TS ទិដ្ឋភាពសរុប។ ការប្រមូលព្រឹត្តិការណ៍ ការវិភាគឧប្បត្តិហេតុ និងឧបករណ៍ស្វ័យប្រវត្តិកម្មការឆ្លើយតបការគំរាមកំហែង

អរុណសួស្តី នៅក្នុងអត្ថបទមុន យើងបានស្គាល់ការងាររបស់ ELK Stack ។ ឥឡូវនេះ ចូរយើងពិភាក្សាអំពីលទ្ធភាពដែលអាចត្រូវបានដឹងដោយអ្នកឯកទេសសុវត្ថិភាពព័ត៌មានក្នុងការប្រើប្រាស់ប្រព័ន្ធទាំងនេះ។ តើកំណត់ហេតុអ្វីខ្លះដែលអាចនិងគួរត្រូវបានបញ្ចូលទៅក្នុង elasticsearch ។ ចូរយើងពិចារណាថាតើស្ថិតិអ្វីខ្លះដែលអាចទទួលបានដោយការដំឡើងផ្ទាំងគ្រប់គ្រងនិងថាតើមានប្រាក់ចំណេញណាមួយនៅក្នុងរឿងនេះ។ តើអ្នកអាចអនុវត្តស្វ័យប្រវត្តិកម្មនៃដំណើរការសុវត្ថិភាពព័ត៌មានដោយរបៀបណាដោយប្រើជង់ ELK ។ ចូរយើងគូរស្ថាបត្យកម្មនៃប្រព័ន្ធ។ សរុបមក ការអនុវត្តមុខងារទាំងអស់គឺជាកិច្ចការធំ និងពិបាកខ្លាំងណាស់ ដូច្នេះដំណោះស្រាយត្រូវបានផ្តល់ឈ្មោះដាច់ដោយឡែកមួយគឺ TS Total Sight ។

បច្ចុប្បន្ននេះ ដំណោះស្រាយដែលបង្រួបបង្រួម និងវិភាគឧប្បត្តិហេតុសន្តិសុខព័ត៌មាននៅក្នុងកន្លែងឡូជីខលមួយកំពុងទទួលបានប្រជាប្រិយភាពយ៉ាងឆាប់រហ័ស ជាលទ្ធផល អ្នកឯកទេសទទួលបានស្ថិតិ និងសកម្មភាពព្រំដែនមួយដើម្បីកែលម្អស្ថានភាពសន្តិសុខព័ត៌មាននៅក្នុងអង្គការ។ យើងកំណត់ខ្លួនយើងនូវភារកិច្ចនេះក្នុងការប្រើប្រាស់ជង់ ELK ហើយជាលទ្ធផលយើងបានបែងចែកមុខងារចម្បងជា 4 ផ្នែក៖

1. ស្ថិតិនិងការមើលឃើញ;
2. ការរកឃើញឧប្បត្តិហេតុសន្តិសុខព័ត៌មាន;
3. អាទិភាពនៃឧប្បត្តិហេតុ;
4. ស្វ័យប្រវត្តិកម្មនៃដំណើរការសុវត្ថិភាពព័ត៌មាន។

បន្ទាប់ យើងនឹងពិនិត្យមើលឱ្យកាន់តែច្បាស់អំពីបុគ្គលនីមួយៗ។

ការរកឃើញឧប្បត្តិហេតុសន្តិសុខព័ត៌មាន

ភារកិច្ចចម្បងនៃការប្រើប្រាស់ elasticsearch ក្នុងករណីរបស់យើងគឺប្រមូលតែឧប្បត្តិហេតុសុវត្ថិភាពព័ត៌មានប៉ុណ្ណោះ។ អ្នកអាចប្រមូលឧប្បត្តិហេតុសុវត្ថិភាពព័ត៌មានពីមធ្យោបាយសុវត្ថិភាពណាមួយ ប្រសិនបើពួកគេគាំទ្រយ៉ាងហោចណាស់របៀបមួយចំនួននៃការផ្ញើកំណត់ហេតុ ស្តង់ដារគឺ syslog ឬ scp រក្សាទុកទៅឯកសារ។

អ្នកអាចផ្តល់ឧទាហរណ៍ស្តង់ដារនៃឧបករណ៍សុវត្ថិភាព និងច្រើនទៀតពីកន្លែងដែលអ្នកគួរកំណត់រចនាសម្ព័ន្ធការបញ្ជូនបន្តនៃកំណត់ហេតុ៖

