IepriekÅ”ÄjÄs rakstos mÄs nedaudz iepazinÄmies ar ELK steku un Logstash konfigurÄcijas faila iestatÄ«Å”anu žurnÄla analÄ«zei. Å ajÄ rakstÄ pÄriesim pie svarÄ«gÄkÄ analÄ«zes viedokļa - uz grafikiem un tabulÄm, kas apvienoti darbvirsmÄs. Å odien mÄs tuvÄk iepazÄ«simies ar vizualizÄcijas sistÄmu Kibana, apskatÄ«sim, kÄ izveidot grafikus un tabulas, un beigÄs izstrÄdÄsim vienkÄrÅ”u darbvirsmu, pamatojoties uz Check Point ugunsmÅ«ra žurnÄliem.
Pirmais solis darbam ar Kibana ir indeksa modelis, loÄ£iski, tas ir indeksu kopums, kas balstÄs uz noteiktiem principiem. Protams, tas ir nepiecieÅ”ams, lai Kibana ÄrtÄk meklÄtu informÄciju visos indeksos vienlaicÄ«gi. To nosaka ar virsrakstu, piemÄram, ācheckpoint-*ā un indeksa nosaukumu. PiemÄram, Ā«checkpoint-2019.12.05Ā» atbilst modelim, bet ācheckpointā jau nÄ. AtseviŔķi ir vÄrts pieminÄt, ka meklÄÅ”anÄ nevar vienlaicÄ«gi meklÄt informÄciju pÄc dažÄdiem indeksu modeļiem. Nedaudz vÄlÄk sekojoÅ”ajos rakstos mÄs redzÄsim, ka API pieprasÄ«jumi tiek veidoti vai nu pÄc indeksa nosaukuma, vai tieÅ”i pÄc viena modeļa, attÄls ir klikŔķinÄms:
PÄc tam mÄs pÄrbaudÄm Discover izvÄlnÄ, vai visi žurnÄli tiek indeksÄti un vai ir iestatÄ«ts pareizs parsers. Ja tiek konstatÄtas kÄdas nepilnÄ«bas, piemÄram, jÄmaina datu tips no virknes uz veselu skaitli, ir jÄrediÄ£Ä Logstash konfigurÄcijas fails, un rezultÄtÄ jaunie žurnÄli tiks reÄ£istrÄti pareizi. Lai vecie žurnÄli pirms izmaiÅÄm iegÅ«tu vajadzÄ«go formÄtu, noder tikai reindeksÄcijas process, kas tiks sÄ«kÄk izskatÄ«ts turpmÄkajos rakstos. PÄrliecinÄsimies, ka viss ir kÄrtÄ«bÄ, attÄls ir klikŔķinÄms:
ŽurnÄli izrÄdÄ«jÄs savÄ vietÄ, tÄdÄļ varam sÄkt izstrÄdÄt darbvirsmas. Pamatojoties uz analÄ«zi no droŔības produktiem, var saprast, kÄda ir informÄcijas droŔība organizÄcijÄ, vizuÄli redzÄt trÅ«kumus esoÅ”ajÄ politikÄ un turpmÄk izstrÄdÄt veidus, kÄ tos novÄrst. IzstrÄdÄsim nelielu darbvirsmu, izmantojot vairÄkus vizualizÄcijas rÄ«kus. Darbvirsma bÅ«s sastÄv no 5 komponentiem:
- tabula, lai skaitÄ«tu kopÄjo žurnÄlu skaitu pÄc plÄksnÄm
- tabulu ar kritiskajÄm IPS parakstiem
- apļa diagrammu par Threat Prevention notikumiem
- diagramma par visÄm populÄrÄkajÄm apmeklÄtajÄm vietnÄm
- diagramma par visbiežÄk lietotajÄm bÄ«stamajÄm lietotnÄm
Lai izveidotu vizualizÄcijas figÅ«ras, jÄatver izvÄlne VizualizÄt, un jÄizvÄlas nepiecieÅ”amÄ figÅ«ra, kuru vÄlamies izveidot! Iesim secÄ«gi.
Tabula kopÄjÄ logu skaita aprÄÄ·inÄÅ”anai pa blade
Å im izvÄlÄsimies figÅ«ru Datu tabula, ieejam rÄ«kos grafiku izveidei, pa kreisi ir figÅ«ras iestatÄ«jumi, pa labi - kÄ tÄ izskatÄ«sies paÅ”reizÄjos iestatÄ«jumos. Vispirms parÄdÄ«Å”u, kÄ izskatÄ«sies gatavÄ tabula, pÄc tam pÄriesim pie iestatÄ«jumiem, attÄls ir klikŔķinÄms:
DetÄlÄkie figÅ«ras iestatÄ«jumi, attÄls ir klikŔķinÄms:
Apskatīsim iestatījumus.
