ನಮ್ಮ ಸೈಬರ್ ರಕ್ಷಣಾ ಕೇಂದ್ರವು ಕ್ಲೈಂಟ್ಗಳ ವೆಬ್ ಮೂಲಸೌಕರ್ಯದ ಸುರಕ್ಷತೆಗೆ ಕಾರಣವಾಗಿದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಸೈಟ್ಗಳ ಮೇಲಿನ ದಾಳಿಗಳನ್ನು ಹಿಮ್ಮೆಟ್ಟಿಸುತ್ತದೆ. ದಾಳಿಗಳಿಂದ ರಕ್ಷಿಸಲು, ನಾವು ಫೋರ್ಟಿವೆಬ್ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ಫೈರ್ವಾಲ್ಗಳನ್ನು (WAF) ಬಳಸುತ್ತೇವೆ. ಆದರೆ ತಂಪಾದ WAF ಸಹ ರಾಮಬಾಣವಲ್ಲ ಮತ್ತು ಉದ್ದೇಶಿತ ದಾಳಿಗಳಿಂದ "ಔಟ್ ಆಫ್ ದಿ ಬಾಕ್ಸ್" ಅನ್ನು ರಕ್ಷಿಸುವುದಿಲ್ಲ.
ಆದ್ದರಿಂದ, WAF ಜೊತೆಗೆ, ನಾವು ಬಳಸುತ್ತೇವೆ ಇದು ಎಲ್ಲಾ ಘಟನೆಗಳನ್ನು ಒಂದೇ ಸ್ಥಳದಲ್ಲಿ ಸಂಗ್ರಹಿಸಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ, ಅಂಕಿಅಂಶಗಳನ್ನು ಸಂಗ್ರಹಿಸುತ್ತದೆ, ಅವುಗಳನ್ನು ದೃಶ್ಯೀಕರಿಸುತ್ತದೆ ಮತ್ತು ಸಮಯಕ್ಕೆ ಸರಿಯಾಗಿ ಗುರಿಪಡಿಸಿದ ದಾಳಿಯನ್ನು ನೋಡಲು ನಮಗೆ ಅನುಮತಿಸುತ್ತದೆ.
ಇಂದು ನಾವು "ಕ್ರಿಸ್ಮಸ್ ಮರ" ವನ್ನು WAF ನೊಂದಿಗೆ ಹೇಗೆ ದಾಟಿದೆವು ಮತ್ತು ಅದರಿಂದ ಏನಾಯಿತು ಎಂಬುದನ್ನು ನಾನು ನಿಮಗೆ ಹೆಚ್ಚು ವಿವರವಾಗಿ ಹೇಳುತ್ತೇನೆ.
ಒಂದು ದಾಳಿಯ ಕಥೆ: ELK ಗೆ ಬದಲಾಯಿಸುವ ಮೊದಲು ಎಲ್ಲವೂ ಹೇಗೆ ಕೆಲಸ ಮಾಡಿತು
ನಮ್ಮ WAF ನ ಹಿಂದೆ ನಮ್ಮ ಕ್ಲೌಡ್ನಲ್ಲಿ ಗ್ರಾಹಕರು ಒಂದು ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ನಿಯೋಜಿಸಿದ್ದಾರೆ. ದಿನಕ್ಕೆ 10 ರಿಂದ 000 ಬಳಕೆದಾರರು ಸೈಟ್ಗೆ ಸಂಪರ್ಕಗೊಂಡಿದ್ದಾರೆ, ಸಂಪರ್ಕಗಳ ಸಂಖ್ಯೆ ದಿನಕ್ಕೆ 100 ಮಿಲಿಯನ್ ತಲುಪಿದೆ. ಇವರಲ್ಲಿ, 000-20 ಬಳಕೆದಾರರು ಒಳನುಗ್ಗುವವರಾಗಿದ್ದು, ಸೈಟ್ ಅನ್ನು ಹ್ಯಾಕ್ ಮಾಡಲು ಪ್ರಯತ್ನಿಸಿದರು.
ಫೋರ್ಟಿವೆಬ್ ಒಂದು ಐಪಿ ವಿಳಾಸದಿಂದ ಒಂದು ಫಾರ್ಮ್ನ ನಿಯಮಿತ ಬ್ರೂಟ್ ಫೋರ್ಸ್ ದಾಳಿಯನ್ನು ಸುಲಭವಾಗಿ ನಿರ್ಬಂಧಿಸಿತು. ಪ್ರತಿ ನಿಮಿಷಕ್ಕೆ ಸೈಟ್ಗೆ ವಿನಂತಿಗಳ ಸಂಖ್ಯೆ ಕಾನೂನುಬದ್ಧ ಬಳಕೆದಾರರಿಗಿಂತ ಹೆಚ್ಚಿತ್ತು. ನಾವು ಒಂದು ವಿಳಾಸದಿಂದ ಚಟುವಟಿಕೆಯ ಮಿತಿಗಳನ್ನು ಹೊಂದಿಸಿ ದಾಳಿಯನ್ನು ಹಿಮ್ಮೆಟ್ಟಿಸಿದೆವು.
