ວິທີການ ELK ຊ່ວຍໃຫ້ວິສະວະກອນຄວາມປອດໄພຕໍ່ສູ້ກັບການໂຈມຕີເວັບໄຊທ໌ແລະນອນຢ່າງສະຫງົບ

ສູນປ້ອງກັນ cyber ຂອງພວກເຮົາມີຄວາມຮັບຜິດຊອບຕໍ່ຄວາມປອດໄພຂອງໂຄງສ້າງເວັບໄຊຕ໌ຂອງລູກຄ້າແລະ repels ການໂຈມຕີໃນສະຖານທີ່ລູກຄ້າ. ເພື່ອປ້ອງກັນການໂຈມຕີ, ພວກເຮົາໃຊ້ FortiWeb Web Application Firewalls (WAFs). ແຕ່ເຖິງແມ່ນວ່າ WAF ທີ່ເຢັນທີ່ສຸດບໍ່ແມ່ນ panacea ແລະບໍ່ໄດ້ປົກປ້ອງ "ອອກຈາກກ່ອງ" ຈາກການໂຈມຕີເປົ້າຫມາຍ. 

ດັ່ງນັ້ນ, ນອກເຫນືອຈາກ WAF, ພວກເຮົາໃຊ້ ELK. ມັນຊ່ວຍເກັບກໍາເຫດການທັງຫມົດຢູ່ໃນສະຖານທີ່ດຽວ, ສະສົມສະຖິຕິ, ເບິ່ງເຫັນມັນແລະຊ່ວຍໃຫ້ພວກເຮົາເຫັນການໂຈມຕີເປົ້າຫມາຍໃນເວລາ.

ມື້ນີ້ຂ້ອຍຈະບອກເຈົ້າໃນລາຍລະອຽດເພີ່ມເຕີມວ່າພວກເຮົາຂ້າມຕົ້ນໄມ້ຄຣິສມາສກັບ WAF ແນວໃດ ແລະມັນມາຈາກຫຍັງ.

ເລື່ອງຂອງການໂຈມຕີຫນຶ່ງ: ທຸກສິ່ງທຸກຢ່າງເຮັດວຽກແນວໃດກ່ອນທີ່ຈະປ່ຽນເປັນ ELK

ໃນຄລາວຂອງພວກເຮົາ, ລູກຄ້າໄດ້ນໍາໃຊ້ຄໍາຮ້ອງສະຫມັກທີ່ຢູ່ເບື້ອງຫຼັງ WAF ຂອງພວກເຮົາ. ຈາກ 10 ຫາ 000 ຜູ້ໃຊ້ເຊື່ອມຕໍ່ກັບເວັບໄຊທ໌ຕໍ່ມື້, ຈໍານວນການເຊື່ອມຕໍ່ໄດ້ບັນລຸ 100 ລ້ານຕໍ່ມື້. ໃນນັ້ນ, ຜູ້ໃຊ້ 000-20 ຄົນເປັນຜູ້ບຸກລຸກ ແລະພະຍາຍາມແຮັກເວັບໄຊ. 

ການບັງຄັບໃຊ້ແບບປົກກະຕິຈາກທີ່ຢູ່ IP ຫນຶ່ງໄດ້ຖືກສະກັດໂດຍ FortiWeb ຂ້ອນຂ້າງງ່າຍດາຍ. ຈໍານວນການຕີໄປຫາເວັບໄຊທ໌ຕໍ່ນາທີແມ່ນສູງກວ່າຜູ້ໃຊ້ທີ່ຖືກຕ້ອງຕາມກົດຫມາຍ. ພວກ​ເຮົາ​ພຽງ​ແຕ່​ຕັ້ງ​ເກນ​ກິດ​ຈະ​ກໍາ​ຈາກ​ທີ່​ຢູ່​ດຽວ​ແລະ​ຕ້ານ​ການ​ໂຈມ​ຕີ​.

ມັນມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະຈັດການກັບ "ການໂຈມຕີຊ້າ", ເມື່ອຜູ້ໂຈມຕີປະຕິບັດຊ້າໆແລະປອມຕົວເປັນລູກຄ້າທໍາມະດາ. ພວກເຂົາໃຊ້ຫຼາຍທີ່ຢູ່ IP ທີ່ເປັນເອກະລັກ. ກິດຈະກໍາດັ່ງກ່າວບໍ່ເບິ່ງຄືວ່າເປັນຜົນບັງຄັບໃຊ້ອັນໃຫຍ່ຫຼວງຕໍ່ WAF, ມັນຍາກທີ່ຈະຕິດຕາມມັນໂດຍອັດຕະໂນມັດ. ແລະຍັງມີຄວາມສ່ຽງຕໍ່ການຂັດຂວາງຜູ້ໃຊ້ປົກກະຕິ. ພວກເຮົາໄດ້ຊອກຫາອາການອື່ນໆຂອງການໂຈມຕີ ແລະຕັ້ງນະໂຍບາຍສໍາລັບການປິດກັ້ນທີ່ຢູ່ IP ໂດຍອັດຕະໂນມັດໂດຍອີງໃສ່ສັນຍານນີ້. ຕົວຢ່າງ, ຫຼາຍໆກອງປະຊຸມທີ່ຜິດກົດຫມາຍມີຊ່ອງຫວ່າງທົ່ວໄປໃນສ່ວນຫົວຄໍາຮ້ອງຂໍ http. ທ່ານມັກຈະຕ້ອງຊອກຫາຊ່ອງຂໍ້ມູນດັ່ງກ່າວດ້ວຍຕົນເອງໃນບັນທຶກເຫດການ FortiWeb. 

ມັນຍາວແລະບໍ່ສະບາຍ. ໃນການເຮັດວຽກມາດຕະຖານຂອງ FortiWeb, ເຫດການຖືກບັນທຶກໄວ້ໃນຂໍ້ຄວາມໃນ 3 ບັນທຶກທີ່ແຕກຕ່າງກັນ: ການໂຈມຕີທີ່ກວດພົບ, ຂໍ້ມູນກ່ຽວກັບການຮ້ອງຂໍ, ແລະຂໍ້ຄວາມລະບົບກ່ຽວກັບການປະຕິບັດງານ WAF. ເຫດການໂຈມຕີຫຼາຍສິບ ຫຼືຫຼາຍຮ້ອຍຄັ້ງສາມາດເກີດຂຶ້ນໄດ້ໃນໜຶ່ງນາທີ.

ບໍ່ຫຼາຍປານໃດ, ແຕ່ທ່ານຕ້ອງປີນດ້ວຍຕົນເອງຜ່ານຫຼາຍໄມ້ທ່ອນແລະ iterate ໃນໄລຍະຫຼາຍເສັ້ນ: 

ໃນບັນທຶກການໂຈມຕີ, ພວກເຮົາເຫັນທີ່ຢູ່ຂອງຜູ້ໃຊ້ແລະລັກສະນະຂອງກິດຈະກໍາ. 
 
ມັນບໍ່ພຽງພໍທີ່ຈະພຽງແຕ່ສະແກນຕາຕະລາງບັນທຶກ. ເພື່ອຊອກຫາສິ່ງທີ່ຫນ້າສົນໃຈແລະເປັນປະໂຫຍດທີ່ສຸດກ່ຽວກັບລັກສະນະຂອງການໂຈມຕີ, ທ່ານຈໍາເປັນຕ້ອງເບິ່ງພາຍໃນເຫດການສະເພາະ:

ຂົງເຂດທີ່ເນັ້ນໃຫ້ເຫັນຊ່ວຍກວດຫາ "ການໂຈມຕີຊ້າ". ທີ່ມາ: ພາບຫນ້າຈໍຈາກ ເວັບໄຊທ໌ Fortinet. 

