ELK SIEM ເປີດ Distro: ການສະແດງພາບຂອງ ELK ແລະ SIEM dashboards ໃນ ELK

ໂພສນີ້ຈະອະທິບາຍການຕັ້ງຄ່າການສະແດງພາບຂອງ ELK ແລະ SIEM dashboards ໃນ ELK
ບົດ​ຄວາມ​ໄດ້​ຖືກ​ແບ່ງ​ອອກ​ເປັນ​ພາກ​ສ່ວນ​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

1- ການທົບທວນ ELK SiEM
2- ແຜງໜ້າປັດເລີ່ມຕົ້ນ
3- ສ້າງ dashboards ທໍາອິດຂອງທ່ານ

ເນື້ອໃນຂອງບົດຄວາມທັງຫມົດ.

• ແນະນຳ. ການນຳໃຊ້ພື້ນຖານໂຄງລ່າງ ແລະເທັກໂນໂລຍີສຳລັບ SOC as a Service (SOCasS)
• ELK stack - ການຕິດຕັ້ງແລະການຕັ້ງຄ່າ
• ຍ່າງຜ່ານ Distro ເປີດ
• ການສະແດງພາບຂອງ Dashboards ແລະ ELK SIEM
• ການປະສົມປະສານກັບ WAZUH
• ແຈ້ງເຕືອນ
• ລາຍງານ
• Case Management

1-ELK SiEM ການທົບທວນຄືນ

ເມື່ອບໍ່ດົນມານີ້ ELK SIEM ໄດ້ຖືກເພີ່ມໃສ່ elk stack ໃນເວີຊັນ 7.2 ໃນວັນທີ 25 ມິຖຸນາ 2019.

ນີ້ແມ່ນການແກ້ໄຂ SIEM ທີ່ສ້າງຂື້ນໂດຍ elastic.co ເພື່ອເຮັດໃຫ້ຊີວິດຂອງນັກວິເຄາະຄວາມປອດໄພງ່າຍຂຶ້ນຫຼາຍແລະບໍ່ເບື່ອຫນ່າຍ.

ໃນສະບັບຂອງພວກເຮົາຂອງການເຮັດວຽກ, ພວກເຮົາໄດ້ຕັດສິນໃຈທີ່ຈະສ້າງ SIEM ຂອງພວກເຮົາເອງແລະເລືອກກະດານຄວບຄຸມຂອງພວກເຮົາເອງ.

ແຕ່ພວກເຮົາຄິດວ່າມັນເປັນສິ່ງສໍາຄັນທີ່ຈະສໍາຫຼວດ ELK SIEM ກ່ອນ.

1.1- ພາກເຫດການເຈົ້າພາບ

ພວກເຮົາຈະເບິ່ງພາກສ່ວນເຈົ້າພາບກ່ອນ. ພາກສ່ວນເຈົ້າພາບຈະຊ່ວຍໃຫ້ທ່ານເຫັນເຫດການທີ່ຖືກສ້າງຂຶ້ນໃນຈຸດສິ້ນສຸດຂອງມັນເອງ.

ຫຼັງຈາກທີ່ຄລິກໃສ່ view hosts ທ່ານຄວນໄດ້ຮັບບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ມີສາມໂຮດທີ່ເຊື່ອມຕໍ່ກັບຄອມພິວເຕີນີ້:

1 Windows 10.

2 Ubuntu Server 18.04.

ພວກ​ເຮົາ​ມີ​ການ​ສະ​ແດງ​ຮູບ​ພາບ​ຈໍາ​ນວນ​ຫນຶ່ງ​, ແຕ່​ລະ​ຄົນ​ສະ​ແດງ​ໃຫ້​ເຫັນ​ປະ​ເພດ​ທີ່​ແຕກ​ຕ່າງ​ກັນ​ຂອງ​ເຫດ​ການ​.

ຕົວຢ່າງ, ຫນຶ່ງໃນກາງສະແດງຂໍ້ມູນການເຂົ້າສູ່ລະບົບໃນເຄື່ອງທັງສາມ.