ದಾಳಿಕೋರರು ನಿಧಾನವಾಗಿ ವರ್ತಿಸಿ ನಿಯಮಿತ ಕ್ಲೈಂಟ್ಗಳಂತೆ ವೇಷ ಧರಿಸಿದಾಗ "ನಿಧಾನ ದಾಳಿಗಳನ್ನು" ಎದುರಿಸುವುದು ಹೆಚ್ಚು ಕಷ್ಟ. ಅವರು ಅನೇಕ ವಿಶಿಷ್ಟ ಐಪಿ ವಿಳಾಸಗಳನ್ನು ಬಳಸುತ್ತಾರೆ. ಅಂತಹ ಚಟುವಟಿಕೆಯು WAF ಗೆ ಸಾಮೂಹಿಕ ವಿವೇಚನಾರಹಿತ ಶಕ್ತಿಯಂತೆ ಕಾಣಲಿಲ್ಲ, ಅದನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಟ್ರ್ಯಾಕ್ ಮಾಡುವುದು ಹೆಚ್ಚು ಕಷ್ಟಕರವಾಗಿತ್ತು. ಸಾಮಾನ್ಯ ಬಳಕೆದಾರರನ್ನು ನಿರ್ಬಂಧಿಸುವ ಅಪಾಯವೂ ಇತ್ತು. ನಾವು ದಾಳಿಯ ಇತರ ಚಿಹ್ನೆಗಳನ್ನು ಹುಡುಕಿದೆವು ಮತ್ತು ಈ ಚಿಹ್ನೆಯ ಆಧಾರದ ಮೇಲೆ IP ವಿಳಾಸಗಳ ಸ್ವಯಂಚಾಲಿತ ನಿರ್ಬಂಧಿಸುವಿಕೆಯ ನೀತಿಯನ್ನು ಕಾನ್ಫಿಗರ್ ಮಾಡಿದ್ದೇವೆ. ಉದಾಹರಣೆಗೆ, ಅನೇಕ ಕಾನೂನುಬಾಹಿರ ಸೆಷನ್ಗಳು http ವಿನಂತಿಯ ಹೆಡರ್ಗಳಲ್ಲಿ ಸಾಮಾನ್ಯ ಕ್ಷೇತ್ರಗಳನ್ನು ಹೊಂದಿದ್ದವು. ಫೋರ್ಟಿವೆಬ್ ಈವೆಂಟ್ ಲಾಗ್ಗಳಲ್ಲಿ ನಾವು ಆಗಾಗ್ಗೆ ಅಂತಹ ಕ್ಷೇತ್ರಗಳನ್ನು ಹಸ್ತಚಾಲಿತವಾಗಿ ಹುಡುಕಬೇಕಾಗಿತ್ತು.
ಇದು ಬಹಳ ಸಮಯ ತೆಗೆದುಕೊಂಡಿತು ಮತ್ತು ಅನಾನುಕೂಲಕರವಾಗಿತ್ತು. ಫೋರ್ಟಿವೆಬ್ನ ಪ್ರಮಾಣಿತ ಕಾರ್ಯನಿರ್ವಹಣೆಯಲ್ಲಿ, ಈವೆಂಟ್ಗಳನ್ನು 3 ವಿಭಿನ್ನ ಲಾಗ್ಗಳಲ್ಲಿ ಪಠ್ಯದಲ್ಲಿ ದಾಖಲಿಸಲಾಗುತ್ತದೆ: ಪತ್ತೆಯಾದ ದಾಳಿಗಳು, ವಿನಂತಿಗಳ ಬಗ್ಗೆ ಮಾಹಿತಿ ಮತ್ತು WAF ಕಾರ್ಯಾಚರಣೆಯ ಬಗ್ಗೆ ಸಿಸ್ಟಮ್ ಸಂದೇಶಗಳು. ಪ್ರತಿ ನಿಮಿಷಕ್ಕೆ ಡಜನ್ಗಟ್ಟಲೆ ಅಥವಾ ನೂರಾರು ದಾಳಿ ಘಟನೆಗಳು ಬರಬಹುದು.
ಅಷ್ಟು ಹೆಚ್ಚಲ್ಲ, ಆದರೆ ನೀವು ಹಲವಾರು ಜರ್ನಲ್ಗಳನ್ನು ಹಸ್ತಚಾಲಿತವಾಗಿ ಪರಿಶೀಲಿಸಬೇಕು ಮತ್ತು ಬಹಳಷ್ಟು ಸಾಲುಗಳನ್ನು ವಿಂಗಡಿಸಬೇಕು:
ದಾಳಿಯ ಲಾಗ್ನಲ್ಲಿ ನಾವು ಬಳಕೆದಾರರ ವಿಳಾಸಗಳು ಮತ್ತು ಚಟುವಟಿಕೆಯ ಸ್ವರೂಪವನ್ನು ನೋಡುತ್ತೇವೆ.
ಕೇವಲ ಲಾಗ್ ಟೇಬಲ್ ಅನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡಿದರೆ ಸಾಲದು. ದಾಳಿಯ ಸ್ವರೂಪದ ಬಗ್ಗೆ ಅತ್ಯಂತ ಆಸಕ್ತಿದಾಯಕ ಮತ್ತು ಉಪಯುಕ್ತ ಮಾಹಿತಿಯನ್ನು ಕಂಡುಹಿಡಿಯಲು, ನೀವು ಒಂದು ನಿರ್ದಿಷ್ಟ ಘಟನೆಯೊಳಗೆ ನೋಡಬೇಕು:
ಹೈಲೈಟ್ ಮಾಡಲಾದ ಕ್ಷೇತ್ರಗಳು "ನಿಧಾನ ದಾಳಿ"ಯನ್ನು ಪತ್ತೆಹಚ್ಚಲು ಸಹಾಯ ಮಾಡುತ್ತವೆ. ಮೂಲ: ಸ್ಕ್ರೀನ್ಶಾಟ್ ನಿಂದ .