ດີ, ບັນຫາຕົ້ນຕໍແມ່ນມີພຽງແຕ່ຜູ້ຊ່ຽວຊານ FortiWeb ເທົ່ານັ້ນທີ່ສາມາດຄິດອອກໄດ້. ຖ້າໃນເວລາເຮັດວຽກພວກເຮົາຍັງສາມາດຕິດຕາມກິດຈະກໍາທີ່ຫນ້າສົງໄສໃນເວລາທີ່ແທ້ຈິງ, ຫຼັງຈາກນັ້ນ, ການສືບສວນເຫດການໃນຕອນກາງຄືນອາດຈະຊັກຊ້າ. ເມື່ອນະໂຍບາຍຂອງ FortiWeb ບໍ່ໄດ້ເຮັດວຽກຍ້ອນເຫດຜົນບາງຢ່າງ, ວິສະວະກອນປ່ຽນເວລາກາງຄືນໃນຫນ້າທີ່ບໍ່ສາມາດປະເມີນສະຖານະການໂດຍບໍ່ມີການເຂົ້າເຖິງ WAF ແລະປຸກຜູ້ຊ່ຽວຊານ FortiWeb. ພວກ​ເຮົາ​ໄດ້​ຫລຽວ​ເບິ່ງ​ໄມ້​ທ່ອນ​ເປັນ​ເວລາ​ຫລາຍ​ຊົ່ວ​ໂມງ​ແລະ​ໄດ້​ພົບ​ເຫັນ​ຈຸດ​ເວລາ​ຂອງ​ການ​ໂຈມ​ຕີ. 

ດ້ວຍປະລິມານຂໍ້ມູນດັ່ງກ່າວ, ມັນເປັນການຍາກທີ່ຈະເຂົ້າໃຈຮູບພາບໃຫຍ່ໂດຍຫຍໍ້ແລະປະຕິບັດຢ່າງຕັ້ງຫນ້າ. ຫຼັງຈາກນັ້ນ, ພວກເຮົາໄດ້ຕັດສິນໃຈເກັບກໍາຂໍ້ມູນຢູ່ໃນສະຖານທີ່ດຽວເພື່ອວິເຄາະທຸກສິ່ງທຸກຢ່າງໃນຮູບແບບສາຍຕາ, ຊອກຫາຈຸດເລີ່ມຕົ້ນຂອງການໂຈມຕີ, ກໍານົດທິດທາງແລະວິທີການສະກັດ. 

ເຈົ້າເລືອກຈາກຫຍັງ

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາໄດ້ເບິ່ງວິທີແກ້ໄຂທີ່ໃຊ້ແລ້ວ, ເພື່ອບໍ່ໃຫ້ທະວີຄູນ ໜ່ວຍ ງານໂດຍບໍ່ ຈຳ ເປັນ.

ຫນຶ່ງໃນທາງເລືອກທໍາອິດແມ່ນ Nagiosທີ່ພວກເຮົາໃຊ້ເພື່ອຕິດຕາມກວດກາ ໂຄງສ້າງພື້ນຖານວິສະວະກໍາ, ໂຄງສ້າງເຄືອຂ່າຍ, ແຈ້ງເຕືອນສຸກເສີນ. ເຈົ້າໜ້າທີ່ຮັກສາຄວາມປອດໄພຍັງໃຊ້ເພື່ອແຈ້ງໃຫ້ຜູ້ເຂົ້າ ຮ່ວມໃນກໍລະນີມີການສັນຈອນທີ່ໜ້າສົງໄສ, ແຕ່ບໍ່ຮູ້ວິທີການເກັບໄມ້ທີ່ກະແຈກກະຈາຍຈຶ່ງຫາຍໄປ. 

ມີທາງເລືອກທີ່ຈະລວບລວມທຸກສິ່ງທຸກຢ່າງທີ່ມີ MySQL ແລະ PostgreSQL ຫຼືຖານຂໍ້ມູນທີ່ກ່ຽວຂ້ອງອື່ນ. ແຕ່ເພື່ອດຶງຂໍ້ມູນອອກ, ມັນຈໍາເປັນຕ້ອງໄດ້ແກະສະຫຼັກຄໍາຮ້ອງສະຫມັກຂອງທ່ານ. 