ຂໍ້ມູນຈໍານວນນີ້ທີ່ທ່ານເຫັນຢູ່ທີ່ນີ້ໄດ້ຖືກເກັບກໍາໃນໄລຍະຫ້າມື້. ນີ້ອະທິບາຍເຖິງຈໍານວນຂະຫນາດໃຫຍ່ຂອງການເຂົ້າສູ່ລະບົບທີ່ລົ້ມເຫລວແລະປະສົບຜົນສໍາເລັດ. ທ່ານອາດຈະມີຈໍານວນຂະຫນາດນ້ອຍຂອງໄມ້ທ່ອນ, ສະນັ້ນບໍ່ຕ້ອງກັງວົນ

1.2- ພາກເຫດການເຄືອຂ່າຍ

ຍ້າຍໄປພາກສ່ວນເຄືອຂ່າຍ, ທ່ານຄວນໄດ້ຮັບບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້. ພາກນີ້ຈະຊ່ວຍໃຫ້ທ່ານສາມາດຕິດຕາມເບິ່ງທຸກຢ່າງທີ່ເກີດຂື້ນໃນເຄືອຂ່າຍຂອງທ່ານ, ຈາກການຈະລາຈອນ HTTP / TLS ໄປຫາການຈະລາຈອນ DNS ແລະການແຈ້ງເຕືອນເຫດການພາຍນອກ.

2- ແຜງໜ້າປັດເລີ່ມຕົ້ນ

ເພື່ອເຮັດໃຫ້ຊີວິດງ່າຍຂຶ້ນສໍາລັບຜູ້ໃຊ້, ຜູ້ພັດທະນາ elastic.co ໄດ້ສ້າງແຖບເຄື່ອງມືເລີ່ມຕົ້ນທີ່ໄດ້ຮັບການສະຫນັບສະຫນູນຢ່າງເປັນທາງການໂດຍ ELK. ການຕີຂອງພວກເຮົາບໍ່ມີຂໍ້ຍົກເວັ້ນຕໍ່ກັບກົດລະບຽບນີ້. ທີ່ນີ້ຂ້ອຍຈະໃຊ້ dashboards ເລີ່ມຕົ້ນຂອງ Packetbeat ເປັນຕົວຢ່າງ.

ຖ້າທ່ານປະຕິບັດຕາມຂັ້ນຕອນທີສອງຂອງບົດຄວາມຢ່າງຖືກຕ້ອງ. ທ່ານຄວນມີແຖບເຄື່ອງມືທີ່ຕັ້ງໄວ້ລໍຖ້າທ່ານ. ສະນັ້ນໃຫ້ເລີ່ມຕົ້ນ.

ຈາກແຖບຊ້າຍຂອງ Kibana, ເລືອກສັນຍາລັກ dashboard. ນີ້ແມ່ນອັນທີສາມ, ຖ້າທ່ານນັບຈາກດ້ານເທິງ.

ໃສ່ຊື່ແບ່ງປັນໃນແຖບຄົ້ນຫາ

ຖ້າມີຫລາຍໂມດູນໃນ bit. ກະດານຄວບຄຸມຈະຖືກສ້າງຂື້ນສໍາລັບແຕ່ລະຄົນ. ແຕ່ພຽງແຕ່ຫນຶ່ງທີ່ມີໂມດູນທີ່ເຮັດວຽກຈະສະແດງຂໍ້ມູນທີ່ບໍ່ແມ່ນຫວ່າງເປົ່າ.

ເລືອກອັນທີ່ມີຊື່ໂມດູນຂອງທ່ານ.

ນີ້ແມ່ນແມ່ແບບຕົ້ນຕໍ PacketBeat.

ນີ້ແມ່ນແຜງຄວບຄຸມການໄຫຼເຂົ້າຂອງເຄືອຂ່າຍ. ມັນຈະບອກພວກເຮົາກ່ຽວກັບຊຸດຂາເຂົ້າແລະຂາອອກ, ແຫຼ່ງແລະຈຸດຫມາຍປາຍທາງຂອງທີ່ຢູ່ IP, ແລະຍັງໃຫ້ຂໍ້ມູນທີ່ເປັນປະໂຫຍດຫຼາຍສໍາລັບນັກວິເຄາະສູນຄວາມປອດໄພ.

3 — ການ​ສ້າງ dashboards ທໍາ​ອິດ​ຂອງ​ທ່ານ​

3–1- ແນວຄວາມຄິດພື້ນຖານ

A- ປະເພດຂອງ dashboards:

ເຫຼົ່ານີ້ແມ່ນປະເພດຂອງການສະແດງພາບທີ່ແຕກຕ່າງກັນທີ່ທ່ານສາມາດນໍາໃຊ້ເພື່ອເບິ່ງເຫັນຂໍ້ມູນຂອງທ່ານ.

