Ity lahatsoratra ity dia hamaritra ny fametrahana ny fijerena ny dashboard ELK sy SIEM ao amin'ny ELK
Ny lahatsoratra dia mizara ho fizarana manaraka ireto:
1- Famerenana ELK SIEM
2- Dashboards default
3- Mamorona dashboard voalohany anao
Tabilao amin'ny lahatsoratra rehetra.
- Fampidirana amin'ny WAZUH
- Nampiomana ny
- tatitra
- Raharaha
1-ELK SIEM Review
ELK SIEM dia nampidirina vao haingana tao amin'ny elk stack amin'ny version 7.2 tamin'ny 25 jona 2019.
Vahaolana SIEM noforonin'ny elastic.co ity mba hanamora kokoa sy tsy hampandreraka ny fiainan'ny mpandinika ny fiarovana.
Ao amin'ny dikan-asanay dia nanapa-kevitra ny hamorona SIEM manokana izahay ary hifidy ny tontonana fanaraha-maso anay manokana.
Saingy heverinay fa zava-dehibe ny mandinika ny ELK SIEM aloha.
1.1- Fizarana hetsika fampiantranoana
Hojerentsika aloha ny fizarana mpampiantrano. Ny fizarana mpampiantrano dia ahafahanao mahita ny zava-mitranga izay vokarina amin'ny teboka farany.
Rehefa avy manindry ny view hosts ianao dia tokony hahazo zavatra toy izao. Araka ny hitanao dia misy mpampiantrano telo mifandray amin'ity solosaina ity:
1 Windows 10.
2 Ubuntu Server 18.04.
Manana sary maromaro naseho izahay, izay samy maneho karazana hetsika samihafa.
Ohatra, ilay eo afovoany dia mampiseho angon-drakitra fidirana amin'ny milina telo.
Voangona tao anatin'ny dimy andro io habetsahan'ny angona hitanao eto io. Izany dia manazava ny hamaroan'ny fidirana tsy nahomby sy nahomby. Azo inoana fa hanana diary kely ianao, koa aza manahy
1.2- Fizarana hetsika amin'ny tambajotra
Mifindra any amin'ny sehatra tambajotra, tokony hahazo zavatra toy izao ianao. Ity fizarana ity dia ahafahanao manara-maso akaiky ny zava-mitranga rehetra amin'ny tambajotranao, manomboka amin'ny fifamoivoizana HTTP/TLS mankany amin'ny fifamoivoizana DNS sy ny fanairana hetsika ivelany.
2- Dashboards default
Mba hanamorana ny fiainana ho an'ny mpampiasa, ny mpamorona elastic.co dia namorona bara-fitaovana default tohanan'ny ELK amin'ny fomba ofisialy. Tsy naningana tamin'ity fitsipika ity ny gadonay. Eto aho dia hampiasa ny dashboard default an'ny Packetbeat ho ohatra.
Raha nanaraka tsara ny dingana faharoa amin'ny lahatsoratra ianao. Tokony hanana bara fitaovana ianao miandry anao. Andeha Γ ry isika hanomboka.
Avy amin'ny tabilao ankavian'ny Kibana, safidio ny mari-pamantarana dashboard. Ity no fahatelo, raha isaina avy any ambony.
Ampidiro ao amin'ny tabilao fikarohana ny anaran'ny fizarana
Raha misy modules maromaro ao anaty bit. Hamorona tontonana fanaraha-maso ho an'ny tsirairay amin'izy ireo. Fa izay manana ny mΓ΄dΓ΄ mavitrika ihany no hampiseho angona tsy misy banga.
Safidio ny iray miaraka amin'ny anaran'ny module anao.
Ity no mΓ΄dely fototra PacketBeat.
Ity no tontonana fanaraha-maso ny fikorianan'ny tambajotra. Izy io dia hilaza amintsika momba ny fonosana miditra sy mivoaka, ny loharano sy ny toerana halehan'ny adiresy IP, ary koa manome fampahalalana mahasoa maro ho an'ny mpandinika foibe fiarovana.