1. ឧបករណ៍ NGFW ណាមួយ (Check Point, Fortinet);
2. ម៉ាស៊ីនស្កេនភាពងាយរងគ្រោះណាមួយ (PT Scanner, OpenVas);
3. Web Application Firewall (PT AF);
4. ឧបករណ៍វិភាគលំហូរបណ្តាញ (Flowmon, Cisco StealthWatch);
5. ម៉ាស៊ីនមេ AD ។

នៅពេលដែលអ្នកបានកំណត់រចនាសម្ព័ន្ធការផ្ញើកំណត់ហេតុ និងឯកសារកំណត់រចនាសម្ព័ន្ធនៅក្នុង Logstash អ្នកអាចភ្ជាប់ និងប្រៀបធៀបជាមួយនឹងឧប្បត្តិហេតុដែលមកពីឧបករណ៍សុវត្ថិភាពផ្សេងៗ។ ដើម្បីធ្វើដូចនេះវាងាយស្រួលប្រើលិបិក្រមដែលយើងនឹងរក្សាទុកឧប្បត្តិហេតុទាំងអស់ដែលទាក់ទងនឹងឧបករណ៍ជាក់លាក់មួយ។ ម្យ៉ាងវិញទៀត សន្ទស្សន៍មួយគឺជាឧប្បត្តិហេតុទាំងអស់ចំពោះឧបករណ៍មួយ។ ការចែកចាយនេះអាចត្រូវបានអនុវត្តជា 2 វិធី។

ជម្រើសដំបូង នេះគឺដើម្បីកំណត់រចនាសម្ព័ន្ធ Logstash ។ ដើម្បីធ្វើដូចនេះអ្នកត្រូវចម្លងកំណត់ហេតុសម្រាប់វាលជាក់លាក់មួយទៅក្នុងឯកតាដាច់ដោយឡែកដែលមានប្រភេទផ្សេង។ ហើយបន្ទាប់មកប្រើប្រភេទនេះនាពេលអនាគត។ ក្នុងឧទាហរណ៍ កំណត់ហេតុត្រូវបានក្លូនចេញពី IPS blade នៃ Check Point firewall ។

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

ដើម្បីរក្សាទុកព្រឹត្តិការណ៍បែបនេះទៅក្នុងលិបិក្រមដាច់ដោយឡែកអាស្រ័យលើវាលកំណត់ហេតុ ឧទាហរណ៍ ដូចជា ហត្ថលេខាការវាយប្រហារ IP គោលដៅ។ អ្នកអាចប្រើសំណង់ស្រដៀងគ្នា៖

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

ហើយតាមរបៀបនេះ អ្នកអាចរក្សាទុកឧប្បត្តិហេតុទាំងអស់ទៅក្នុងលិបិក្រម ឧទាហរណ៍ តាមអាសយដ្ឋាន IP ឬតាមឈ្មោះដែនរបស់ម៉ាស៊ីន។ ក្នុងករណីនេះយើងរក្សាទុកវាទៅក្នុងលិបិក្រម "smartdefense-%{dst}"តាមអាសយដ្ឋាន IP នៃទិសដៅហត្ថលេខា។

ទោះជាយ៉ាងណាក៏ដោយផលិតផលផ្សេងៗគ្នានឹងមានវាលកំណត់ហេតុខុសៗគ្នាដែលនឹងនាំឱ្យមានភាពច្របូកច្របល់និងការប្រើប្រាស់អង្គចងចាំដែលមិនចាំបាច់។ ហើយនៅទីនេះ អ្នកនឹងត្រូវជំនួសវាលដោយប្រុងប្រយ័ត្ននៅក្នុងការកំណត់កំណត់រចនាសម្ព័ន្ធ Logstash ជាមួយនឹងការរចនាជាមុនដែលនឹងដូចគ្នាសម្រាប់ឧប្បត្តិហេតុគ្រប់ប្រភេទ ដែលជាការងារពិបាកផងដែរ។

ជម្រើសនៃការអនុវត្តទីពីរ - នេះគឺជាការសរសេរស្គ្រីប ឬដំណើរការដែលនឹងចូលប្រើមូលដ្ឋានទិន្នន័យយឺតក្នុងពេលវេលាជាក់ស្តែង ទាញឧប្បត្តិហេតុចាំបាច់ និងរក្សាទុកពួកវាទៅក្នុងលិបិក្រមថ្មី នេះជាកិច្ចការដ៏លំបាកមួយ ប៉ុន្តែវាអនុញ្ញាតឱ្យអ្នកធ្វើការជាមួយកំណត់ហេតុតាមដែលអ្នកចង់បាន។ និងទាក់ទងដោយផ្ទាល់ជាមួយឧប្បត្តិហេតុពីឧបករណ៍សុវត្ថិភាពផ្សេងទៀត។ ជម្រើសនេះអនុញ្ញាតឱ្យអ្នកកំណត់រចនាសម្ព័ន្ធការងារជាមួយកំណត់ហេតុដើម្បីឱ្យមានប្រយោជន៍បំផុតសម្រាប់ករណីរបស់អ្នកជាមួយនឹងភាពបត់បែនអតិបរមា ប៉ុន្តែនៅទីនេះបញ្ហាកើតឡើងក្នុងការស្វែងរកអ្នកឯកទេសដែលអាចអនុវត្តរឿងនេះបាន។