ສໍາລັບຕົວຢ່າງ, ພວກເຮົາມີ:

• ເສັ້ນສະແດງບາ
• ແຜນທີ່
• ວິດເຈັດ Markdown
• ຕາຕະລາງວົງ

B- KQL (ພາສາສອບຖາມ Kibana):

ນີ້ແມ່ນພາສາທີ່ໃຊ້ໃນ Kibana ສໍາລັບການຊອກຫາຂໍ້ມູນໄດ້ງ່າຍ. ມັນອະນຸຍາດໃຫ້ທ່ານກວດເບິ່ງວ່າມີຂໍ້ມູນທີ່ແນ່ນອນແລະມີຄຸນສົມບັດທີ່ເປັນປະໂຫຍດອື່ນໆ. ເພື່ອຊອກຮູ້ເພີ່ມເຕີມ, ທ່ານສາມາດສຳຫຼວດຂໍ້ມູນໄດ້ທີ່ລິ້ງນີ້

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

ນີ້ແມ່ນຄໍາຖາມຕົວຢ່າງເພື່ອຊອກຫາໂຮດທີ່ໃຊ້ Windows 10 pro.

C- ການກັ່ນຕອງ:

ຄຸນນະສົມບັດນີ້ຈະຊ່ວຍໃຫ້ທ່ານສາມາດກັ່ນຕອງພາລາມິເຕີບາງຢ່າງເຊັ່ນ: ຊື່ເຈົ້າພາບ, ລະຫັດເຫດການຫຼື ID, ແລະອື່ນໆ. ການກັ່ນຕອງຈະຊ່ວຍປັບປຸງໄລຍະການສືບສວນຢ່າງຫຼວງຫຼາຍກ່ຽວກັບເວລາແລະຄວາມພະຍາຍາມໃນການຄົ້ນຫາຫຼັກຖານ.

D- ການສະແດງພາບທຳອິດ:

ມາສ້າງພາບໃຫ້ກັບ MITER ATT & CK.

ທໍາອິດພວກເຮົາຈໍາເປັນຕ້ອງໄປ Dashboard → ສ້າງ dashboard ໃຫມ່ → ສ້າງໃຫມ່ → Pie dashboard

ກໍານົດປະເພດສໍາລັບຮູບແບບດັດສະນີ, ຫຼັງຈາກນັ້ນແຕະຊື່ຂອງຕີຂອງທ່ານ.

ກົດ Enter. ໃນປັດຈຸບັນທ່ານຄວນຈະເຫັນ donut ສີຂຽວ.

ໃນແຖບ Buckets ຢູ່ເບື້ອງຊ້າຍເຈົ້າຈະພົບເຫັນ:

— ແຍກ​ເປັນ​ຕ່ອນ​ຈະ​ແບ່ງ donut ເປັນ​ພາກ​ສ່ວນ​ຕ່າງໆ​ຂຶ້ນ​ກັບ​ການ​ແຜ່​ກະ​ຈາຍ​ຂອງ​ຂໍ້​ມູນ​.

- Split Chart ຈະສ້າງ donut ອີກອັນຖັດຈາກອັນນີ້.

ພວກເຮົາຈະໃຊ້ຕ່ອນຕັດ.

ພວກເຮົາຈະເບິ່ງເຫັນຂໍ້ມູນຂອງພວກເຮົາໂດຍອີງຕາມໄລຍະທີ່ພວກເຮົາເລືອກ. ໃນກໍລະນີນີ້ຄໍາສັບຈະຫມາຍເຖິງ MITER ATT & CK.

ໃນ Winlogbeat, ພາກສະຫນາມທີ່ຈະສະຫນອງຂໍ້ມູນນີ້ໃຫ້ພວກເຮົາເອີ້ນວ່າ:

winlog.event_data.RuleName

ພວກ​ເຮົາ​ຈະ​ຕັ້ງ​ການ​ນັບ​ເມ​ຕ​ຣິກ​ເພື່ອ​ສັ່ງ​ເຫດ​ການ​ໂດຍ​ອີງ​ໃສ່​ຈໍາ​ນວນ​ຄັ້ງ​ທີ່​ມັນ​ເກີດ​ຂຶ້ນ​.

ເປີດໃຊ້ຄຸນສົມບັດ “ກຸ່ມຄ່າອື່ນຢູ່ໃນສ່ວນແຍກຕ່າງຫາກ”.

ນີ້ຈະເປັນປະໂຫຍດຖ້າຂໍ້ກໍານົດທີ່ທ່ານເລືອກມີຄວາມຫມາຍທີ່ແຕກຕ່າງກັນຫຼາຍໂດຍອີງໃສ່ຈັງຫວະ. ນີ້ຈະຊ່ວຍໃຫ້ເບິ່ງເຫັນຂໍ້ມູນສ່ວນທີ່ເຫຼືອໂດຍລວມ. ນີ້ຈະໃຫ້ທ່ານຄິດເຖິງອັດຕາສ່ວນຂອງເຫດການທີ່ຍັງເຫຼືອ.