SÄkotnÄji tiek iestatÄ«ts metrika, Å”o vÄrtÄ«bu izmanto, lai agregÄtu visus laukus. Metricas tiek aprÄÄ·inÄtas, pamatojoties uz vÄrtÄ«bÄm, kas iegÅ«tas Å”ÄdÄ vai citÄdÄ veidÄ no dokumentiem. VÄrtÄ«bas parasti tiek iegÅ«tas no laukiem dokumentÄ, bet tÄs var arÄ« tikt Ä£enerÄtas, izmantojot skriptus. Å ajÄ gadÄ«jumÄ uzstÄdam AgregÄcija: Skaits (kopÄjais logu skaits).
PÄc tam sadalÄm tabulu pa segmentiem (laukiem), pÄc kuriem tiks aprÄÄ·inÄta metrika. Å o funkciju veic iestatÄ«jums Buckets, kas savukÄrt sastÄv no 2 iestatÄ«jumu variantiem:
- sadalÄ«t rindas ā kolonu pievienoÅ”ana un vÄlÄk tabulas sadalÄ«Å”ana pa rindÄm
- sadalÄ«t tabulu ā sadalÄ«Å”ana vairÄkÄs tabulÄs pÄc noteiktÄ lauka vÄrtÄ«bÄm.
No buckets var pievienot vairÄkus sadalÄ«jumus, lai izveidotu vairÄkas kolonnas vai tabulas, ierobežojumi Å”eit drÄ«zÄk ir loÄ£iski. AgregÄcijÄ var izvÄlÄties, pÄc kÄda principa notiks sadalÄ«jums pa segmentiem: ipv4 range, date range, Terms utt. VisinteresantÄkais izvÄle ir tieÅ”i Terms un Significant Terms, sadalÄ«jums pa segmentiem tiek veikts pÄc noteiktÄ lauka indeksa vÄrtÄ«bÄm, atŔķirÄ«ba starp tiem ir attiecÄ«bÄ uz atgrieztajÄm vÄrtÄ«bÄm un to attÄloÅ”anu. TÄ kÄ mÄs vÄlamies sadalÄ«t tabulu pÄc blade nosaukuma, izvÄlamies lauku ā product.keyword un norÄdÄm apjomu, cik 25 vÄrtÄ«bas tiks atgriezti.
VietÄ rindÄm elasticsearch tiek izmantoti 2 datu tipi ā text un keyword. Ja jÅ«s vÄlaties veikt pilnteksta meklÄÅ”anu, jums jÄdara izmantojiet datu tipu text, kas ir ļoti Ärti, rakstot savu meklÄÅ”anas pakalpojumu, piemÄram, meklÄjot pieminÄjumus vÄrdam konkrÄtÄ lauka (teksta) nozÄ«mÄ. Ja jÅ«s vÄlaties tikai precÄ«zu atbilstÄ«bu, jums jÄdara izmantojiet datu tipu keyword. TÄpat datu tips keyword jÄizmanto laukiem, kas prasa kÄrtoÅ”anu vai agregÄciju, t.i., mÅ«su gadÄ«jumÄ.
RezultÄtÄ Elasticsearch saskaita žurnÄlu skaitu noteiktÄ laikÄ, veicot agregÄciju pÄc lauka product. Custom Label lauciÅÄ nosakÄm kolonnas nosaukumu, kas tiks attÄlots tabulÄ, nosakÄm laiku, kurÄ vÄcam žurnÄlus, uzsÄkam vizualizÄciju ā Kibana sÅ«ta pieprasÄ«jumu elastsearch, gaida atbildi un pÄc tam vizualizÄ iegÅ«tos datus. Tabula gatava!
SagatavoÅ”ana pÄc Threat Prevention notikumiem
Noteiktu interesi rada informÄcija par to, cik daudz ir Ä«paÅ”i procentuÄli attiecÄ«bÄs uz reakcijÄm detect un prevent uz incidente BI esoÅ”ajÄ droŔības politikÄ. Å ÄdÄ gadÄ«jumÄ labi derÄtu sagatavoÅ”ana. IzvÄlamies Visualize ā Pie chart. TÄpat metriku nosakÄm agregÄcijai pÄc žurnÄlu skaita. Buckets lauciÅÄ ievietojam Terms => action.