ហើយជាការពិតណាស់ សំណួរសំខាន់បំផុត ហើយអ្វីដែលអាចទាក់ទងគ្នា និងរកឃើញ??

វាអាចមានជម្រើសជាច្រើននៅទីនេះ ហើយវាអាស្រ័យលើអ្វីដែលឧបករណ៍សុវត្ថិភាពត្រូវបានប្រើប្រាស់នៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នក ឧទាហរណ៍មួយចំនួន៖

1. ជាក់ស្តែងបំផុត ហើយតាមទស្សនៈរបស់ខ្ញុំ ជម្រើសគួរឱ្យចាប់អារម្មណ៍បំផុតសម្រាប់អ្នកដែលមានដំណោះស្រាយ NGFW និងម៉ាស៊ីនស្កេនភាពងាយរងគ្រោះ។ នេះគឺជាការប្រៀបធៀបនៃកំណត់ហេតុ IPS និងលទ្ធផលស្កេនភាពងាយរងគ្រោះ។ ប្រសិនបើការវាយប្រហារត្រូវបានរកឃើញ (មិនត្រូវបានរារាំង) ដោយប្រព័ន្ធ IPS ហើយភាពងាយរងគ្រោះនេះមិនត្រូវបានបិទនៅលើម៉ាស៊ីនបញ្ចប់ដោយផ្អែកលើលទ្ធផលស្កែននោះ ចាំបាច់ត្រូវផ្លុំកញ្ចែ ព្រោះវាមានប្រូបាប៊ីលីតេខ្ពស់ដែលភាពងាយរងគ្រោះត្រូវបានកេងប្រវ័ញ្ច .
2. ការប៉ុនប៉ងចូលជាច្រើនពីម៉ាស៊ីនមួយទៅកន្លែងផ្សេងៗគ្នាអាចជានិមិត្តរូបនៃសកម្មភាពព្យាបាទ។
3. អ្នកប្រើប្រាស់ទាញយកឯកសារមេរោគដោយសារការចូលទៅកាន់គេហទំព័រដែលមានគ្រោះថ្នាក់ច្រើន។

ស្ថិតិ និងការមើលឃើញ

អ្វីដែលច្បាស់ និងអាចយល់បានបំផុតដែល ELK Stack ត្រូវការគឺការផ្ទុក និងការមើលឃើញនៃកំណត់ហេតុ។ នៅក្នុងអត្ថបទមុន។ វាត្រូវបានបង្ហាញពីរបៀបដែលអ្នកអាចបង្កើតកំណត់ហេតុពីឧបករណ៍ផ្សេងៗដោយប្រើ Logstash ។ បន្ទាប់ពីកំណត់ហេតុចូលទៅកាន់ Elasticsearch អ្នកអាចរៀបចំផ្ទាំងគ្រប់គ្រង ដែលត្រូវបានលើកឡើងផងដែរ។ នៅក្នុងអត្ថបទមុន។ជាមួយនឹងព័ត៌មាន និងស្ថិតិដែលអ្នកត្រូវការតាមរយៈការមើលឃើញ។

ឧទហរណ៍:

1. ផ្ទាំងគ្រប់គ្រងសម្រាប់ព្រឹត្តិការណ៍ការពារការគំរាមកំហែងជាមួយនឹងព្រឹត្តិការណ៍សំខាន់ៗបំផុត។ នៅទីនេះអ្នកអាចឆ្លុះបញ្ចាំងថាតើហត្ថលេខា IPS មួយណាត្រូវបានរកឃើញ និងកន្លែងដែលវាមកពីភូមិសាស្រ្ត។

   

2. ផ្ទាំងគ្រប់គ្រងលើការប្រើប្រាស់កម្មវិធីសំខាន់ៗដែលព័ត៌មានអាចលេចធ្លាយ។

   

3. ស្កេនលទ្ធផលពីម៉ាស៊ីនស្កេនសុវត្ថិភាពណាមួយ។

   