ຕອນນີ້ພວກເຮົາໄດ້ເຮັດການຕັ້ງຄ່າແຖບຂໍ້ມູນແລ້ວ, ໃຫ້ຍ້າຍໄປທີ່ແຖບຕົວເລືອກ

ເຈົ້າຕ້ອງເຮັດດັ່ງຕໍ່ໄປນີ້:

**ເອົາຮູບໂດນັດອອກເພື່ອໃຫ້ການສະແດງຜົນເປັນວົງເຕັມ.

** ເລືອກ​ຕໍາ​ແຫນ່ງ​ນິ​ທານ​ທີ່​ທ່ານ​ຕ້ອງ​ການ​. ໃນກໍລະນີນີ້, ພວກເຮົາຈະສະແດງໃຫ້ພວກເຂົາຢູ່ເບື້ອງຂວາ.

** ກຳນົດຄ່າການສະແດງຜົນໃຫ້ສະແດງຕໍ່ໄປກັບ snippet ຂອງພວກເຂົາເພື່ອການອ່ານທີ່ງ່າຍຂຶ້ນ ແລະປ່ອຍໃຫ້ສ່ວນທີ່ເຫຼືອເປັນຄ່າເລີ່ມຕົ້ນ

ການຕັດອອກກຳນົດວ່າທ່ານຕ້ອງການສະແດງຫຼາຍປານໃດຈາກຊື່ເຫດການ.

ຕັ້ງເວລາທີ່ທ່ານຕ້ອງການໃຫ້ການສະແດງຜົນເລີ່ມຕົ້ນ, ແລະຫຼັງຈາກນັ້ນໃຫ້ຄລິກໃສ່ສີ່ຫຼ່ຽມສີຟ້າ.

ທ່ານຄວນສິ້ນສຸດດ້ວຍບາງສິ່ງບາງຢ່າງເຊັ່ນນີ້:

ນອກນັ້ນທ່ານຍັງສາມາດເພີ່ມການກັ່ນຕອງການເບິ່ງເຫັນຂອງທ່ານເພື່ອກັ່ນຕອງອອກເຈົ້າພາບສະເພາະທີ່ທ່ານຕ້ອງການກວດສອບຫຼືຕົວກໍານົດການໃດໆທີ່ທ່ານຄິດວ່າເປັນປະໂຫຍດສໍາລັບຈຸດປະສົງຂອງທ່ານ. ການເບິ່ງເຫັນພາບຈະສະແດງຂໍ້ມູນທີ່ກົງກັບກົດລະບຽບທີ່ວາງໄວ້ໃນຕົວກອງເທົ່ານັ້ນ. ໃນກໍລະນີນີ້, ພວກເຮົາຈະສະແດງພຽງແຕ່ຂໍ້ມູນ MITER ATT&CK ທີ່ມາຈາກເຈົ້າພາບທີ່ມີຊື່ວ່າ win10.

3-2- ການສ້າງ dashboard ທໍາອິດຂອງທ່ານ:

dashboard ແມ່ນການເກັບກໍາຮູບພາບຈໍານວນຫຼາຍ. dashboards ຂອງທ່ານຄວນຈະແຈ້ງ, ເຂົ້າໃຈໄດ້, ແລະປະກອບດ້ວຍຂໍ້ມູນທີ່ເປັນປະໂຫຍດ, ຕັດສິນກໍານົດ. ນີ້ແມ່ນຕົວຢ່າງຂອງ dashboards ທີ່ພວກເຮົາສ້າງຕັ້ງແຕ່ເລີ່ມຕົ້ນສໍາລັບ winlogbeat.

ຂອບໃຈສໍາລັບເວລາຂອງເຈົ້າ. ຂ້ອຍຫວັງວ່າເຈົ້າພົບວ່າບົດຄວາມນີ້ມີປະໂຫຍດ. ຖ້າທ່ານຕ້ອງການຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບຫົວຂໍ້, ພວກເຮົາແນະນໍາໃຫ້ທ່ານໄປຢ້ຽມຢາມ ເວັບໄຊທ໌ທາງການ.

Telegram ສົນທະນາກ່ຽວກັບ Elasticsearch: https://t.me/elasticsearch_ru

ແຫຼ່ງຂໍ້ມູນ: www.habr.com