនាំដើម

ដើម្បីធ្វើឱ្យជីវិតកាន់តែងាយស្រួលសម្រាប់អ្នកប្រើប្រាស់ អ្នកអភិវឌ្ឍន៍ elastic.co បានបង្កើតរបារឧបករណ៍លំនាំដើមដែលគាំទ្រជាផ្លូវការដោយ ELK ។ ការវាយរបស់យើងមិនមានករណីលើកលែងចំពោះច្បាប់នេះទេ។ នៅទីនេះខ្ញុំនឹងប្រើផ្ទាំងគ្រប់គ្រងលំនាំដើមរបស់ Packetbeat ជាឧទាហរណ៍។

ប្រសិនបើអ្នកធ្វើតាមជំហានទី 2 នៃអត្ថបទត្រឹមត្រូវ។ អ្នកគួរតែរៀបចំរបារឧបករណ៍រង់ចាំអ្នក។ ដូច្នេះសូមចាប់ផ្តើម។

ពីផ្ទាំងខាងឆ្វេងនៃ Kibana ជ្រើសរើសនិមិត្តសញ្ញាផ្ទាំងគ្រប់គ្រង។ នេះគឺជាទីបីប្រសិនបើអ្នករាប់ពីកំពូល។

បញ្ចូលឈ្មោះចែករំលែកនៅក្នុងផ្ទាំងស្វែងរក

ប្រសិនបើមានម៉ូឌុលជាច្រើននៅក្នុងប៊ីត។ ផ្ទាំងបញ្ជានឹងត្រូវបានបង្កើតឡើងសម្រាប់ពួកវានីមួយៗ។ ប៉ុន្តែមានតែម៉ូឌុលដែលសកម្មប៉ុណ្ណោះដែលនឹងបង្ហាញទិន្នន័យមិនទទេ។

ជ្រើសរើសមួយជាមួយឈ្មោះម៉ូឌុលរបស់អ្នក។

នេះគឺជាគំរូចម្បង PacketBeat.

នេះគឺជាផ្ទាំងគ្រប់គ្រងលំហូរបណ្តាញ។ វានឹងប្រាប់យើងអំពីកញ្ចប់ព័ត៌មានចូល និងចេញ ប្រភព និងទិសដៅនៃអាសយដ្ឋាន IP ព្រមទាំងផ្តល់ព័ត៌មានមានប្រយោជន៍ជាច្រើនសម្រាប់អ្នកវិភាគមជ្ឈមណ្ឌលសន្តិសុខ។

3 - បង្កើតផ្ទាំងគ្រប់គ្រងដំបូងរបស់អ្នក។

៣–១- គំនិតជាមូលដ្ឋាន

ក- ប្រភេទនៃផ្ទាំងគ្រប់គ្រង៖

ទាំងនេះគឺជាប្រភេទផ្សេងគ្នានៃការមើលឃើញដែលអ្នកអាចប្រើដើម្បីមើលឃើញទិន្នន័យរបស់អ្នក។

ឧទាហរណ៍យើងមាន៖

• ក្រាហ្វរបារ
• ផែនទី
• ធាតុក្រាហ្វិក Markdown
• គំនូសតាងចំណិត

B- KQL (ភាសាសំណួរគីបាណា)៖

នេះគឺជាភាសាដែលប្រើក្នុង Kibana ដើម្បីងាយស្រួលក្នុងការស្វែងរកទិន្នន័យ។ វាអនុញ្ញាតឱ្យអ្នកពិនិត្យមើលថាតើមានទិន្នន័យជាក់លាក់ និងមុខងារមានប្រយោជន៍ជាច្រើនទៀត។ ដើម្បីស្វែងយល់បន្ថែម អ្នកអាចរុករកព័ត៌មាននៅតំណនេះ។

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

នេះជាសំណួរឧទាហរណ៍ដើម្បីស្វែងរកម៉ាស៊ីនដែលដំណើរការ Windows 10 pro ។

គ- តម្រង៖

មុខងារនេះនឹងអនុញ្ញាតឱ្យអ្នកត្រងប៉ារ៉ាម៉ែត្រមួយចំនួនដូចជាឈ្មោះម៉ាស៊ីន កូដព្រឹត្តិការណ៍ ឬលេខសម្គាល់ជាដើម។ តម្រងនឹងធ្វើអោយប្រសើរឡើងយ៉ាងខ្លាំងនូវដំណាក់កាលស៊ើបអង្កេតទាក់ទងនឹងពេលវេលា និងកិច្ចខិតខំប្រឹងប្រែងដែលបានចំណាយក្នុងការស្វែងរកភស្តុតាង។

ឃ- ការមើលឃើញដំបូង៖

តោះបង្កើតរូបភាពសម្រាប់ MITER ATT & CK ។

ដំបូងយើងត្រូវទៅ ផ្ទាំងគ្រប់គ្រង → បង្កើតផ្ទាំងគ្រប់គ្រងថ្មី → បង្កើតថ្មី → ផ្ទាំងគ្រប់គ្រង Pie