ໃນຖານະເປັນຜູ້ເກັບໄມ້ຢູ່ໃນບໍລິສັດຂອງພວກເຮົາພວກເຂົາຍັງໃຊ້ FortiAnalyzer ຈາກ Fortinet. ແຕ່ໃນກໍລະນີນີ້, ລາວຍັງບໍ່ເຫມາະ. ກ່ອນອື່ນ ໝົດ, ມັນມີຄວາມຄົມຊັດຫຼາຍຂຶ້ນເພື່ອເຮັດວຽກກັບໄຟວໍ FortiGate. ອັນທີສອງ, ການຕັ້ງຄ່າຈໍານວນຫຼາຍຫາຍໄປ, ແລະການພົວພັນກັບມັນຕ້ອງການຄວາມຮູ້ທີ່ດີເລີດຂອງການສອບຖາມ SQL. ແລະອັນທີສາມ, ການນໍາໃຊ້ຂອງມັນຈະເຮັດໃຫ້ຄ່າໃຊ້ຈ່າຍຂອງການບໍລິການເພີ່ມຂຶ້ນສໍາລັບລູກຄ້າ.   

ນີ້ແມ່ນວິທີທີ່ພວກເຮົາມາເປີດແຫຼ່ງໃນໃບຫນ້າ ELK. 

ເປັນຫຍັງຕ້ອງເລືອກ ELK 

ELK ແມ່ນຊຸດຂອງໂປແກມແຫຼ່ງເປີດ:

• Elasticsearch - ຖານ​ຂໍ້​ມູນ​ຂອງ​ໄລ​ຍະ​ເວ​ລາ​, ເຊິ່ງ​ໄດ້​ຖືກ​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ພຽງ​ແຕ່​ເພື່ອ​ເຮັດ​ວຽກ​ຮ່ວມ​ກັບ​ປະ​ລິ​ມານ​ຂະ​ຫນາດ​ໃຫຍ່​ຂອງ​ຂໍ້​ຄວາມ​;
• logstash – ກົນໄກການເກັບກຳຂໍ້ມູນທີ່ສາມາດປ່ຽນບັນທຶກເປັນຮູບແບບທີ່ຕ້ອງການ; 
• ຄູບາ - Visualizer ທີ່ດີ, ເຊັ່ນດຽວກັນກັບການໂຕ້ຕອບທີ່ເປັນມິດສໍາລັບການຄຸ້ມຄອງ Elasticsearch. ທ່ານສາມາດນໍາໃຊ້ມັນເພື່ອສ້າງຕາຕະລາງທີ່ສາມາດຕິດຕາມໄດ້ໂດຍວິສະວະກອນຫນ້າທີ່ໃນຕອນກາງຄືນ. 

ເກນເຂົ້າຂອງ ELK ແມ່ນຕໍ່າ. ຄຸນສົມບັດພື້ນຖານທັງໝົດແມ່ນບໍ່ເສຍຄ່າ. ສິ່ງອື່ນທີ່ຈໍາເປັນສໍາລັບຄວາມສຸກ.

ເຈົ້າເອົາມັນທັງໝົດເຂົ້າກັນໃນລະບົບດຽວໄດ້ແນວໃດ?

ສ້າງດັດສະນີແລະປະໄວ້ພຽງແຕ່ຂໍ້ມູນທີ່ຈໍາເປັນ. ພວກເຮົາໄດ້ໂຫລດບັນທຶກ FortiWEB ທັງສາມເຂົ້າໃນ ELK - ຜົນຜະລິດແມ່ນດັດສະນີ. ເຫຼົ່ານີ້ແມ່ນໄຟລ໌ທີ່ມີບັນທຶກທີ່ເກັບກໍາທັງຫມົດສໍາລັບໄລຍະເວລາ, ຕົວຢ່າງ, ມື້ຫນຶ່ງ. ຖ້າ​ຫາກ​ວ່າ​ພວກ​ເຮົາ​ເບິ່ງ​ເຫັນ​ພວກ​ເຂົາ​ໃນ​ທັນ​ທີ​, ພວກ​ເຮົາ​ພຽງ​ແຕ່​ຈະ​ເຫັນ​ການ​ເຄື່ອນ​ໄຫວ​ຂອງ​ການ​ໂຈມ​ຕີ​. ສໍາລັບລາຍລະອຽດ, ທ່ານຈໍາເປັນຕ້ອງ "ຜ່ານ" ເຂົ້າໄປໃນການໂຈມຕີແຕ່ລະຄັ້ງແລະເບິ່ງຢູ່ໃນຂົງເຂດສະເພາະ.