4. Active Directory កត់ត្រាដោយអ្នកប្រើប្រាស់។

   

5. ផ្ទាំងគ្រប់គ្រងការភ្ជាប់ VPN ។

ក្នុងករណីនេះ ប្រសិនបើអ្នកកំណត់រចនាសម្ព័ន្ធផ្ទាំងគ្រប់គ្រងដើម្បីធ្វើបច្ចុប្បន្នភាពរៀងរាល់ពីរបីវិនាទី អ្នកអាចទទួលបានប្រព័ន្ធដ៏ងាយស្រួលសម្រាប់ការត្រួតពិនិត្យព្រឹត្តិការណ៍ក្នុងពេលវេលាជាក់ស្តែង ដែលបន្ទាប់មកអាចត្រូវបានប្រើសម្រាប់ការឆ្លើយតបលឿនបំផុតចំពោះឧប្បត្តិហេតុសុវត្ថិភាពព័ត៌មាន ប្រសិនបើអ្នកដាក់ផ្ទាំងគ្រប់គ្រងដោយឡែកពីគ្នា។ អេក្រង់។

អាទិភាពនៃឧប្បត្តិហេតុ

នៅក្នុងលក្ខខណ្ឌនៃហេដ្ឋារចនាសម្ព័ន្ធធំៗ ចំនួនឧបទ្ទវហេតុអាចនឹងថយចុះ ហើយអ្នកឯកទេសនឹងមិនមានពេលវេលាដើម្បីដោះស្រាយឧប្បត្តិហេតុទាំងអស់ទាន់ពេលនោះទេ។ ក្នុងករណីនេះ ជាដំបូងនៃការទាំងអស់គឺចាំបាច់ដើម្បីគូសបញ្ជាក់តែឧប្បត្តិហេតុទាំងនោះដែលបង្កការគំរាមកំហែងយ៉ាងខ្លាំង។ ដូច្នេះ ប្រព័ន្ធត្រូវតែផ្តល់អាទិភាពដល់ឧប្បត្តិហេតុដោយផ្អែកលើភាពធ្ងន់ធ្ងររបស់វាទាក់ទងនឹងហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នក។ វាត្រូវបានណែនាំឱ្យរៀបចំការជូនដំណឹងតាមអ៊ីមែល ឬតេឡេក្រាមសម្រាប់ព្រឹត្តិការណ៍ទាំងនេះ។ ការកំណត់អាទិភាពអាចត្រូវបានអនុវត្តដោយប្រើឧបករណ៍ស្តង់ដារ Kibana ដោយបង្កើតការមើលឃើញ។ ប៉ុន្តែជាមួយនឹងការជូនដំណឹងវាកាន់តែពិបាក តាមលំនាំដើម មុខងារនេះមិនត្រូវបានរួមបញ្ចូលនៅក្នុងកំណែមូលដ្ឋាននៃ Elasticsearch ទេ មានតែនៅក្នុងកំណែដែលបានបង់ប៉ុណ្ណោះ។ ដូច្នេះហើយ ទាំងទិញកំណែដែលបានបង់ ឬម្តងទៀត សរសេរដំណើរការដោយខ្លួនឯងដែលនឹងជូនដំណឹងដល់អ្នកឯកទេសក្នុងពេលវេលាជាក់ស្តែងតាមរយៈអ៊ីមែល ឬតេឡេក្រាម។

ស្វ័យប្រវត្តិកម្មនៃដំណើរការសុវត្ថិភាពព័ត៌មាន

ហើយផ្នែកមួយដែលគួរឱ្យចាប់អារម្មណ៍បំផុតគឺស្វ័យប្រវត្តិកម្មនៃសកម្មភាពសម្រាប់ឧប្បត្តិហេតុសន្តិសុខព័ត៌មាន។ ពីមុនយើងបានអនុវត្តមុខងារនេះសម្រាប់ Splunk អ្នកអាចអានបន្ថែមបន្តិចនៅក្នុងនេះ។ អត្ថបទ. គំនិតចម្បងគឺថាគោលការណ៍ IPS មិនត្រូវបានសាកល្បង ឬធ្វើឱ្យប្រសើរទេ ទោះបីជាក្នុងករណីខ្លះវាជាផ្នែកសំខាន់នៃដំណើរការសុវត្ថិភាពព័ត៌មានក៏ដោយ។ ជាឧទាហរណ៍ មួយឆ្នាំបន្ទាប់ពីការអនុវត្ត NGFW និងអវត្តមាននៃសកម្មភាពដើម្បីបង្កើនប្រសិទ្ធភាព IPS អ្នកនឹងប្រមូលហត្ថលេខាមួយចំនួនធំជាមួយនឹងសកម្មភាព Detect ដែលនឹងមិនត្រូវបានរារាំង ដែលកាត់បន្ថយយ៉ាងខ្លាំងនូវស្ថានភាពសុវត្ថិភាពព័ត៌មាននៅក្នុងស្ថាប័ន។ ខាង​ក្រោម​នេះ​គឺ​ជា​ឧទាហរណ៍​ខ្លះ​នៃ​អ្វី​ដែល​អាច​ធ្វើ​ដោយ​ស្វ័យ​ប្រវត្តិ៖