ಸರಿ, ಮತ್ತು ಮುಖ್ಯ ಸಮಸ್ಯೆ ಎಂದರೆ ಫೋರ್ಟಿವೆಬ್ ತಜ್ಞರು ಮಾತ್ರ ಇದನ್ನು ಕಂಡುಹಿಡಿಯಬಹುದು. ಕೆಲಸದ ಸಮಯದಲ್ಲಿ ನಾವು ಇನ್ನೂ ಅನುಮಾನಾಸ್ಪದ ಚಟುವಟಿಕೆಯನ್ನು ನೈಜ ಸಮಯದಲ್ಲಿ ಟ್ರ್ಯಾಕ್ ಮಾಡಬಹುದಾದರೂ, ರಾತ್ರಿ ಘಟನೆಗಳ ತನಿಖೆ ವಿಳಂಬವಾಗಬಹುದು. ಫೋರ್ಟಿವೆಬ್ ನೀತಿಗಳು ಕೆಲವು ಕಾರಣಗಳಿಂದ ವಿಫಲವಾದಾಗ, ಕರ್ತವ್ಯದಲ್ಲಿದ್ದ ರಾತ್ರಿ ಪಾಳಿ ಎಂಜಿನಿಯರ್ಗಳು WAF ಗೆ ಪ್ರವೇಶವಿಲ್ಲದೆ ಪರಿಸ್ಥಿತಿಯನ್ನು ನಿರ್ಣಯಿಸಲು ಸಾಧ್ಯವಾಗಲಿಲ್ಲ ಮತ್ತು ಫೋರ್ಟಿವೆಬ್ ತಜ್ಞರನ್ನು ಎಚ್ಚರಗೊಳಿಸಿದರು. ನಾವು ಹಲವಾರು ಗಂಟೆಗಳ ಕಾಲ ಲಾಗ್ಗಳನ್ನು ನೋಡಿದೆವು ಮತ್ತು ದಾಳಿಯ ಕ್ಷಣವನ್ನು ಕಂಡುಕೊಂಡೆವು.
ಇಷ್ಟು ದೊಡ್ಡ ಪ್ರಮಾಣದ ಮಾಹಿತಿಯೊಂದಿಗೆ, ಒಟ್ಟಾರೆ ಚಿತ್ರವನ್ನು ಒಂದು ನೋಟದಲ್ಲಿ ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವುದು ಮತ್ತು ಪೂರ್ವಭಾವಿಯಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವುದು ಕಷ್ಟ. ನಂತರ ನಾವು ಎಲ್ಲವನ್ನೂ ದೃಶ್ಯ ರೂಪದಲ್ಲಿ ವಿಶ್ಲೇಷಿಸಲು, ದಾಳಿಯ ಆರಂಭವನ್ನು ಕಂಡುಹಿಡಿಯಲು, ಅದರ ದಿಕ್ಕು ಮತ್ತು ತಡೆಯುವ ವಿಧಾನವನ್ನು ಗುರುತಿಸಲು ಒಂದೇ ಸ್ಥಳದಲ್ಲಿ ಡೇಟಾವನ್ನು ಸಂಗ್ರಹಿಸಲು ನಿರ್ಧರಿಸಿದೆವು.
ನೀವು ಯಾವುದರಿಂದ ಆರಿಸಿಕೊಂಡಿದ್ದೀರಿ?
ಮೊದಲನೆಯದಾಗಿ, ಅನಗತ್ಯವಾಗಿ ಘಟಕಗಳನ್ನು ಗುಣಿಸದಂತೆ ನಾವು ಈಗಾಗಲೇ ಬಳಕೆಯಲ್ಲಿರುವ ಪರಿಹಾರಗಳನ್ನು ನೋಡಿದ್ದೇವೆ.
ಮೊದಲ ಆಯ್ಕೆಗಳಲ್ಲಿ ಒಂದಾಗಿತ್ತು ನಾಗಯೋಸ್, ಇದನ್ನು ನಾವು ಮೇಲ್ವಿಚಾರಣೆಗಾಗಿ ಬಳಸುತ್ತೇವೆ , , ಅಸಹಜ ಸಂದರ್ಭಗಳ ಬಗ್ಗೆ ಎಚ್ಚರಿಕೆ ನೀಡುತ್ತದೆ. ಅನುಮಾನಾಸ್ಪದ ದಟ್ಟಣೆಯ ಬಗ್ಗೆ ಕರ್ತವ್ಯ ಅಧಿಕಾರಿಗಳಿಗೆ ಎಚ್ಚರಿಕೆ ನೀಡಲು ಭದ್ರತಾ ಅಧಿಕಾರಿಗಳು ಇದನ್ನು ಬಳಸುತ್ತಾರೆ, ಆದರೆ ಇದು ವಿಭಿನ್ನ ಲಾಗ್ಗಳನ್ನು ಸಂಗ್ರಹಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ ಮತ್ತು ಆದ್ದರಿಂದ ಇದನ್ನು ಬಳಸಲಾಗುವುದಿಲ್ಲ.
ಎಲ್ಲವನ್ನೂ ಒಟ್ಟುಗೂಡಿಸಲು ಒಂದು ಆಯ್ಕೆ ಇತ್ತು, ಅದನ್ನು ಬಳಸಿ MySQL ಮತ್ತು PostgreSQL ಅಥವಾ ಇನ್ನೊಂದು ಸಂಬಂಧಿತ ಡೇಟಾಬೇಸ್. ಆದರೆ ಡೇಟಾವನ್ನು ಹೊರತೆಗೆಯಲು, ನೀವು ನಿಮ್ಮ ಸ್ವಂತ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ರಚಿಸಬೇಕಾಗಿತ್ತು.