ພວກ​ເຮົາ​ໄດ້​ຮັບ​ຮູ້​ວ່າ​ທໍາ​ອິດ​ພວກ​ເຮົາ​ຈໍາ​ເປັນ​ຕ້ອງ​ໄດ້​ຕັ້ງ​ຄ່າ​ການ​ແຍກ​ຂໍ້​ມູນ​ທີ່​ບໍ່​ມີ​ໂຄງ​ສ້າງ​. ພວກເຮົາໄດ້ເອົາຊ່ອງຂໍ້ມູນຍາວເປັນສະຕຣິງ, ເຊັ່ນ "ຂໍ້ຄວາມ" ແລະ "URL", ແລະວິເຄາະໃຫ້ເຂົາເຈົ້າໄດ້ຮັບຂໍ້ມູນເພີ່ມເຕີມສໍາລັບການຕັດສິນໃຈ. 

ຕົວຢ່າງເຊັ່ນ, ການນໍາໃຊ້ການແຍກວິເຄາະ, ພວກເຮົາໄດ້ເອົາສະຖານທີ່ຂອງຜູ້ໃຊ້ອອກແຍກຕ່າງຫາກ. ນີ້ໄດ້ຊ່ວຍຊີ້ໃຫ້ເຫັນເຖິງການໂຈມຕີຈາກຕ່າງປະເທດໃນທັນທີສໍາລັບຜູ້ໃຊ້ລັດເຊຍ. ໂດຍການຂັດຂວາງການເຊື່ອມຕໍ່ຈາກປະເທດອື່ນໆ, ພວກເຮົາຫຼຸດລົງຈໍານວນການໂຈມຕີ 2 ຄັ້ງແລະສາມາດຈັດການກັບການໂຈມຕີພາຍໃນລັດເຊຍໄດ້ຢ່າງງ່າຍດາຍ. 

ຫຼັງ​ຈາກ​ການ​ວິ​ເຄາະ​, ພວກ​ເຂົາ​ເຈົ້າ​ໄດ້​ເລີ່ມ​ຕົ້ນ​ທີ່​ຈະ​ຊອກ​ຫາ​ຂໍ້​ມູນ​ທີ່​ຈະ​ເກັບ​ຮັກ​ສາ​ແລະ​ເປັນ​ພາບ​. ການປະຖິ້ມທຸກສິ່ງທຸກຢ່າງຢູ່ໃນບັນທຶກແມ່ນບໍ່ເຫມາະສົມ: ຂະຫນາດຂອງດັດສະນີຫນຶ່ງແມ່ນໃຫຍ່ - 7 GB. ELK ໃຊ້ເວລາດົນໃນການປະມວນຜົນໄຟລ໌. ຢ່າງໃດກໍຕາມ, ບໍ່ແມ່ນຂໍ້ມູນທັງຫມົດທີ່ເປັນປະໂຫຍດ. ບາງສິ່ງບາງຢ່າງໄດ້ຖືກຊ້ໍາກັນແລະເອົາພື້ນທີ່ພິເສດ - ມັນເປັນສິ່ງຈໍາເປັນເພື່ອເພີ່ມປະສິດທິພາບ. 

ທໍາອິດ, ພວກເຮົາພຽງແຕ່ເບິ່ງຜ່ານດັດສະນີແລະເອົາເຫດການທີ່ບໍ່ຈໍາເປັນອອກ. ນີ້ໄດ້ກາຍເປັນຄວາມບໍ່ສະດວກຫຼາຍແລະຍາວກວ່າການເຮັດວຽກກັບບັນທຶກໃນ FortiWeb ຕົວຂອງມັນເອງ. ບວກພຽງແຕ່ຈາກ "ຕົ້ນໄມ້ວັນຄຣິດສະມາດ" ໃນຂັ້ນຕອນນີ້ແມ່ນວ່າພວກເຮົາສາມາດເບິ່ງເຫັນໄລຍະເວລາຂະຫນາດໃຫຍ່ໃນຫນ້າຈໍຫນຶ່ງ. 