1. ការផ្ទេរហត្ថលេខា IPS ពី Detect to Prevent ។ ប្រសិនបើការការពារមិនដំណើរការសម្រាប់ហត្ថលេខាសំខាន់ទេ នោះវាហួសលំដាប់ និងគម្លាតធ្ងន់ធ្ងរនៅក្នុងប្រព័ន្ធការពារ។ យើងផ្លាស់ប្តូរសកម្មភាពនៅក្នុងគោលការណ៍ទៅជាហត្ថលេខាបែបនេះ។ មុខងារនេះអាចត្រូវបានអនុវត្តប្រសិនបើឧបករណ៍ NGFW មានមុខងារ REST API ។ វាអាចធ្វើទៅបានលុះត្រាតែអ្នកមានជំនាញសរសេរកម្មវិធី អ្នកត្រូវទាញយកព័ត៌មានចាំបាច់ពី Elastcisearch ហើយធ្វើសំណើ API ទៅកាន់ម៉ាស៊ីនមេគ្រប់គ្រង NGFW ។
2. ប្រសិនបើហត្ថលេខាច្រើនត្រូវបានរកឃើញ ឬត្រូវបានរារាំងក្នុងចរាចរណ៍បណ្តាញពីអាសយដ្ឋាន IP មួយ នោះវាសមហេតុផលក្នុងការទប់ស្កាត់អាសយដ្ឋាន IP នេះមួយរយៈនៅក្នុងគោលការណ៍ Firewall ។ ការអនុវត្តក៏មានការប្រើប្រាស់ REST API ផងដែរ។
3. ដំណើរការការស្កេនម៉ាស៊ីនដោយប្រើម៉ាស៊ីនស្កេនភាពងាយរងគ្រោះ ប្រសិនបើម៉ាស៊ីននេះមានហត្ថលេខា IPS មួយចំនួនធំ ឬឧបករណ៍សុវត្ថិភាពផ្សេងទៀត ប្រសិនបើវាជា OpenVas នោះអ្នកអាចសរសេរស្គ្រីបដែលនឹងភ្ជាប់តាមរយៈ ssh ទៅម៉ាស៊ីនស្កេនសុវត្ថិភាព ហើយដំណើរការការស្កេន។

TS ទិដ្ឋភាពសរុប

សរុបមក ការអនុវត្តមុខងារទាំងអស់គឺជាកិច្ចការធំ និងពិបាកណាស់។ ដោយមិនមានជំនាញសរសេរកម្មវិធី អ្នកអាចកំណត់មុខងារអប្បបរមា ដែលវាអាចគ្រប់គ្រាន់សម្រាប់ប្រើប្រាស់ក្នុងផលិតកម្ម។ ប៉ុន្តែប្រសិនបើអ្នកចាប់អារម្មណ៍លើមុខងារទាំងអស់នោះ អ្នកអាចយកចិត្តទុកដាក់ចំពោះ TS Total Sight។ អ្នកអាចស្វែងរកព័ត៌មានលម្អិតបន្ថែមនៅលើរបស់យើង។ តំបន់បណ្តាញ. ជាលទ្ធផល គ្រោងការណ៍ប្រតិបត្តិការ និងស្ថាបត្យកម្មទាំងមូលនឹងមើលទៅដូចនេះ៖

សេចក្តីសន្និដ្ឋាន

យើងបានពិនិត្យមើលអ្វីដែលអាចត្រូវបានអនុវត្តដោយប្រើ ELK Stack ។ នៅក្នុងអត្ថបទជាបន្តបន្ទាប់ យើងនឹងពិចារណាដោយឡែកពីគ្នាអំពីមុខងាររបស់ TS Total Sight ដោយលម្អិតបន្ថែមទៀត!

ដូច្នេះសូមរង់ចាំ (Telegram, Facebook, VK, ប្លុក TS Solution), Yandex.Zen.

ប្រភព: www.habr.com