ನಮ್ಮ ಕಂಪನಿಯು ಲಾಗ್ ಸಂಗ್ರಾಹಕರಾಗಿ ಈ ಕೆಳಗಿನವುಗಳನ್ನು ಬಳಸುತ್ತದೆ: ಫೋರ್ಟಿಅನಾಲೈಸರ್ ಫೋರ್ಟಿನೆಟ್ ನಿಂದ. ಆದರೆ ಈ ಸಂದರ್ಭದಲ್ಲಿ ಅದು ಕೆಲಸ ಮಾಡಲಿಲ್ಲ. ಮೊದಲನೆಯದಾಗಿ, ಇದು ಫೈರ್ವಾಲ್ನೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಲು ಹೆಚ್ಚು ಸೂಕ್ತವಾಗಿದೆ. ಫೋರ್ಟಿಗೇಟ್. ಎರಡನೆಯದಾಗಿ, ಇದು ಅನೇಕ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಹೊಂದಿರಲಿಲ್ಲ, ಮತ್ತು ಅದರೊಂದಿಗಿನ ಸಂವಹನಕ್ಕೆ SQL ಪ್ರಶ್ನೆಗಳ ಅತ್ಯುತ್ತಮ ಜ್ಞಾನದ ಅಗತ್ಯವಿತ್ತು. ಮತ್ತು ಮೂರನೆಯದಾಗಿ, ಇದರ ಬಳಕೆಯು ಗ್ರಾಹಕರಿಗೆ ಸೇವೆಯ ವೆಚ್ಚವನ್ನು ಹೆಚ್ಚಿಸುತ್ತದೆ.
ನಾವು ಈ ರೀತಿಯಾಗಿ ಓಪನ್ ಸೋರ್ಸ್ ವ್ಯಕ್ತಿತ್ವಕ್ಕೆ ಬಂದಿದ್ದೇವೆ ELK.
ELK ಅನ್ನು ಏಕೆ ಆರಿಸಬೇಕು
ELK ಒಂದು ಮುಕ್ತ ಮೂಲ ಸಾಫ್ಟ್ವೇರ್ ಸೂಟ್ ಆಗಿದೆ:
- Elasticsearch - ದೊಡ್ಡ ಪ್ರಮಾಣದ ಪಠ್ಯದೊಂದಿಗೆ ಕೆಲಸ ಮಾಡಲು ವಿಶೇಷವಾಗಿ ರಚಿಸಲಾದ ಸಮಯ ಸರಣಿ ಡೇಟಾಬೇಸ್;
- ಲಾಗ್ಸ್ಟ್ಯಾಶ್ - ಲಾಗ್ಗಳನ್ನು ಅಗತ್ಯವಿರುವ ಸ್ವರೂಪಕ್ಕೆ ಪರಿವರ್ತಿಸಬಹುದಾದ ಡೇಟಾ ಸಂಗ್ರಹಣಾ ಕಾರ್ಯವಿಧಾನ;
- ಕಿಬಾನಾ - ಉತ್ತಮ ದೃಶ್ಯೀಕರಣಕಾರಕ, ಹಾಗೆಯೇ Elasticsearch ಅನ್ನು ನಿರ್ವಹಿಸಲು ಸಾಕಷ್ಟು ಬಳಕೆದಾರ ಸ್ನೇಹಿ ಇಂಟರ್ಫೇಸ್. ರಾತ್ರಿಯಲ್ಲಿ ಕರ್ತವ್ಯದಲ್ಲಿರುವ ಎಂಜಿನಿಯರ್ಗಳು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಬಹುದಾದ ಗ್ರಾಫ್ಗಳನ್ನು ನಿರ್ಮಿಸಲು ನೀವು ಇದನ್ನು ಬಳಸಬಹುದು.
ELK ಪ್ರವೇಶ ಮಿತಿ ಕಡಿಮೆ. ಎಲ್ಲಾ ಪ್ರಮುಖ ವೈಶಿಷ್ಟ್ಯಗಳು ಉಚಿತ. ಸಂತೋಷವಾಗಿರಲು ಇನ್ನೇನು ಬೇಕು?
ನೀವು ಇದನ್ನೆಲ್ಲಾ ಒಂದೇ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಹೇಗೆ ಸೇರಿಸಿದ್ದೀರಿ?
ನಾವು ಸೂಚ್ಯಂಕಗಳನ್ನು ರಚಿಸಿದ್ದೇವೆ ಮತ್ತು ಅಗತ್ಯ ಮಾಹಿತಿಯನ್ನು ಮಾತ್ರ ಬಿಟ್ಟಿದ್ದೇವೆ.. ನಾವು ಮೂರು ಫೋರ್ಟಿವೆಬ್ ಲಾಗ್ಗಳನ್ನು ELK ಗೆ ಲೋಡ್ ಮಾಡಿದ್ದೇವೆ - ಔಟ್ಪುಟ್ ಸೂಚ್ಯಂಕಗಳಾಗಿತ್ತು. ಇವು 24 ಗಂಟೆಗಳ ಅವಧಿಗೆ ಎಲ್ಲಾ ಸಂಗ್ರಹಿಸಿದ ಲಾಗ್ಗಳನ್ನು ಹೊಂದಿರುವ ಫೈಲ್ಗಳಾಗಿವೆ. ನಾವು ಅವುಗಳನ್ನು ತಕ್ಷಣವೇ ದೃಶ್ಯೀಕರಿಸಿದ್ದರೆ, ನಾವು ದಾಳಿಯ ಚಲನಶೀಲತೆಯನ್ನು ಮಾತ್ರ ನೋಡುತ್ತಿದ್ದೆವು. ವಿವರಗಳಿಗಾಗಿ, ನಾವು ಪ್ರತಿ ದಾಳಿಯನ್ನು "ಕೆಳಗೆ ಕೊರೆಯಬೇಕು" ಮತ್ತು ನಿರ್ದಿಷ್ಟ ಕ್ಷೇತ್ರಗಳನ್ನು ನೋಡಬೇಕು.
