3. 탄력적 스택: 보안 로그 분석. 대시보드

이전 글에서는 엘크 스택과 로그 파서용 Logstash 구성 파일 설정에 대해 조금 알아봤습니다. 이번 글에서는 분석적 관점에서 가장 중요한 것, 즉 로그 파서에서 보고 싶은 내용을 살펴보겠습니다. 시스템과 모든 것이 무엇을 위해 만들어졌는지 - 그래프와 테이블이 결합되어 있습니다. 대시보드. 오늘은 시각화 시스템에 대해 자세히 살펴 보겠습니다. 키바 나에서는 그래프와 테이블을 생성하는 방법을 살펴보고 결과적으로 체크포인트 방화벽의 로그를 기반으로 간단한 대시보드를 구축해 보겠습니다.

Kibana 작업의 첫 번째 단계는 다음을 생성하는 것입니다. 인덱스 패턴, 논리적으로 이것은 특정 원칙에 따라 통합된 인덱스의 기반입니다. 물론, 이는 순전히 Kibana가 동시에 모든 인덱스에 걸쳐 정보를 더 편리하게 검색할 수 있도록 하기 위한 설정입니다. "checkpoint-*"와 같은 문자열과 인덱스 이름을 일치시켜 설정됩니다. 예를 들어 "checkpoint-2019.12.05"는 패턴에 적합하지만 단순히 "checkpoint"는 더 이상 존재하지 않습니다. 검색에서는 동시에 서로 다른 인덱스 패턴에 대한 정보를 검색하는 것이 불가능하다는 점을 별도로 언급할 가치가 있습니다. 잠시 후의 후속 기사에서 API 요청이 인덱스 이름 또는 인덱스 이름으로 수행되는 것을 볼 수 있습니다. 패턴 라인에서 그림을 클릭할 수 있습니다.

그런 다음 Discover 메뉴에서 모든 로그가 색인화되어 있고 올바른 파서가 구성되어 있는지 확인합니다. 예를 들어 데이터 유형을 문자열에서 정수로 변경하는 등 불일치가 발견되면 Logstash 구성 파일을 편집해야 하며 결과적으로 새 로그가 올바르게 기록됩니다. 변경 전에 이전 로그가 원하는 형식을 취하려면 재인덱싱 프로세스만 도움이 됩니다. 후속 문서에서 이 작업에 대해 자세히 설명합니다. 모든 것이 올바른지 확인하세요. 사진을 클릭할 수 있습니다.

로그가 준비되어 있으므로 대시보드 구축을 시작할 수 있습니다. 보안 제품의 대시보드 분석을 기반으로 조직의 정보 보안 상태를 파악하고, 현재 정책의 취약점을 명확하게 파악하며, 이를 제거할 수 있는 방법을 개발할 수 있습니다. 여러 시각화 도구를 사용하여 작은 대시보드를 만들어 보겠습니다. 대시보드는 5가지 구성요소로 구성됩니다.

1. 블레이드별 총 로그 수를 계산하는 표
2. 중요한 IPS 서명에 대한 표
3. 위협 예방 이벤트에 대한 원형 차트
4. 가장 인기 있는 방문 사이트 차트
5. 가장 위험한 애플리케이션 사용에 대한 차트

시각화 수치를 생성하려면 메뉴로 이동해야 합니다. 눈에 보이게하다, 그리고 우리가 만들고 싶은 원하는 피규어를 선택하세요! 순서대로 가자.

블레이드별 총 로그 수를 계산하는 표

이렇게 하려면 그림을 선택하세요. 데이터 표, 우리는 그래프를 생성하는 장비에 속합니다. 왼쪽은 그림의 설정이고 오른쪽은 현재 설정에서 어떻게 보이는지입니다. 먼저 완성된 테이블이 어떤 모습일지 보여드리겠습니다. 그런 다음 설정을 살펴보고 그림을 클릭할 수 있습니다.