IzskatÄs, ka viss ir pareizi, bet rezultÄtÄ tiek rÄdÄ«tas vÄrtÄ«bas visiem blade, nepiecieÅ”ams filtrÄt tikai tos, kas darbojas Threat Prevention. TÄdÄļ obligÄti iestatÄm filtru lai meklÄtu informÄciju tikai par blade, kas atbild par BI incidentiem ā product: (Ā«Anti-BotĀ» OR Ā«New Anti-VirusĀ» OR Ā«DDoS ProtectorĀ» OR Ā«SmartDefenseĀ» OR Ā«Threat EmulationĀ»). AttÄls ir klikŔķinÄms:
Un vÄl detalizÄtÄkas iestatÄ«Å”anas, attÄls ir klikŔķinÄms:
Tabula pÄc IPS notikumiem
TÄlÄk ir ļoti svarÄ«gi no droŔības puses pÄrskatÄ«t un pÄrbaudÄ«t notikumus pÄc blade IPS un Threat Emulation, kas netiek bloÄ·Äti esoÅ”ajÄ politikÄ, lai nÄkotnÄ vai nu pÄrvÄrstu parakstu prevent, vai, ja trafiks ir derÄ«gs, ā neizmantotu parakstu. Tabulu veidojam tÄpat kÄ pirmajÄ piemÄrÄ, tikai ar to atŔķirÄ«bu, ka izveidojam vairÄkas kolonnas: protections.keyword, severity.keyword, product.keyword, originsicname.keyword. ObligÄti iestatÄm filtru, lai meklÄtu informÄciju tikai par blade, kas atbild par BI incidentiem ā product: ( Ā«SmartDefenseĀ» OR Ā«Threat EmulationĀ»). AttÄls ir klikŔķinÄms:
DetalizÄtÄki iestatÄ«jumi, attÄls ir klikŔķinÄms:
Diagrammas par visbiežÄk apmeklÄtajÄm vietnÄm
Lai to izdarÄ«tu, izveidojam figÅ«ru ā Vertical Bar. Metrikai izmantojam count (Y ass), bet X ass vÄrtÄ«bÄm izmantosim apmeklÄto vietÅu nosaukumus ā āappi_nameā. Å eit ir neliela viltÄ«ba: ja palaidÄ«sim iestatÄ«jumus paÅ”reizÄjÄ variantÄ, tad visas vietnes tiks iezÄ«mÄtas uz grafika vienÄ krÄsÄ; lai tÄs padarÄ«tu daudzkrÄsainas, izmantojam papildu iestatÄ«jumu ā āsplit seriesā, kas ļauj dalÄ«t jau gatavu kolonnu vairÄkÄs vÄrtÄ«bÄs atkarÄ«bÄ no izvÄlÄtÄ lauka. Å o dalÄ«jumu var izmantot kÄ vienu daudzkrÄsainu kolonnu vÄrtÄ«bÄm sakrautÄ režīmÄ, vai arÄ« normÄlÄ režīmÄ, lai izveidotu vairÄkas kolonnas pÄc noteiktas X ass vÄrtÄ«bas. Å ajÄ gadÄ«jumÄ mÄs izmantojam to paÅ”u vÄrtÄ«bu, kas uz X ass, kas ļauj visÄm kolonnÄm bÅ«t daudzkrÄsainÄm, un augÅ”ÄjÄ labajÄ stÅ«rÄ« tÄs tiks atzÄ«mÄtas ar krÄsÄm. FiltrÄ iestatÄm ā product:Ā«URL FilteringĀ», lai redzÄtu informÄciju tikai par apmeklÄtÄm vietnÄm, attÄls ir klikŔķinÄms:
Iestatījumi:
Diagramma par visbÄ«stamÄko aplikÄciju izmantoÅ”anu
Lai to izdarÄ«tu, izveidojam figÅ«ru ā Vertical Bar. Metrikai izmantojam count (Y ass), bet X ass vÄrtÄ«bÄm izmantosim izmantoto aplikÄciju nosaukumus - āappi_nameā. VisbÅ«tiskÄkais ir uzstÄdÄ«t filtru ā product: Ā«Application ControlĀ» AND app_risk: (4 OR 5 OR 3 ) AND action:Ā«acceptĀ». FiltrÄjam žurnÄlus pa Application Control, Åemam tikai tÄs vietnes, kas ir kategorizÄtas kÄ vietnes ar kritisku, augstu un vidÄju risku, un tikai tad, ja piekļuve Ŕīm vietnÄm ir atļauta. AttÄls ir klikŔķinÄms:
IestatÄ«jumi, klikŔķinÄmi:
Domenas panelis
Domenas paneļa apskate un izveide notiek atseviÅ”Ä·Ä izvÄlnes punktÄ ā VadÄ«bas panelis. Å eit viss ir vienkÄrÅ”i: tiek izveidots jauns paneļa, tajÄ pievienota vizualizÄcija, novietota pa vietÄm un viss!
Izveidojam paneli, ar kuru varÄsim saprast pamatstÄvokli organizÄcijas droŔībÄ, protams, tikai Check Point lÄ«menÄ«, attÄls ir klikŔķinÄms:
Balstoties uz Å”iem grafikiem, mÄs varam saprast, kuras kritiskÄs signature netiek bloÄ·Ätas uz ugunsmÅ«ra, kur iet lietotÄji, kÄdas visbÄ«stamÄkÄs aplikÄcijas viÅi izmanto.
SecinÄjums
MÄs apskatÄ«jÄm pamata vizualizÄcijas iespÄjas Kibana un izveidojÄm informÄcijas paneli, taÄu tas ir tikai neliela daļa. TurpinÄjumÄ kursÄ Ä«paÅ”i aplÅ«kosim kartes iestatÄ«Å”anu, darbu ar Elasticsearch sistÄmu, iepazÄ«simies ar API pieprasÄ«jumiem, automatizÄciju un vÄl daudz ko citu!
TÄtad sekojiet lÄ«dzi jaunumiem (, , , ), .
Avots: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish