ELK SIEM Open Distro: ELK에서 ELK 및 SIEM 대시보드 시각화

이 게시물에서는 ELK에서 ELK 및 SIEM 대시보드의 시각화 설정에 대해 설명합니다.
이 기사는 다음 섹션으로 나누어져 있습니다.

1- ELK SIEM 검토
2- 기본 대시보드
3- 첫 번째 대시보드 만들기

모든 게시물의 목차입니다.

• 소개. SOCasS(SOC as a Service)를 위한 인프라 및 기술 배포
• ELK 스택 - 설치 및 구성
• 열린 Distro를 살펴보세요
• 대시보드 및 ELK SIEM 시각화
• WAZUH와의 통합
• 경고
• 보고
• 케이스 관리

1-ELK SIEM 검토

ELK SIEM은 최근 7.2년 25월 2019일 버전 XNUMX의 Elk 스택에 추가되었습니다.

이것은 보안 분석가의 삶을 훨씬 더 쉽고 덜 지루하게 만들기 위해 elastic.co가 만든 SIEM 솔루션입니다.

우리 버전의 작업에서는 자체 SIEM을 만들고 자체 제어판을 선택하기로 결정했습니다.

하지만 ELK SIEM을 먼저 살펴보는 것이 중요하다고 생각합니다.

1.1- 호스트 이벤트 섹션

먼저 호스트 섹션을 살펴보겠습니다. 호스트 섹션을 사용하면 엔드포인트 자체에서 생성된 이벤트를 볼 수 있습니다.

호스트 보기를 클릭하면 다음과 같은 내용이 표시됩니다. 보시다시피 이 컴퓨터에는 세 개의 호스트가 연결되어 있습니다.

1 윈도우 10.

2 우분투 서버 18.04.

여러 가지 시각화가 표시되어 있으며 각각은 다양한 유형의 이벤트를 나타냅니다.

예를 들어, 중간에 있는 것은 세 시스템 모두의 로그인 데이터를 보여줍니다.

여기에 표시된 데이터의 양은 XNUMX일 동안 수집되었습니다. 이것은 많은 수의 로그인 실패 및 성공을 설명합니다. 아마도 적은 수의 로그가 있을 것이므로 걱정하지 마십시오.

1.2- 네트워크 이벤트 섹션

네트워크 섹션으로 이동하면 다음과 같은 내용이 표시됩니다. 이 섹션에서는 HTTP/TLS 트래픽부터 DNS 트래픽 및 외부 이벤트 경고에 이르기까지 네트워크에서 발생하는 모든 것을 면밀히 관찰할 수 있습니다.

2- 기본 대시보드

사용자의 삶을 더 쉽게 만들기 위해 elastic.co 개발자는 ELK에서 공식적으로 지원하는 기본 도구 모음을 만들었습니다. 우리 비트도 이 규칙에서 예외는 아니었습니다. 여기서는 Packetbeat의 기본 대시보드를 예로 사용하겠습니다.

기사의 XNUMX단계를 올바르게 수행했다면. 도구 모음이 여러분을 기다리고 있을 것입니다. 그럼 시작해 보겠습니다.

Kibana의 왼쪽 탭에서 대시보드 기호를 선택합니다. 위에서부터 세어 보면 이번이 세 번째다.

검색 탭에 공유 이름을 입력하세요.

비트에 여러 모듈이 있는 경우. 각각에 대해 제어판이 생성됩니다. 그러나 모듈이 활성화된 모듈만 비어 있지 않은 데이터를 표시합니다.

모듈 이름이 있는 것을 선택하세요.

메인 템플릿입니다 패킷비트.

네트워크 흐름 제어판입니다. 이는 들어오고 나가는 패킷, IP 주소의 소스 및 대상에 대해 알려주고 보안 센터 분석가에게 유용한 정보를 많이 제공합니다.

3 — 첫 번째 대시보드 만들기

3-1- 기본 개념

A- 대시보드 유형:

이는 데이터를 시각화하는 데 사용할 수 있는 다양한 유형의 시각화입니다.