3 - Mamorona dashboard voalohany anao
3β1- Hevitra fototra
A- Karazana dashboard:
Ireo no karazana sary azo ampiasaina hanehoana ny angonao.
ohatra misy izahay:
- graph bar
- Map
- Widget marika
- Pie chart
B- KQL (Kibana Query Language):
Io no fiteny ampiasaina ao amin'ny Kibana ho an'ny fikarohana angona mora. Mamela anao hanamarina raha misy angon-drakitra sasany sy endri-javatra mahasoa maro hafa. Raha te hahalala bebe kokoa dia azonao atao ny mijery ny fampahalalana amin'ity rohy ity
Ity dia ohatra fanontaniana iray hahitana mpampiantrano mandeha Windows 10 pro.
C- Sivana:
Ity endri-javatra ity dia ahafahanao manivana masontsivana sasany toy ny anaran'ny mpampiantrano, kaody hetsika na ID, sns. Ny sivana dia hanatsara be ny dingana fanadihadiana amin'ny resaka fotoana sy ezaka lany amin'ny fitadiavana porofo.
D- Fijery voalohany:
Andao hamorona sary ho an'ny MITRE ATT & CK.
Voalohany dia mila mandeha any Dashboard β Mamorona dashboard vaovao β mamorona vaovao β dashboard pie
Apetraho ny karazana ho an'ny lamina fanondroana, ary tsindrio ny anaran'ny gadonao.
Tsindrio ny Enter. Amin'izao fotoana izao dia tokony hahita donut maitso ianao.
Ao amin'ny tabilao Bucket eo ankavia dia ho hitanao:
- Ny silaka mizara dia hizara ny donut ho faritra samihafa arakaraka ny fiparitahan'ny data.
- Hamorona donut hafa manaraka an'ity ny Split Chart.
Hampiasa silaka misaraka izahay.
Hahita sary an-tsaina ny angonay izahay arakaraka ny teny nofidianay. Amin'ity tranga ity dia manondro ny MITRE ATT & CK ny teny.
Ao amin'ny Winlogbeat, ny saha izay hanome antsika ity fampahalalana ity dia antsoina hoe:
winlog.event_data.RuleNameHametraka metrika fanisana izahay mba hanafatra hetsika mifototra amin'ny isan'ny nitrangan'izany.
Alefaso ny endri-javatra "Vondrona sanda hafa amin'ny fizarana misaraka".
Tena ilaina izany raha manana dikany maro samihafa mifototra amin'ny gadona ny teny nofidinao. Izany dia manampy amin'ny fijerena ny ambiny amin'ny angona manontolo. Izany dia hanome anao hevitra ny isan-jaton'ny hetsika sisa.
Rehefa vita ny fametrahana ny tabilao data dia andao hiroso amin'ny tabilao safidy
Tsy maintsy manao ireto manaraka ireto ianao:
** Esory ny endriky ny donut mba hampisehoana faribolana feno ny famandrihana.
** Safidio ny toerana angano tianao. Amin'ity tranga ity, hasehontsika eo ankavanana izy ireo.
** Mametraha soatoavina aseho haseho eo akaikin'ny sombiny mba ho mora kokoa ny famakiana ary avelao ny ambiny ho default
Ny truncation dia mamaritra hoe ohatrinona no tianao haseho amin'ny anaran'ny hetsika.
Mametraha ny fotoana tianao hanombohan'ny famadihana, ary tsindrio ny efamira manga.
Tokony hiafara amin'ny zavatra toy izao ianao:
Azonao atao ihany koa ny manampy sivana amin'ny sary hoso-doko mba hanivana ny mpampiantrano manokana tianao hojerena na izay masontsivana heverinao fa ilaina amin'ny tanjonao. Ny angona mifanandrify amin'ny fitsipika napetraka ao amin'ny sivana ihany no hanehoana ny sary. Amin'ity tranga ity, ny angon-drakitra MITER ATT&CK avy amin'ny mpampiantrano antsoina hoe win10 ihany no asehoy.
3-2- Mamorona dashboard voalohany anao:
Ny dashboard dia fitambarana sary an-tsary maro. Ny dashboard-nao dia tokony ho mazava, azo takarina, ary misy angona mahasoa sy voafaritra. Ity misy ohatra iray amin'ny dashboard noforoninay hatramin'ny voalohany ho an'ny winlogbeat.
Misaotra anao tamin'ny fotoananao. Manantena aho fa nahasoa anao ity lahatsoratra ity. Raha mila fanazavana fanampiny momba ilay lohahevitra ianao dia manoro hevitra anao izahay hitsidika .
Resaka Telegram amin'ny Elasticsearch:
Source: www.habr.com