그림의 자세한 설정은 그림을 클릭할 수 있습니다.

설정을 살펴보겠습니다.

초기 구성 측정항목, 이는 모든 필드가 집계되는 값입니다. 측정항목은 문서에서 어떤 방식으로든 추출된 값을 기반으로 계산됩니다. 값은 일반적으로 다음에서 추출됩니다. 필드 문서이지만 스크립트를 사용하여 생성할 수도 있습니다. 이 경우에 우리는 집계: 개수 (총 로그 수).

그런 다음 테이블을 측정항목이 계산되는 세그먼트(필드)로 나눕니다. 이 기능은 버킷 설정에 의해 수행되며, 이는 2가지 설정 옵션으로 구성됩니다.

1. 행 분할 - 열을 추가한 후 테이블을 행으로 나누기
2. 분할 테이블 - 특정 필드의 값을 기준으로 여러 테이블로 나눕니다.

В 양동이 여러 분할을 추가하여 여러 열이나 테이블을 생성할 수 있습니다. 여기서의 제한 사항은 다소 논리적입니다. 집계에서는 IPv4 범위, 날짜 범위, 용어 등 세그먼트로 나누는 데 사용할 방법을 선택할 수 있습니다. 가장 흥미로운 선택은 바로 약관 и 중요한 용어, 세그먼트 분할은 특정 인덱스 필드의 값에 따라 수행되며, 그 차이는 반환된 값의 수와 표시에 있습니다. 테이블을 블레이드 이름으로 나누고 싶으므로 필드를 선택합니다. product.keyword 크기를 반환된 값 25개로 설정합니다.

문자열 대신 Elasticsearch는 두 가지 데이터 유형을 사용합니다. 본문 и 키워드는. 전체 텍스트 검색을 수행하려면 텍스트 유형을 사용해야 합니다. 이는 검색 서비스를 작성할 때 매우 편리한 기능입니다. 예를 들어 특정 필드 값(텍스트)에서 언급된 단어를 찾습니다. 정확한 일치만 원하는 경우 키워드 유형을 사용해야 합니다. 또한, 우리의 경우에는 정렬이나 집계가 필요한 필드에 키워드 데이터 유형을 사용해야 합니다.

결과적으로 Elasticsearch는 특정 시간 동안의 로그 수를 제품 필드의 값으로 집계하여 계산합니다. Custom Label에서 테이블에 표시될 열의 이름을 설정하고, 로그를 수집하는 시간을 설정하고, 렌더링을 시작합니다. Kibana는 Elasticsearch에 요청을 보내고, 응답을 기다린 후 수신된 데이터를 시각화합니다. 테이블이 준비되었습니다!

위협 예방 이벤트에 대한 원형 차트

특히 흥미로운 점은 백분율로 나타낸 반응 수에 대한 정보입니다. 검색 и 예방 현행 보안정책의 정보보안사고에 관한 사항입니다. 원형 차트는 이러한 상황에 적합합니다. 시각화에서 선택 - 파이 차트. 또한 측정항목에서는 로그 수를 기준으로 집계를 설정합니다. 버킷에는 용어 => 작업을 넣습니다.

모든 것이 올바른 것 같지만 결과에는 모든 블레이드에 대한 값이 표시되므로 Threat Prevention 프레임워크 내에서 작동하는 블레이드만 필터링하면 됩니다. 그러므로 우리는 그것을 확실히 설정했습니다. 필터 정보 보안 사고를 담당하는 블레이드에 대해서만 정보를 검색하기 위해 - 제품: (“Anti-Bot” OR “New Anti-Virus” OR “DDoS Protector” OR “SmartDefense” OR “Threat Emulation”). 사진을 클릭할 수 있습니다:

더 자세한 설정은 사진을 클릭할 수 있습니다.