ພວກເຮົາບໍ່ໄດ້ຫມົດຫວັງ, ພວກເຮົາສືບຕໍ່ກິນ cactus ແລະສຶກສາ ELK ແລະເຊື່ອວ່າພວກເຮົາສາມາດສະກັດຂໍ້ມູນທີ່ຈໍາເປັນ. ຫຼັງຈາກການເຮັດຄວາມສະອາດດັດສະນີ, ພວກເຮົາເລີ່ມເຫັນສິ່ງທີ່ເປັນ. ດັ່ງນັ້ນພວກເຮົາມາຮອດ dashboards ໃຫຍ່. ພວກເຮົາ poked widgets - ສາຍຕາແລະ elegantly, ເປັນ ЁLKa ທີ່ແທ້ຈິງ! 

ຈັບ​ໄດ້​ຈຸດ​ເວລາ​ຂອງ​ການ​ໂຈມ​ຕີ. ໃນປັດຈຸບັນມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະເຂົ້າໃຈວິທີການເລີ່ມຕົ້ນຂອງການໂຈມຕີເບິ່ງຢູ່ໃນຕາຕະລາງ. ເພື່ອກວດພົບມັນ, ພວກເຮົາໄດ້ເບິ່ງຄໍາຕອບຂອງເຄື່ອງແມ່ຂ່າຍຕໍ່ກັບຜູ້ໃຊ້ (ລະຫັດຄືນ). ພວກເຮົາສົນໃຈການຕອບສະໜອງຂອງເຊີບເວີດ້ວຍລະຫັດດັ່ງກ່າວ (rc): 

ລະຫັດ (rc)

Title

ລາຍ​ລະ​ອຽດ

0

ຢຸດ

ການຮ້ອງຂໍກັບເຄື່ອງແມ່ຂ່າຍໄດ້ຖືກສະກັດ

200

Ok

ປະມວນຜົນຄຳຮ້ອງຂໍສຳເລັດແລ້ວ

400

ຄຳ ຂໍທີ່ບໍ່ດີ

ຄຳຮ້ອງຂໍທີ່ບໍ່ດີ

403

ຫ້າມ

ການອະນຸຍາດຖືກປະຕິເສດ

500

Internal Server Error

ບໍລິການບໍ່ສາມາດໃຊ້ໄດ້

ຖ້າໃຜຜູ້ຫນຶ່ງເລີ່ມໂຈມຕີເວັບໄຊທ໌, ອັດຕາສ່ວນຂອງລະຫັດໄດ້ປ່ຽນແປງ: 

• ຖ້າມີການຮ້ອງຂໍທີ່ຜິດພາດຫຼາຍກັບລະຫັດ 400, ແລະຈໍານວນຄໍາຮ້ອງຂໍປົກກະຕິດຽວກັນກັບລະຫັດ 200, ມີຄົນພະຍາຍາມ hack ເວັບໄຊທ໌. 
• ຖ້າຫາກວ່າ, ໃນເວລາດຽວກັນ, ການຮ້ອງຂໍທີ່ມີລະຫັດ 0 ຍັງເພີ່ມຂຶ້ນ, ຫຼັງຈາກນັ້ນນັກການເມືອງ FortiWeb ຍັງ "ເຫັນ" ການໂຈມຕີແລະນໍາໃຊ້ຕັນກັບມັນ. 
• ຖ້າຈໍານວນຂໍ້ຄວາມທີ່ມີລະຫັດ 500 ເພີ່ມຂຶ້ນ, ຫຼັງຈາກນັ້ນເວັບໄຊທ໌ບໍ່ສາມາດໃຊ້ໄດ້ສໍາລັບທີ່ຢູ່ IP ເຫຼົ່ານີ້ - ຍັງເປັນປະເພດຂອງການຂັດຂວາງ. 

ມາຮອດເດືອນທີສາມ, ພວກເຮົາໄດ້ຕັ້ງ dashboard ເພື່ອຕິດຕາມກິດຈະກໍານີ້.