ನಾವು ಮೊದಲು ರಚನೆಯಿಲ್ಲದ ಡೇಟಾ ಪಾರ್ಸಿಂಗ್ ಅನ್ನು ಹೊಂದಿಸಬೇಕಾಗಿದೆ ಎಂದು ನಾವು ಅರಿತುಕೊಂಡೆವು. ನಿರ್ಧಾರ ತೆಗೆದುಕೊಳ್ಳಲು ಹೆಚ್ಚಿನ ಮಾಹಿತಿಯನ್ನು ಪಡೆಯಲು ನಾವು "ಸಂದೇಶ" ಮತ್ತು "URL" ನಂತಹ ದೀರ್ಘ ಸ್ಟ್ರಿಂಗ್ ಕ್ಷೇತ್ರಗಳನ್ನು ತೆಗೆದುಕೊಂಡು ಅವುಗಳನ್ನು ಪಾರ್ಸ್ ಮಾಡಿದ್ದೇವೆ.
ಉದಾಹರಣೆಗೆ, ಪಾರ್ಸಿಂಗ್ ಬಳಸಿ, ನಾವು ಬಳಕೆದಾರರ ಸ್ಥಳವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಹೊರತೆಗೆದಿದ್ದೇವೆ. ಇದು ರಷ್ಯಾದ ಬಳಕೆದಾರರಿಗಾಗಿ ವಿದೇಶಗಳಿಂದ ಸೈಟ್ಗಳ ಮೇಲಿನ ದಾಳಿಗಳನ್ನು ತಕ್ಷಣವೇ ಗುರುತಿಸಲು ನಮಗೆ ಸಹಾಯ ಮಾಡಿತು. ಇತರ ದೇಶಗಳಿಂದ ಎಲ್ಲಾ ಸಂಪರ್ಕಗಳನ್ನು ನಿರ್ಬಂಧಿಸುವ ಮೂಲಕ, ನಾವು ದಾಳಿಗಳ ಸಂಖ್ಯೆಯನ್ನು 2 ಪಟ್ಟು ಕಡಿಮೆ ಮಾಡಿದ್ದೇವೆ ಮತ್ತು ರಷ್ಯಾದೊಳಗಿನ ದಾಳಿಗಳನ್ನು ಶಾಂತವಾಗಿ ನಿಭಾಯಿಸಬಹುದು.
ಪಾರ್ಸಿಂಗ್ ಮಾಡಿದ ನಂತರ, ನಾವು ಯಾವ ಮಾಹಿತಿಯನ್ನು ಸಂಗ್ರಹಿಸಬೇಕು ಮತ್ತು ದೃಶ್ಯೀಕರಿಸಬೇಕು ಎಂದು ಹುಡುಕಲು ಪ್ರಾರಂಭಿಸಿದೆವು. ಎಲ್ಲವನ್ನೂ ಲಾಗ್ನಲ್ಲಿ ಬಿಡುವುದು ಅಪ್ರಾಯೋಗಿಕವಾಗಿತ್ತು: ಒಂದು ಸೂಚ್ಯಂಕದ ಗಾತ್ರ ದೊಡ್ಡದಾಗಿತ್ತು - 7 GB. ಫೈಲ್ ಅನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲು ELK ಗೆ ಸಾಕಷ್ಟು ಸಮಯ ಬೇಕಾಯಿತು. ಅದೇ ಸಮಯದಲ್ಲಿ, ಎಲ್ಲಾ ಮಾಹಿತಿಯು ಉಪಯುಕ್ತವಾಗಿರಲಿಲ್ಲ. ಏನನ್ನಾದರೂ ನಕಲು ಮಾಡಲಾಗಿದೆ ಮತ್ತು ಹೆಚ್ಚುವರಿ ಜಾಗವನ್ನು ತೆಗೆದುಕೊಂಡಿತು - ಅದನ್ನು ಅತ್ಯುತ್ತಮವಾಗಿಸುವ ಅಗತ್ಯವಿದೆ.
ಮೊದಲಿಗೆ, ನಾವು ಸೂಚ್ಯಂಕವನ್ನು ಸರಳವಾಗಿ ನೋಡಿದೆವು ಮತ್ತು ಅನಗತ್ಯ ಘಟನೆಗಳನ್ನು ಅಳಿಸಿದೆವು. ಇದು ಫೋರ್ಟಿವೆಬ್ನಲ್ಲಿಯೇ ಲಾಗ್ಗಳೊಂದಿಗೆ ಕೆಲಸ ಮಾಡುವುದಕ್ಕಿಂತ ಹೆಚ್ಚು ಅನಾನುಕೂಲಕರ ಮತ್ತು ದೀರ್ಘವಾಗಿತ್ತು. ಈ ಹಂತದಲ್ಲಿ "ಮರ"ದ ಏಕೈಕ ಪ್ರಯೋಜನವೆಂದರೆ ನಾವು ಒಂದು ಪರದೆಯಲ್ಲಿ ದೊಡ್ಡ ಅವಧಿಯನ್ನು ದೃಶ್ಯೀಕರಿಸಲು ಸಾಧ್ಯವಾಯಿತು.