កំណត់ប្រភេទសម្រាប់លំនាំលិបិក្រម បន្ទាប់មកចុចលើឈ្មោះនៃការវាយរបស់អ្នក។

ចុច Enter ។ មកដល់ពេលនេះ អ្នកគួរតែឃើញនំដូណាត់ពណ៌បៃតង។

នៅក្នុងផ្ទាំង Buckets នៅខាងឆ្វេង អ្នកនឹងឃើញ៖

- ចំណិតបំបែកនឹងបែងចែកនំដូណាត់ទៅជាផ្នែកផ្សេងៗអាស្រ័យលើការរីករាលដាលនៃទិន្នន័យ។

- Split Chart នឹងបង្កើតនំដូណាត់មួយទៀតនៅជាប់នឹងនំនេះ។

យើងនឹងប្រើចំណិតបំបែក។

យើងនឹងមើលឃើញទិន្នន័យរបស់យើង អាស្រ័យលើពាក្យដែលយើងជ្រើសរើស។ ក្នុងករណីនេះពាក្យនឹងសំដៅទៅលើ MITER ATT & CK ។

នៅក្នុង Winlogbeat វាលដែលនឹងផ្តល់ឱ្យយើងនូវព័ត៌មាននេះត្រូវបានគេហៅថា:

winlog.event_data.RuleName

យើង​នឹង​រៀបចំ​ការ​រាប់​ម៉ែត្រ​ដើម្បី​បញ្ជា​ព្រឹត្តិការណ៍​ដោយ​ផ្អែក​លើ​ចំនួន​ដង​ដែល​វា​កើត​ឡើង។

បើកមុខងារ "ក្រុមតម្លៃផ្សេងទៀតនៅក្នុងផ្នែកដាច់ដោយឡែក" ។

វានឹងមានប្រយោជន៍ប្រសិនបើពាក្យដែលអ្នកជ្រើសរើសមានអត្ថន័យខុសៗគ្នាជាច្រើនដោយផ្អែកលើចង្វាក់។ វាជួយឱ្យមើលឃើញទិន្នន័យដែលនៅសល់ទាំងមូល។ នេះនឹងផ្តល់ឱ្យអ្នកនូវគំនិតនៃភាគរយនៃព្រឹត្តិការណ៍ដែលនៅសល់។

ឥឡូវ​យើង​បាន​បញ្ចប់​ការ​រៀបចំ​ផ្ទាំង​ទិន្នន័យ​ហើយ ចូរ​បន្ត​ទៅ​ផ្ទាំង​ជម្រើស

អ្នកត្រូវធ្វើដូចខាងក្រោមៈ

** ដករូបរាងនំដូណាត់ចេញ ដើម្បីឱ្យការបង្ហាញបង្ហាញរង្វង់ពេញ។

** ជ្រើសរើសទីតាំងរឿងព្រេងដែលអ្នកចូលចិត្ត។ ក្នុងករណីនេះយើងនឹងបង្ហាញពួកវានៅខាងស្តាំ។

**កំណត់តម្លៃបង្ហាញដើម្បីបង្ហាញនៅជាប់នឹងព័ត៌មានខ្លីៗរបស់ពួកគេ ដើម្បីងាយស្រួលអាន និងទុកសល់ជាលំនាំដើម

ការកាត់ចេញកំណត់ចំនួនដែលអ្នកចង់បង្ហាញពីឈ្មោះព្រឹត្តិការណ៍។

កំណត់ពេលវេលាដែលអ្នកចង់ឱ្យការបង្ហាញចាប់ផ្តើម ហើយបន្ទាប់មកចុចលើការ៉េពណ៌ខៀវ។

អ្នកគួរតែបញ្ចប់ដោយអ្វីមួយដូចនេះ៖

អ្នកក៏អាចបន្ថែមតម្រងទៅការមើលឃើញរបស់អ្នក ដើម្បីច្រោះម៉ាស៊ីនជាក់លាក់ដែលអ្នកចង់ពិនិត្យ ឬប៉ារ៉ាម៉ែត្រណាមួយដែលអ្នកគិតថាមានប្រយោជន៍សម្រាប់គោលបំណងរបស់អ្នក។ ការមើលឃើញនឹងបង្ហាញតែទិន្នន័យដែលត្រូវនឹងច្បាប់ដែលបានដាក់ក្នុងតម្រងប៉ុណ្ណោះ។ ក្នុងករណីនេះ យើងនឹងបង្ហាញតែទិន្នន័យ MITER ATT&CK ដែលចេញមកពីម៉ាស៊ីនដែលមានឈ្មោះថា win10។

3-2- បង្កើតផ្ទាំងគ្រប់គ្រងដំបូងរបស់អ្នក៖

ផ្ទាំងគ្រប់គ្រងគឺជាបណ្តុំនៃរូបភាពដែលមើលឃើញជាច្រើន។ ផ្ទាំងគ្រប់គ្រងរបស់អ្នកគួរតែច្បាស់លាស់ អាចយល់បាន និងមានទិន្នន័យដែលមានប្រយោជន៍ និងកំណត់។ នេះគឺជាឧទាហរណ៍នៃផ្ទាំងគ្រប់គ្រងដែលយើងបានបង្កើតពីដំបូងសម្រាប់ winlogbeat ។

សូម​អរគុណ​ចំពោះ​ពេល​វេលា​របស់​អ្នក។ ខ្ញុំសង្ឃឹមថាអ្នកបានរកឃើញអត្ថបទនេះមានប្រយោជន៍។ ប្រសិនបើអ្នកចង់បានព័ត៌មានបន្ថែមអំពីប្រធានបទនេះ យើងសូមណែនាំឱ្យអ្នកចូលមើល គេហទំព័រផ្លូវការ.

ការជជែកតាម Telegram នៅលើ Elasticsearch៖ https://t.me/elasticsearch_ru

ប្រភព: www.habr.com