ເພື່ອບໍ່ໃຫ້ຕິດຕາມທຸກຢ່າງດ້ວຍຕົນເອງ, ພວກເຮົາຕັ້ງການເຊື່ອມໂຍງກັບ Nagios, ເຊິ່ງໄດ້ສຳຫຼວດ ELK ໃນຊ່ວງເວລາໃດໜຶ່ງ. ຖ້າມັນບັນທຶກຜົນສໍາເລັດຂອງຄ່າເກນໂດຍລະຫັດ, ມັນໄດ້ສົ່ງແຈ້ງການເຖິງເຈົ້າຫນ້າທີ່ກ່ຽວກັບກິດຈະກໍາທີ່ຫນ້າສົງໄສ. 

ປະສົມປະສານ 4 ຕາຕະລາງໃນລະບົບການຕິດຕາມ. ໃນປັດຈຸບັນມັນເປັນສິ່ງສໍາຄັນທີ່ຈະເຫັນຢູ່ໃນກາຟໃນເວລາທີ່ການໂຈມຕີບໍ່ໄດ້ຖືກສະກັດແລະການແຊກແຊງຂອງວິສະວະກອນແມ່ນຈໍາເປັນ. ໃນ 4 ເສັ້ນສະແດງທີ່ແຕກຕ່າງກັນ, ຕາຂອງພວກເຮົາຖືກມົວ. ດັ່ງນັ້ນ, ພວກເຮົາລວມຕາຕະລາງແລະເລີ່ມສັງເກດເຫັນທຸກສິ່ງທຸກຢ່າງຢູ່ໃນຫນ້າຈໍດຽວ.

ກ່ຽວກັບການຕິດຕາມກວດກາ, ພວກເຮົາໄດ້ສັງເກດເບິ່ງວ່າກາຟຂອງສີທີ່ແຕກຕ່າງກັນມີການປ່ຽນແປງແນວໃດ. ການລະເບີດຂອງສີແດງຊີ້ໃຫ້ເຫັນວ່າການໂຈມຕີໄດ້ເລີ່ມຕົ້ນ, ໃນຂະນະທີ່ເສັ້ນສະແດງສີສົ້ມແລະສີຟ້າສະແດງໃຫ້ເຫັນປະຕິກິລິຍາຂອງ FortiWeb:

ທຸກສິ່ງທຸກຢ່າງແມ່ນດີຢູ່ທີ່ນີ້: ມີກິດຈະກໍາ "ສີແດງ" ເພີ່ມຂຶ້ນ, ແຕ່ FortiWeb ຮັບມືກັບແລະຕາຕະລາງການໂຈມຕີກໍ່ບໍ່ມີຜົນ.

ພວກເຮົາຍັງໄດ້ແຕ້ມຕົວຢ່າງຂອງກາຟທີ່ຮຽກຮ້ອງໃຫ້ມີການແຊກແຊງສໍາລັບຕົວເຮົາເອງ:

ໃນທີ່ນີ້ພວກເຮົາສາມາດເຫັນໄດ້ວ່າ FortiWeb ມີກິດຈະກໍາເພີ່ມຂຶ້ນ, ແຕ່ເສັ້ນສະແດງການໂຈມຕີສີແດງບໍ່ໄດ້ຫຼຸດລົງ. ທ່ານຈໍາເປັນຕ້ອງປ່ຽນການຕັ້ງຄ່າ WAF.

ການ​ສືບ​ສວນ​ເຫດ​ການ​ໃນ​ຕອນ​ກາງ​ຄືນ​ໄດ້​ກາຍ​ເປັນ​ງ່າຍ​ຂຶ້ນ. ເສັ້ນສະແດງທັນທີສະແດງໃຫ້ເຫັນເຖິງເວລາທີ່ມັນເປັນເວລາທີ່ຈະມາຮອດການປ້ອງກັນຂອງສະຖານທີ່. 