ನಾವು ಹತಾಶರಾಗಲಿಲ್ಲ, ನಾವು ELK ಅಧ್ಯಯನವನ್ನು ಮುಂದುವರೆಸಿದೆವು ಮತ್ತು ಅಗತ್ಯ ಮಾಹಿತಿಯನ್ನು ಹೊರತೆಗೆಯಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ ಎಂದು ನಂಬಿದ್ದೆವು. ಸೂಚ್ಯಂಕಗಳನ್ನು ಸ್ವಚ್ಛಗೊಳಿಸಿದ ನಂತರ, ಅಲ್ಲಿ ಏನಿದೆ ಎಂದು ನಾವು ದೃಶ್ಯೀಕರಿಸಲು ಪ್ರಾರಂಭಿಸಿದೆವು. ನಾವು ದೊಡ್ಡ ಡ್ಯಾಶ್ಬೋರ್ಡ್ಗಳಿಗೆ ಹೇಗೆ ಬಂದೆವು. ನಾವು ವಿಜೆಟ್ಗಳನ್ನು ಅಂಟಿಸಿದ್ದೇವೆ - ದೃಶ್ಯ ಮತ್ತು ಸೊಗಸಾದ, ನಿಜವಾದ ЁLKa!
ದಾಳಿಯ ಕ್ಷಣವನ್ನು ದಾಖಲಿಸಲಾಗಿದೆ. ಈಗ ನಾವು ದಾಳಿಯ ಆರಂಭವು ಗ್ರಾಫ್ನಲ್ಲಿ ಹೇಗೆ ಕಾಣುತ್ತದೆ ಎಂಬುದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಬೇಕಾಗಿದೆ. ಅದನ್ನು ಪತ್ತೆಹಚ್ಚಲು, ನಾವು ಬಳಕೆದಾರರಿಗೆ ಸರ್ವರ್ನ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು (ರಿಟರ್ನ್ ಕೋಡ್ಗಳು) ನೋಡಿದ್ದೇವೆ. ನಾವು ಈ ಕೆಳಗಿನ ಕೋಡ್ಗಳೊಂದಿಗೆ (rc) ಸರ್ವರ್ ಪ್ರತಿಕ್ರಿಯೆಗಳಲ್ಲಿ ಆಸಕ್ತಿ ಹೊಂದಿದ್ದೇವೆ:
ಕೋಡ್ (ಆರ್ಸಿ)
ಶೀರ್ಷಿಕೆ
ವಿವರಣೆ
0
ಡ್ರಾಪ್
ಸರ್ವರ್ಗೆ ವಿನಂತಿಯನ್ನು ನಿರ್ಬಂಧಿಸಲಾಗಿದೆ.
200
Ok
ವಿನಂತಿಯನ್ನು ಯಶಸ್ವಿಯಾಗಿ ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲಾಗಿದೆ
400
ಕೆಟ್ಟ ವಿನಂತಿ
ಅಮಾನ್ಯ ವಿನಂತಿ
403
ನಿಷೇಧಿಸಲಾಗಿದೆ
ಅಧಿಕಾರ ನಿರಾಕರಿಸಲಾಗಿದೆ
500
ಆಂತರಿಕ ಸರ್ವರ್ ದೋಷ
ಸೇವೆ ಲಭ್ಯವಿಲ್ಲ
ಯಾರಾದರೂ ಸೈಟ್ ಮೇಲೆ ದಾಳಿ ಮಾಡಲು ಪ್ರಾರಂಭಿಸಿದರೆ, ಕೋಡ್ಗಳ ಅನುಪಾತವು ಬದಲಾಗುತ್ತದೆ:
- ಕೋಡ್ 400 ನೊಂದಿಗೆ ಹೆಚ್ಚು ತಪ್ಪಾದ ವಿನಂತಿಗಳಿದ್ದರೆ ಮತ್ತು ಕೋಡ್ 200 ನೊಂದಿಗೆ ಸಾಮಾನ್ಯ ವಿನಂತಿಗಳ ಸಂಖ್ಯೆ ಒಂದೇ ಆಗಿದ್ದರೆ, ಯಾರೋ ಸೈಟ್ ಅನ್ನು ಹ್ಯಾಕ್ ಮಾಡಲು ಪ್ರಯತ್ನಿಸುತ್ತಿದ್ದಾರೆ ಎಂದರ್ಥ.
- ಕೋಡ್ 0 ನೊಂದಿಗೆ ವಿನಂತಿಗಳು ಸಹ ಬೆಳೆದರೆ, ಫೋರ್ಟಿವೆಬ್ ನೀತಿಗಳು ಸಹ ದಾಳಿಯನ್ನು "ನೋಡಿದವು" ಮತ್ತು ಅದಕ್ಕೆ ನಿರ್ಬಂಧಿಸುವಿಕೆಯನ್ನು ಅನ್ವಯಿಸಿದವು.
- ಕೋಡ್ 500 ಇರುವ ಸಂದೇಶಗಳ ಸಂಖ್ಯೆ ಹೆಚ್ಚಾದರೆ, ಈ ಐಪಿ ವಿಳಾಸಗಳಿಗೆ ಸೈಟ್ ಲಭ್ಯವಿಲ್ಲ ಎಂದರ್ಥ - ಇದು ಒಂದು ರೀತಿಯ ನಿರ್ಬಂಧಿಸುವಿಕೆಯೂ ಆಗಿದೆ.
ಮೂರನೇ ತಿಂಗಳ ಹೊತ್ತಿಗೆ, ಈ ಚಟುವಟಿಕೆಯನ್ನು ಪತ್ತೆಹಚ್ಚಲು ನಾವು ಡ್ಯಾಶ್ಬೋರ್ಡ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿದ್ದೇವೆ.
