🥇TS Tirohanga Tapeke. Kohikohi takahanga, tātari maiki me te taputapu aunoatanga whakautu riri

I te ahiahi, i roto i nga tuhinga o mua i mohio matou ki nga mahi a ELK Stack. Inaianei kia matapakihia nga huarahi ka taea e tetahi tohunga mo te haumaru korero mo te whakamahi i enei punaha. He aha nga raarangi ka taea me te whakauru ki roto i te elasticsearch. Kia whakaaro tatou he aha nga tatauranga ka taea ma te whakatu i nga papatohu me te whai hua kei roto. Me pehea e taea ai e koe te whakatinana aunoatanga o nga tukanga haumarutanga korero ma te whakamahi i te puranga ELK. Me tuhi te hoahoanga o te punaha. I te katoa, ko te whakatinanatanga o nga mahi katoa he mahi tino nui me te uaua, na te otinga i whakawhiwhia he ingoa motuhake - TS Total Sight.

I tenei wa, ko nga otinga e whakakotahi ana me te tātari i nga maiki haumarutanga korero ki tetahi waahi arorau kei te tere haere te rongonui, na reira, ka whiwhi te tohunga i nga tatauranga me tetahi waahanga mahi hei whakapai ake i te ahuatanga o te haumarutanga korero i roto i te whakahaere. I whakatauhia e matou tenei mahi ma te whakamahi i te puranga ELK, a na reira ka wehewehea e matou nga mahi matua kia 4 nga waahanga:

Tauanga me te tirohanga;
Te kitenga o nga maiki haumarutanga korero;
Te kaupapa matua;
Aunoatanga o nga tukanga haumarutanga korero.

I muri mai, ka ata tirohia ia takitahi.

Te kitenga o nga maiki haumarutanga korero

Ko te mahi matua mo te whakamahi i te elasticsearch i roto i ta maatau keehi ko te kohikohi i nga maiki haumarutanga korero anake. Ka taea e koe te kohi mai i nga maiki haumarutanga korero mai i nga tikanga haumaru mena ka tautokohia e ratou etahi momo tuku raarangi, ko te paerewa he syslog, he penapena scp ranei ki tetahi konae.

Ka taea e koe te whakaatu tauira paerewa o nga taputapu haumaru me etahi atu, mai i te waahi me whirihora e koe te tuku whakamua o nga raarangi:

Nga taputapu NGFW (Tirohia, Fortinet);
Tetahi matawai whakaraerae (PT Scanner, OpenVas);
Paetukutuku Taupānga Pātūahi (PT AF);
kaitirotiro rerenga kupenga (Flowmon, Cisco StealthWatch);
AD tūmau.

Ina whirihorahia e koe te tukunga o nga raarangi me nga konae whirihoranga i Logstash, ka taea e koe te whakataurite me te whakataurite ki nga aitua ka puta mai i nga momo taputapu haumaru. Ki te mahi i tenei, he pai ki te whakamahi i nga tohu tohu ka penapenahia e matou nga aitua katoa e pa ana ki tetahi taputapu motuhake. I etahi atu kupu, ko te taurangi ko nga maiki katoa ki tetahi taputapu. Ka taea te whakatinana i tenei tohatoha i nga huarahi e rua.

Ko te kōwhiringa tuatahi Ko tenei hei whirihora i te whirihora Logstash. Hei mahi i tenei, me taarua te raarangi mo etahi mara ki tetahi waahanga motuhake me tetahi momo rereke. Na ka whakamahi i tenei momo a muri ake nei. I roto i te tauira, ka kohia nga rakau mai i te mata IPS o te pakitara Tirotiro.

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

Hei tiaki i aua huihuinga ki roto i te taurangi motuhake i runga i nga mara rakau, hei tauira, penei i nga hainatanga whakaeke IP Destination. Ka taea e koe te whakamahi i tetahi hanganga rite:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

Ma tenei ara, ka taea e koe te penapena i nga aitua katoa ki roto i te taurangi, hei tauira, ma te wahitau IP, ma te ingoa rohe ranei o te miihini. I tenei keehi, ka tiakina e matou ki te taurangi "smartdefense-%{dst}", ma te wahitau IP o te waahi waitohu.

Heoi, ka rereke nga momo hua ka rereke nga mara rakau, ka puta te hepohepo me te kohi mahara koretake. A i konei me ata whakakapi e koe nga mara i roto i nga tautuhinga whirihora Logstash me nga mea i hangaia i mua, ka rite mo nga momo aitua katoa, he mahi uaua ano hoki.

Kōwhiringa whakatinana tuarua - he tuhi tuhi, he tukanga ranei e uru atu ai ki te papaaarangi elastic i roto i te waa tuturu, ka kumea mai nga aitua e tika ana, ka penapena ki roto i te taurangi hou, he mahi uaua tenei, engari ka taea e koe te mahi me nga raarangi e pai ana koe, me te hono tika ki nga maiki mai i etahi atu taputapu haumaru. Ma tenei whiringa ka taea e koe te whirihora i nga mahi me nga raarangi kia tino whai hua mo to keehi me te tino ngawari, engari i konei ka puta te raru ki te rapu tohunga ka taea te whakatinana i tenei.

Ae ra, ko te patai tino nui, a he aha te mea ka taea te hono me te kitea??