IPS 이벤트 테이블

다음으로, 정보 보안 관점에서 매우 중요한 것은 블레이드의 이벤트를 보고 확인하는 것입니다. IPS и 위협 에뮬레이션그 차단되지 않았습니다 현재 정책에 따라 이후에 서명을 변경하여 방지하거나 트래픽이 유효한 경우 서명을 확인하지 마십시오. 첫 번째 예와 동일한 방식으로 테이블을 생성하지만 여러 열(protections.keyword, 심각도.keyword, product.keyword, Originsicname.keyword)을 생성한다는 점만 다릅니다. 정보 보안 사고를 담당하는 블레이드(제품: "SmartDefense" 또는 "Threat Emulation")에 대한 정보만 검색하려면 필터를 설정해야 합니다. 사진을 클릭할 수 있습니다:

더 자세한 설정은 사진을 클릭할 수 있습니다.

가장 많이 방문한 사이트에 대한 차트

이렇게하려면 그림을 만드십시오 - 수직 바. 또한 개수(Y축)를 측정항목으로 사용하고, X축에서는 방문한 사이트의 이름을 "appi_name" 값으로 사용합니다. 여기에는 약간의 트릭이 있습니다. 현재 버전에서 설정을 실행하면 모든 사이트가 차트에 동일한 색상으로 표시됩니다. 여러 색상으로 만들기 위해 "시리즈 분할"이라는 추가 설정을 사용합니다. 이를 통해 이미 만들어진 열을 선택한 필드에 따라 더 많은 값으로 나눌 수 있습니다! 이 분할은 스택 모드의 값에 따라 하나의 다색 열로 사용될 수도 있고, X축의 특정 값에 따라 여러 열을 생성하기 위해 일반 모드에서 사용될 수도 있습니다. X 축과 동일한 값을 사용하면 모든 열을 여러 색상으로 만들 수 있으며 오른쪽 상단에 색상으로 표시됩니다. 방문한 사이트의 정보만 보기 위해 제품: "URL 필터링"으로 설정한 필터에서 그림을 클릭할 수 있습니다.

설정:

가장 위험한 애플리케이션 사용에 대한 다이어그램

이렇게 하려면 수직 막대라는 그림을 만듭니다. 또한 개수(Y축)를 측정항목으로 사용하고, X축에는 사용된 애플리케이션 이름인 "appi_name"을 값으로 사용합니다. 가장 중요한 것은 필터 설정입니다. 제품: “Application Control” AND app_risk: (4 OR 5 OR 3 ) AND action: “accept”. 우리는 심각, 높음, 중간 위험 사이트로 분류된 사이트와 해당 사이트에 대한 액세스가 허용된 경우에만 응용 프로그램 제어 블레이드를 기준으로 로그를 필터링합니다. 사진을 클릭할 수 있습니다:

설정, 클릭 가능:

계기반

대시보드 보기 및 생성은 별도의 메뉴 항목에 있습니다. 대시보드. 여기에서는 모든 것이 간단합니다. 새 대시보드가 ​​생성되고 시각화가 추가되어 제자리에 배치됩니다.

우리는 조직의 정보 보안 상태에 대한 기본 상황을 이해할 수 있는 대시보드를 만들고 있습니다. 물론 체크 포인트 수준에서만 그림을 클릭할 수 있습니다.

이러한 그래프를 기반으로 우리는 방화벽에서 어떤 중요한 서명이 차단되지 않는지, 사용자가 어디로 가는지, 그들이 사용하는 가장 위험한 응용 프로그램은 무엇인지 이해할 수 있습니다.

결론

Kibana의 기본 시각화 기능을 살펴보고 대시보드를 구축했지만 이는 작은 부분에 불과합니다. 또한 이 과정에서는 지도 설정, Elasticsearch 시스템 작업, API 요청, 자동화 등에 대해 자세히 살펴보겠습니다.

그러니 계속 지켜봐 주시기 바랍니다(텔레그램, 페이스북, VK, TS 솔루션 블로그), Yandex.Dzena.

출처 : habr.com