ಎಲ್ಲವನ್ನೂ ಹಸ್ತಚಾಲಿತವಾಗಿ ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡುವುದನ್ನು ತಪ್ಪಿಸಲು, ನಾವು ನಾಗಿಯೋಸ್ನೊಂದಿಗೆ ಏಕೀಕರಣವನ್ನು ಸ್ಥಾಪಿಸಿದ್ದೇವೆ, ಅದು ನಿಯಮಿತ ಮಧ್ಯಂತರದಲ್ಲಿ ELK ಅನ್ನು ಸಮೀಕ್ಷೆ ಮಾಡಿತು. ಅದು ಕೋಡ್ಗಳಿಗಾಗಿ ಮಿತಿ ಮೌಲ್ಯಗಳ ಸಾಧನೆಯನ್ನು ದಾಖಲಿಸಿದರೆ, ಅದು ಅನುಮಾನಾಸ್ಪದ ಚಟುವಟಿಕೆಯ ಕುರಿತು ಕರ್ತವ್ಯ ಅಧಿಕಾರಿಗಳಿಗೆ ಅಧಿಸೂಚನೆಯನ್ನು ಕಳುಹಿಸುತ್ತದೆ.
ಮೇಲ್ವಿಚಾರಣಾ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಸಂಯೋಜಿತ 4 ಗ್ರಾಫ್ಗಳು. ದಾಳಿಯನ್ನು ತಡೆಯದ ಮತ್ತು ಎಂಜಿನಿಯರ್ನ ಹಸ್ತಕ್ಷೇಪದ ಅಗತ್ಯವಿರುವ ಕ್ಷಣವನ್ನು ಗ್ರಾಫ್ಗಳಲ್ಲಿ ನೋಡುವುದು ಈಗ ಮುಖ್ಯವಾಗಿತ್ತು. 4 ವಿಭಿನ್ನ ಗ್ರಾಫ್ಗಳಲ್ಲಿ ನಮ್ಮ ಕಣ್ಣುಗಳು ಮಸುಕಾಗುತ್ತಿದ್ದವು. ಆದ್ದರಿಂದ ನಾವು ಗ್ರಾಫ್ಗಳನ್ನು ಒಟ್ಟುಗೂಡಿಸಿ ಎಲ್ಲವನ್ನೂ ಒಂದೇ ಪರದೆಯಲ್ಲಿ ವೀಕ್ಷಿಸಲು ಪ್ರಾರಂಭಿಸಿದೆವು.
ಮೇಲ್ವಿಚಾರಣೆಯ ಸಮಯದಲ್ಲಿ, ವಿವಿಧ ಬಣ್ಣಗಳ ಗ್ರಾಫ್ಗಳು ಹೇಗೆ ಬದಲಾಗುತ್ತವೆ ಎಂಬುದನ್ನು ನಾವು ವೀಕ್ಷಿಸಿದ್ದೇವೆ. ಕೆಂಪು ಬಣ್ಣದ ಸ್ಪ್ಲಾಶ್ ದಾಳಿ ಪ್ರಾರಂಭವಾಗಿದೆ ಎಂದು ತೋರಿಸಿದೆ ಮತ್ತು ಕಿತ್ತಳೆ ಮತ್ತು ನೀಲಿ ಗ್ರಾಫ್ಗಳು ಫೋರ್ಟಿವೆಬ್ನ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಪ್ರದರ್ಶಿಸಿದವು:
ಇಲ್ಲಿ ಎಲ್ಲವೂ ಚೆನ್ನಾಗಿದೆ: "ಕೆಂಪು" ಚಟುವಟಿಕೆಯ ಉಲ್ಬಣವಿತ್ತು, ಆದರೆ ಫೋರ್ಟಿವೆಬ್ ನಿಭಾಯಿಸಿತು ಮತ್ತು ದಾಳಿಯ ವೇಳಾಪಟ್ಟಿ ವ್ಯರ್ಥವಾಯಿತು.
ಹಸ್ತಕ್ಷೇಪದ ಅಗತ್ಯವಿರುವ ಗ್ರಾಫ್ನ ಉದಾಹರಣೆಯನ್ನು ನಾವು ನಮಗಾಗಿ ಚಿತ್ರಿಸಿದ್ದೇವೆ:
ಇಲ್ಲಿ ನಾವು FortiWeb ತನ್ನ ಚಟುವಟಿಕೆಯನ್ನು ಹೆಚ್ಚಿಸಿರುವುದನ್ನು ನೋಡುತ್ತೇವೆ, ಆದರೆ ಕೆಂಪು ದಾಳಿಯ ಗ್ರಾಫ್ ಕಡಿಮೆಯಾಗಿಲ್ಲ. ನಾವು WAF ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬದಲಾಯಿಸಬೇಕಾಗಿದೆ.
ರಾತ್ರಿ ವೇಳೆ ನಡೆಯುವ ಘಟನೆಗಳ ತನಿಖೆ ಕೂಡ ಸುಲಭವಾಗಿದೆ. ಸ್ಥಳದ ರಕ್ಷಣೆಗೆ ಬರುವ ಸಮಯ ಬಂದಾಗ ಗ್ರಾಫ್ ತಕ್ಷಣ ತೋರಿಸುತ್ತದೆ.
