ELK SIEM ഓപ്പൺ ഡിസ്ട്രോ: ELK-ലെ ELK, SIEM ഡാഷ്‌ബോർഡുകളുടെ ദൃശ്യവൽക്കരണം

ELK-ൽ ELK, SIEM ഡാഷ്‌ബോർഡുകളുടെ ദൃശ്യവൽക്കരണം സജ്ജീകരിക്കുന്നത് ഈ പോസ്റ്റ് വിവരിക്കും
ലേഖനം ഇനിപ്പറയുന്ന വിഭാഗങ്ങളായി തിരിച്ചിരിക്കുന്നു:

1- ELK SIEM അവലോകനം
2- ഡിഫോൾട്ട് ഡാഷ്ബോർഡുകൾ
3- നിങ്ങളുടെ ആദ്യ ഡാഷ്ബോർഡുകൾ സൃഷ്ടിക്കുന്നു

എല്ലാ പോസ്റ്റുകളുടെയും ഉള്ളടക്ക പട്ടിക.

• ആമുഖം. എസ്ഒസി ഒരു സേവനമായി (എസ്ഒസിഎസ്എസ്) അടിസ്ഥാന സൗകര്യങ്ങളുടെയും സാങ്കേതികവിദ്യകളുടെയും വിന്യാസം
• ELK സ്റ്റാക്ക് - ഇൻസ്റ്റാളേഷനും കോൺഫിഗറേഷനും
• തുറന്ന ഡിസ്ട്രോയിലൂടെ നടക്കുക
• ഡാഷ്‌ബോർഡുകളുടെയും ELK SIEM-ന്റെയും ദൃശ്യവൽക്കരണം
• വാസുഹുമായുള്ള സംയോജനം
• മുന്നറിയിപ്പ് നൽകുന്നു
• റിപ്പോർട്ടുചെയ്യുന്നു
• കേസ് മാനേജ്മെന്റ്

1-ELK SIEM അവലോകനം

ELK SIEM അടുത്തിടെ 7.2 ജൂൺ 25-ന് പതിപ്പ് 2019-ൽ എൽക്ക് സ്റ്റാക്കിലേക്ക് ചേർത്തു.

ഒരു സെക്യൂരിറ്റി അനലിസ്റ്റിന്റെ ജീവിതം വളരെ എളുപ്പവും മടുപ്പിക്കുന്നതുമാക്കാൻ elastic.co സൃഷ്ടിച്ച SIEM സൊല്യൂഷനാണിത്.

ഞങ്ങളുടെ പതിപ്പിൽ, ഞങ്ങളുടെ സ്വന്തം SIEM സൃഷ്ടിക്കാനും ഞങ്ങളുടെ സ്വന്തം നിയന്ത്രണ പാനൽ തിരഞ്ഞെടുക്കാനും ഞങ്ങൾ തീരുമാനിച്ചു.

എന്നാൽ ആദ്യം ELK SIEM പര്യവേക്ഷണം ചെയ്യേണ്ടത് പ്രധാനമാണെന്ന് ഞങ്ങൾ കരുതുന്നു.

1.1- ഹോസ്റ്റ് ഇവന്റുകൾ വിഭാഗം

ഞങ്ങൾ ആദ്യം ഹോസ്റ്റ് വിഭാഗത്തിലേക്ക് നോക്കും. അവസാന പോയിന്റിൽ തന്നെ സൃഷ്ടിക്കുന്ന ഇവന്റുകൾ കാണാൻ ഹോസ്റ്റ് വിഭാഗം നിങ്ങളെ അനുവദിക്കും.

വ്യൂ ഹോസ്റ്റുകളിൽ ക്ലിക്ക് ചെയ്‌ത ശേഷം നിങ്ങൾക്ക് ഇതുപോലൊന്ന് ലഭിക്കും. നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ഈ കമ്പ്യൂട്ടറിലേക്ക് മൂന്ന് ഹോസ്റ്റുകൾ ബന്ധിപ്പിച്ചിരിക്കുന്നു:

1 വിൻഡോസ് 10.

2 ഉബുണ്ടു സെർവർ 18.04.