예를 들어 다음과 같습니다.

• 막대 그래프
• 지도
• 마크다운 위젯
• 파이 차트

B- KQL(Kibana 쿼리 언어):

이는 데이터를 쉽게 검색하기 위해 Kibana에서 사용되는 언어입니다. 이를 통해 특정 데이터가 존재하는지와 기타 여러 유용한 기능이 있는지 확인할 수 있습니다. 자세한 내용을 알아보려면 이 링크에서 정보를 살펴보세요.

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

이는 Windows 10 pro를 실행하는 호스트를 찾는 쿼리 예시입니다.

C-필터:

이 기능을 사용하면 호스트 이름, 이벤트 코드 또는 ID 등과 같은 특정 매개변수를 필터링할 수 있습니다. 필터는 증거 검색에 소요되는 시간과 노력 측면에서 조사 단계를 크게 향상시킵니다.

D- 첫 번째 시각화:

MITRE ATT & CK에 대한 시각화를 만들어 보겠습니다.

먼저 우리는 다음으로 가야 해요 대시보드 → 새 대시보드 생성 → 새로 생성 → 파이 대시보드

인덱스 패턴 유형을 설정한 다음 비트 이름을 탭하세요.

엔터 키를 치시오. 이제 녹색 도넛이 보일 것입니다.

왼쪽의 버킷 탭에는 다음이 있습니다.

— 분할 조각은 데이터의 확산에 따라 도넛을 여러 부분으로 나눕니다.

- 분할 차트는 이 도넛 옆에 또 다른 도넛을 생성합니다.

분할 슬라이스를 사용하겠습니다.

선택한 용어에 따라 데이터를 시각화하겠습니다. 이 경우 용어는 MITRE ATT & CK를 나타냅니다.

Winlogbeat에서 이 정보를 제공하는 필드는 다음과 같습니다.

winlog.event_data.RuleName

이벤트가 발생한 횟수에 따라 이벤트를 정렬하도록 개수 측정항목을 설정하겠습니다.

"다른 값을 별도의 세그먼트로 그룹화" 기능을 활성화합니다.

선택한 용어가 리듬에 따라 다양한 의미를 갖는 경우 유용합니다. 이는 나머지 데이터를 전체적으로 시각화하는 데 도움이 됩니다. 이를 통해 남은 이벤트의 비율을 알 수 있습니다.

이제 데이터 탭 설정이 완료되었으므로 옵션 탭으로 이동하겠습니다.

다음을 수행해야 합니다.

**렌더링에 완전한 원이 표시되도록 도넛 모양을 제거합니다.

**원하는 레전드 위치를 선택하세요. 이 경우 오른쪽에 표시하겠습니다.

**더 쉽게 읽을 수 있도록 스니펫 옆에 표시할 표시 값을 설정하고 나머지는 기본값으로 둡니다.

잘림은 이벤트 이름에서 표시할 양을 결정합니다.

렌더링을 시작할 시간을 설정한 다음 파란색 사각형을 클릭합니다.

다음과 같이 끝나야 합니다.

시각화에 필터를 추가하여 확인하려는 특정 호스트나 목적에 유용하다고 생각되는 매개변수를 필터링할 수도 있습니다. 시각화에는 필터에 배치된 규칙과 일치하는 데이터만 표시됩니다. 이 경우 win10이라는 호스트에서 오는 MITRE ATT&CK 데이터만 표시합니다.

3-2- 첫 번째 대시보드 만들기:

대시보드는 다양한 시각화 모음입니다. 대시보드는 명확하고 이해하기 쉬우며 유용하고 결정적인 데이터를 포함해야 합니다. 다음은 winlogbeat를 위해 처음부터 만든 대시보드의 예입니다.

시간 내 주셔서 감사합니다. 이 기사가 도움이 되었기를 바랍니다. 해당 주제에 대해 더 많은 정보를 원하시면 방문을 권장합니다. 공식 사이트.

Elasticsearch의 텔레그램 채팅: https://t.me/elasticsearch_ru

출처 : habr.com