ಕೆಲವೊಮ್ಮೆ ರಾತ್ರಿಯಲ್ಲಿ ಹೀಗೆಯೇ ಆಗುತ್ತದೆ. ಕೆಂಪು ಗ್ರಾಫ್ - ದಾಳಿ ಪ್ರಾರಂಭವಾಯಿತು. ನೀಲಿ - ಫೋರ್ಟಿವೆಬ್ ಚಟುವಟಿಕೆ. ದಾಳಿಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನಿರ್ಬಂಧಿಸಲಾಗಿಲ್ಲ, ನಾವು ಮಧ್ಯಪ್ರವೇಶಿಸಬೇಕಾಯಿತು.
ನಾವು ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತಿದ್ದೇವೆ?
ನಾವು ಪ್ರಸ್ತುತ ELK ಜೊತೆ ಕೆಲಸ ಮಾಡಲು ಕರ್ತವ್ಯ ನಿರ್ವಾಹಕರಿಗೆ ತರಬೇತಿ ನೀಡುತ್ತಿದ್ದೇವೆ. ಕರ್ತವ್ಯ ನಿರ್ವಾಹಕರು ಡ್ಯಾಶ್ಬೋರ್ಡ್ನಲ್ಲಿ ಪರಿಸ್ಥಿತಿಯನ್ನು ನಿರ್ಣಯಿಸಲು ಕಲಿಯುತ್ತಾರೆ ಮತ್ತು ಫೋರ್ಟಿವೆಬ್ ತಜ್ಞರಿಗೆ ತಲುಪುವ ಸಮಯ ಬಂದಿದೆಯೇ ಅಥವಾ ದಾಳಿಯನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಹಿಮ್ಮೆಟ್ಟಿಸಲು WAF ನೀತಿಗಳು ಸಾಕಾಗುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತಾರೆ. ಈ ರೀತಿಯಾಗಿ, ನಾವು ರಾತ್ರಿಯಲ್ಲಿ ಮಾಹಿತಿ ಭದ್ರತಾ ಎಂಜಿನಿಯರ್ಗಳ ಕೆಲಸದ ಹೊರೆಯನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತೇವೆ ಮತ್ತು ಸಿಸ್ಟಮ್ ಮಟ್ಟದಲ್ಲಿ ಬೆಂಬಲದಲ್ಲಿ ಪಾತ್ರಗಳನ್ನು ವಿಭಜಿಸುತ್ತೇವೆ. ಸೈಬರ್ ರಕ್ಷಣಾ ಕೇಂದ್ರವು ಮಾತ್ರ ಫೋರ್ಟಿವೆಬ್ಗೆ ಪ್ರವೇಶವನ್ನು ಹೊಂದಿದೆ ಮತ್ತು ತುರ್ತಾಗಿ ಅಗತ್ಯವಿದ್ದರೆ ಅವರು ಮಾತ್ರ WAF ಸೆಟ್ಟಿಂಗ್ಗಳಿಗೆ ಬದಲಾವಣೆಗಳನ್ನು ಮಾಡುತ್ತಾರೆ.
ಗ್ರಾಹಕರಿಗೆ ವರದಿ ಮಾಡುವ ಕೆಲಸವನ್ನೂ ನಾವು ಮಾಡುತ್ತಿದ್ದೇವೆ. WAF ಕಾರ್ಯಾಚರಣೆಯ ಚಲನಶೀಲತೆಯ ಡೇಟಾ ಗ್ರಾಹಕರ ವೈಯಕ್ತಿಕ ಖಾತೆಯಲ್ಲಿ ಲಭ್ಯವಿರುತ್ತದೆ ಎಂದು ನಾವು ಯೋಜಿಸಿದ್ದೇವೆ. WAF ಅನ್ನು ಸಂಪರ್ಕಿಸುವ ಅಗತ್ಯವಿಲ್ಲದೆ ELK ಪರಿಸ್ಥಿತಿಯನ್ನು ಹೆಚ್ಚು ಪಾರದರ್ಶಕಗೊಳಿಸುತ್ತದೆ.
ಗ್ರಾಹಕರು ತಮ್ಮ ರಕ್ಷಣೆಯನ್ನು ನೈಜ ಸಮಯದಲ್ಲಿ ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಲು ಬಯಸಿದರೆ, ELK ಸಹ ಸೂಕ್ತವಾಗಿ ಬರುತ್ತದೆ. ಕೆಲಸದಲ್ಲಿ ಗ್ರಾಹಕರ ಹಸ್ತಕ್ಷೇಪವು ಇತರರ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವುದರಿಂದ ನಾವು WAF ಗೆ ಪ್ರವೇಶವನ್ನು ನೀಡಲು ಸಾಧ್ಯವಿಲ್ಲ. ಆದರೆ ನೀವು ಪ್ರತ್ಯೇಕ ELK ಅನ್ನು ಹೊಂದಿಸಬಹುದು ಮತ್ತು ಅದನ್ನು "ಆಟವಾಡಲು" ನೀಡಬಹುದು.
ನಾವು ಇತ್ತೀಚೆಗೆ ಸಂಗ್ರಹಿಸಿರುವ "ಕ್ರಿಸ್ಮಸ್ ಮರ"ವನ್ನು ಬಳಸುವ ಸನ್ನಿವೇಶಗಳು ಇಲ್ಲಿವೆ. ಈ ವಿಷಯದ ಕುರಿತು ನಿಮ್ಮ ಆಲೋಚನೆಗಳನ್ನು ಹಂಚಿಕೊಳ್ಳಿ ಮತ್ತು ಮರೆಯಬೇಡಿ ಡೇಟಾಬೇಸ್ ಸೋರಿಕೆಯನ್ನು ತಪ್ಪಿಸಲು.
ಮೂಲ: www.habr.com