He maha nga whiringa kei konei, ka whakawhirinaki ki nga taputapu haumaru e whakamahia ana i roto i to hanganga, etahi tauira:

Ko te mea tino kitea, mai i taku tirohanga, ko te whiringa tino pai mo te hunga he otinga NGFW me te matawai whakaraerae. He whakataurite tenei mo nga raarangi IPS me nga hua matawai whakaraerae. Mena i kitea he whakaeke (kaore i aukatihia) e te punaha IPS, a kaore tenei whakaraerae e kati i runga i te miihini mutunga i runga i nga hua matawai, he mea tika kia pupuhi te whiowhio, na te mea he nui te tupono kua whakamahia te whakaraeraetanga. .
He maha nga ngana takiuru mai i tetahi miihini ki nga waahi rereke ka tohu pea i nga mahi kino.
Ko te kaiwhakamahi kei te tango i nga konae huaketo na te toro atu ki te maha o nga waahi kino.

Te tatauranga me te tirohanga

Ko te mea tino marama me te maarama mo te ELK Stack e hiahiatia ana ko te rokiroki me te tirohanga o nga raarangi, i roto i nga tuhinga o mua i whakaatuhia me pehea e taea ai e koe te hanga rakau mai i nga momo taputapu ma te whakamahi i te Logstash. I muri i nga raarangi ka haere ki Elasticsearch, ka taea e koe te whakarite i nga papatohu, i whakahuahia ano i roto i nga tuhinga o mua, me nga korero me nga tatauranga e hiahiatia ana e koe ma te tirohanga.

tauira:

Papatohu mo nga huihuinga Aukati Whakawehi me nga kaupapa tino nui. I konei ka taea e koe te whakaatu ko wai nga waitohu IPS i kitea me te wahi i ahu mai ai i te matawhenua.
Papatohu mo te whakamahi i nga tono tino nui e taea ai te tuku korero.
Matawai hua mai i tetahi matawai haumarutanga.
Nga rangitaki Whaiaronga Hohe na te kaiwhakamahi.
Papatohu hononga VPN.

I tenei keehi, mena ka whirihorahia e koe nga papatohu ki te whakahou i nga hēkona ruarua, ka taea e koe te tiki he punaha tino watea mo te aro turuki i nga huihuinga i roto i te waa tuuturu, ka taea te whakamahi mo te whakautu tere ki nga maiki haumaru korero mena ka tuu koe i nga papatohu ki runga i tetahi waahanga motuhake. mata.

Te kaupapa matua

I roto i nga ahuatanga o nga hanganga nui, ka rere ke te maha o nga aitua, kaore nga tohunga e whai wa ki te whakariterite i nga aitua katoa i te waa. I roto i tenei take, he mea tika, i te tuatahi, ki te whakanui i nga mea e pa ana ki te riri nui. No reira, me whakarite e te punaha nga maiki i runga i te taumahatanga e pa ana ki to hanganga. He mea tika kia whakarite he imeera, waea waea ranei mo enei huihuinga. Ka taea te whakatinana i te kaupapa matua ma te whakamahi i nga taputapu Kibana paerewa ma te whakarite tirohanga. Engari me nga whakamohiotanga he uaua ake na te taunoa, kaore tenei mahi e uru ki te putanga taketake o Elasticsearch, i roto i te putanga utu. Na reira, me hoko mai he putanga utu, me tuhi ano koe i tetahi mahi ka whakamohio atu ki nga tohunga i te waa tuuturu ma te imeera me te waea waea.

Aunoatanga o nga tukanga haumarutanga korero

A ko tetahi o nga waahanga tino pai ko te mahi aunoa mo nga maiki haumarutanga korero. I mua, i whakatinanahia e matou tenei mahi mo Splunk, ka taea e koe te panui i etahi atu korero mo tenei Tuhinga. Ko te whakaaro nui ko te kaupapa here IPS kaore i te whakamatauhia, i te arotau ranei, ahakoa i etahi wa he waahanga nui tenei mo nga tukanga haumaru korero. Hei tauira, i te tau i muri i te whakatinanatanga o te NGFW me te kore o nga mahi ki te arotau i te IPS, ka whakaemi koe i te maha o nga hainatanga me te mahi Detect, e kore e aukati, e tino whakaiti ana i te ahua o te haumarutanga korero i roto i te whakahaere. Kei raro nei etahi tauira o nga mea ka taea te mahi aunoa:

Te whakawhiti i te waitohu IPS mai i te Rapu ki te Aukati. Mena karekau a Prevent e mahi mo nga hainatanga whakahirahira, karekau tenei i te pai me te waahi nui o te punaha whakamarumaru. Ka hurihia e matou nga mahi i roto i te kaupapa here ki enei waitohu. Ka taea te whakatinana i tenei mahi mena kei te taputapu NGFW he mahi REST API. Ka taea noa tenei mena kei a koe nga pukenga kaupapa me tango e koe nga korero e tika ana mai i te Elastcisearch me te tuku tono API ki te tūmau whakahaere NGFW.
Mena he maha nga waitohu i kitea, i aukatihia ranei i roto i te hokohoko whatunga mai i tetahi wahitau IP, he mea tika ki te aukati i tenei wahitau IP mo tetahi wa i roto i te kaupapa here Patuahi. Ko te whakatinanatanga ko te whakamahi i te REST API.
Whakahaerehia he matawai kaihautu me te matawai whakaraeraetanga, mena he maha nga waitohu IPS o tenei kaihautu me etahi atu taputapu haumarutanga mena he OpenVas, ka taea e koe te tuhi i tetahi tuhinga ka hono ma te ssh ki te matawai haumarutanga ka whakahaere i te karapa.