ഞങ്ങൾക്ക് നിരവധി വിഷ്വലൈസേഷനുകൾ പ്രദർശിപ്പിച്ചിരിക്കുന്നു, ഓരോന്നും വ്യത്യസ്ത തരം ഇവന്റുകളെ പ്രതിനിധീകരിക്കുന്നു.

ഉദാഹരണത്തിന്, മധ്യത്തിലുള്ളത് മൂന്ന് മെഷീനുകളിലും ലോഗിൻ ഡാറ്റ കാണിക്കുന്നു.

നിങ്ങൾ ഇവിടെ കാണുന്ന ഇത്രയും ഡാറ്റ അഞ്ച് ദിവസങ്ങളിലായി ശേഖരിച്ചതാണ്. പരാജയപ്പെട്ടതും വിജയിച്ചതുമായ ലോഗിനുകളുടെ വലിയ സംഖ്യയെ ഇത് വിശദീകരിക്കുന്നു. നിങ്ങൾക്ക് ഒരു ചെറിയ എണ്ണം ലോഗുകൾ ഉണ്ടായിരിക്കും, അതിനാൽ വിഷമിക്കേണ്ട

1.2- നെറ്റ്‌വർക്ക് ഇവന്റുകൾ വിഭാഗം

നെറ്റ്‌വർക്ക് വിഭാഗത്തിലേക്ക് നീങ്ങുമ്പോൾ, നിങ്ങൾക്ക് ഇതുപോലൊന്ന് ലഭിക്കണം. HTTP/TLS ട്രാഫിക്ക് മുതൽ DNS ട്രാഫിക്കും ബാഹ്യ ഇവന്റ് അലേർട്ടുകളും വരെ നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ സംഭവിക്കുന്ന എല്ലാ കാര്യങ്ങളും സൂക്ഷ്മമായി നിരീക്ഷിക്കാൻ ഈ വിഭാഗം നിങ്ങളെ അനുവദിക്കും.

2- ഡിഫോൾട്ട് ഡാഷ്ബോർഡുകൾ

ഉപയോക്താക്കൾക്ക് ജീവിതം എളുപ്പമാക്കുന്നതിന്, elastic.co ഡവലപ്പർമാർ ELK ഔദ്യോഗികമായി പിന്തുണയ്ക്കുന്ന ഒരു ഡിഫോൾട്ട് ടൂൾബാർ സൃഷ്ടിച്ചു. ഞങ്ങളുടെ ബീറ്റുകളും ഈ നിയമത്തിന് അപവാദമായിരുന്നില്ല. ഇവിടെ ഞാൻ പാക്കറ്റ്ബീറ്റിന്റെ ഡിഫോൾട്ട് ഡാഷ്ബോർഡുകൾ ഒരു ഉദാഹരണമായി ഉപയോഗിക്കും.

നിങ്ങൾ ലേഖനത്തിന്റെ രണ്ടാം ഘട്ടം ശരിയായി പിന്തുടരുകയാണെങ്കിൽ. നിങ്ങൾക്കായി ഒരു ടൂൾബാർ സജ്ജീകരിച്ചിരിക്കണം. അതുകൊണ്ട് നമുക്ക് തുടങ്ങാം.

കിബാനയുടെ ഇടത് ടാബിൽ നിന്ന്, ഡാഷ്‌ബോർഡ് ചിഹ്നം തിരഞ്ഞെടുക്കുക. മുകളിൽ നിന്ന് എണ്ണുകയാണെങ്കിൽ ഇത് മൂന്നാമത്തേതാണ്.

തിരയൽ ടാബിൽ പങ്കിടലിന്റെ പേര് നൽകുക

ബിറ്റിൽ നിരവധി മൊഡ്യൂളുകൾ ഉണ്ടെങ്കിൽ. അവയിൽ ഓരോന്നിനും ഒരു നിയന്ത്രണ പാനൽ സൃഷ്ടിക്കും. എന്നാൽ മൊഡ്യൂൾ സജീവമായ ഒന്ന് മാത്രമേ ശൂന്യമല്ലാത്ത ഡാറ്റ പ്രദർശിപ്പിക്കുകയുള്ളൂ.

നിങ്ങളുടെ മൊഡ്യൂൾ പേരുള്ള ഒന്ന് തിരഞ്ഞെടുക്കുക.