ນັ້ນແມ່ນສິ່ງທີ່ບາງຄັ້ງເກີດຂຶ້ນໃນຕອນກາງຄືນ. ເສັ້ນສະແດງສີແດງ - ການໂຈມຕີໄດ້ເລີ່ມຕົ້ນ. ສີຟ້າ - ກິດຈະກໍາ FortiWeb. ການໂຈມຕີບໍ່ໄດ້ຖືກສະກັດຢ່າງສົມບູນ, ພວກເຮົາຕ້ອງແຊກແຊງ.

ພວກເຮົາໄປໃສ

ຕອນນີ້ພວກເຮົາກຳລັງຝຶກອົບຮົມຜູ້ບໍລິຫານໜ້າທີ່ໃຫ້ເຮັດວຽກກັບ ELK. ຜູ້ເຂົ້າຮ່ວມຮຽນຮູ້ທີ່ຈະປະເມີນສະຖານະການໃນ dashboard ແລະຕັດສິນໃຈ: ມັນເຖິງເວລາທີ່ຈະເລັ່ງໄປຫາຜູ້ຊ່ຽວຊານ FortiWeb, ຫຼືນະໂຍບາຍກ່ຽວກັບ WAF ຈະພຽງພໍເພື່ອຕ້ານການໂຈມຕີໂດຍອັດຕະໂນມັດ. ດັ່ງນັ້ນພວກເຮົາຫຼຸດຜ່ອນການໂຫຼດຂອງວິສະວະກອນຄວາມປອດໄພຂໍ້ມູນຂ່າວສານໃນຕອນກາງຄືນແລະແບ່ງບົດບາດໃນການສະຫນັບສະຫນູນໃນລະດັບລະບົບ. ການເຂົ້າເຖິງ FortiWeb ຍັງຄົງຢູ່ກັບສູນປ້ອງກັນທາງອິນເຕີເນັດເທົ່ານັ້ນ, ແລະພຽງແຕ່ພວກເຂົາເຮັດການປ່ຽນແປງການຕັ້ງຄ່າ WAF ເມື່ອຕ້ອງການດ່ວນ.

ພວກເຮົາຍັງເຮັດວຽກກ່ຽວກັບການລາຍງານສໍາລັບລູກຄ້າ. ພວກເຮົາວາງແຜນວ່າຂໍ້ມູນກ່ຽວກັບນະໂຍບາຍດ້ານຂອງການເຮັດວຽກ WAF ຈະມີຢູ່ໃນບັນຊີສ່ວນຕົວຂອງລູກຄ້າ. ELK ຈະເຮັດໃຫ້ສະຖານະການຊັດເຈນຂຶ້ນໂດຍບໍ່ຈໍາເປັນຕ້ອງອ້າງເຖິງ WAF ເອງ.

ຖ້າລູກຄ້າຕ້ອງການຕິດຕາມກວດກາການປົກປ້ອງຂອງຕົນເອງໃນເວລາຈິງ, ELK ກໍ່ຈະເປັນປະໂຫຍດ. ພວກເຮົາບໍ່ສາມາດໃຫ້ການເຂົ້າເຖິງ WAF ໄດ້, ເພາະວ່າການແຊກແຊງຂອງລູກຄ້າໃນການເຮັດວຽກອາດຈະສົ່ງຜົນກະທົບຕໍ່ສ່ວນທີ່ເຫຼືອ. ແຕ່ທ່ານສາມາດເອົາ ELK ແຍກຕ່າງຫາກແລະໃຫ້ມັນ "ຫຼິ້ນປະມານ". 

ເຫຼົ່ານີ້ແມ່ນສະຖານະການສໍາລັບການນໍາໃຊ້ຕົ້ນໄມ້ວັນຄຣິດສະມາດທີ່ພວກເຮົາໄດ້ສະສົມບໍ່ດົນມານີ້. ແບ່ງປັນຄວາມຄິດຂອງເຈົ້າກ່ຽວກັບເລື່ອງນີ້ແລະຢ່າລືມ ຕັ້ງຄ່າທຸກຢ່າງຢ່າງຖືກຕ້ອງເພື່ອຫຼີກເວັ້ນການຮົ່ວໄຫລຂອງຖານຂໍ້ມູນ. 

ແຫຼ່ງຂໍ້ມູນ: www.habr.com