ഇതാണ് പ്രധാന ടെംപ്ലേറ്റ് പാക്കറ്റ് ബീറ്റ്.

ഇതാണ് നെറ്റ്‌വർക്ക് ഫ്ലോ കൺട്രോൾ പാനൽ. ഇത് ഇൻകമിംഗ്, ഔട്ട്‌ഗോയിംഗ് പാക്കറ്റ്, ഐപി വിലാസങ്ങളുടെ ഉറവിടങ്ങൾ, ലക്ഷ്യസ്ഥാനങ്ങൾ എന്നിവയെക്കുറിച്ച് ഞങ്ങളോട് പറയും, കൂടാതെ ഒരു സുരക്ഷാ സെന്റർ അനലിസ്റ്റിന് ധാരാളം ഉപയോഗപ്രദമായ വിവരങ്ങളും നൽകുന്നു.

3 - നിങ്ങളുടെ ആദ്യ ഡാഷ്ബോർഡുകൾ സൃഷ്ടിക്കുന്നു

3-1- അടിസ്ഥാന ആശയങ്ങൾ

എ- ഡാഷ്‌ബോർഡുകളുടെ തരങ്ങൾ:

നിങ്ങളുടെ ഡാറ്റ ദൃശ്യവൽക്കരിക്കാൻ നിങ്ങൾക്ക് ഉപയോഗിക്കാനാകുന്ന വ്യത്യസ്ത തരം വിഷ്വലൈസേഷനുകൾ ഇവയാണ്.

ഉദാഹരണത്തിന് ഞങ്ങൾക്ക് ഉണ്ട്:

• ബാർ ഗ്രാഫ്
• ഭൂപടം
• മാർക്ക്ഡൗൺ വിജറ്റ്
• പൈ ചാർട്ട്

B- KQL (കിബാന അന്വേഷണ ഭാഷ):

ഡാറ്റ എളുപ്പത്തിൽ തിരയാൻ കിബാനയിൽ ഉപയോഗിക്കുന്ന ഭാഷയാണിത്. ചില ഡാറ്റയും മറ്റ് ഉപയോഗപ്രദമായ സവിശേഷതകളും ഉണ്ടോയെന്ന് പരിശോധിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു. കൂടുതൽ കണ്ടെത്തുന്നതിന്, ഈ ലിങ്കിൽ നിങ്ങൾക്ക് വിവരങ്ങൾ പര്യവേക്ഷണം ചെയ്യാം

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

Windows 10 pro പ്രവർത്തിക്കുന്ന ഒരു ഹോസ്റ്റ് കണ്ടെത്തുന്നതിനുള്ള ഒരു ഉദാഹരണ അന്വേഷണമാണിത്.

സി- ഫിൽട്ടറുകൾ:

ഹോസ്റ്റ്നാമം, ഇവന്റ് കോഡ് അല്ലെങ്കിൽ ഐഡി മുതലായവ പോലുള്ള ചില പാരാമീറ്ററുകൾ ഫിൽട്ടർ ചെയ്യാൻ ഈ ഫീച്ചർ നിങ്ങളെ അനുവദിക്കും. തെളിവുകൾക്കായി തിരയുന്ന സമയത്തിന്റെയും പരിശ്രമത്തിന്റെയും അടിസ്ഥാനത്തിൽ ഫിൽട്ടറുകൾ അന്വേഷണ ഘട്ടത്തെ വളരെയധികം മെച്ചപ്പെടുത്തും.

ഡി- ആദ്യ ദൃശ്യവൽക്കരണം:

MITER ATT & CK എന്നിവയ്ക്കായി നമുക്ക് ഒരു ദൃശ്യവൽക്കരണം സൃഷ്ടിക്കാം.

ആദ്യം നമ്മൾ പോകേണ്ടത് ഡാഷ്‌ബോർഡ് → പുതിയ ഡാഷ്‌ബോർഡ് സൃഷ്‌ടിക്കുക→പുതിയ →പൈ ഡാഷ്‌ബോർഡ് സൃഷ്‌ടിക്കുക

സൂചിക പാറ്റേണിനായി തരം സജ്ജമാക്കുക, തുടർന്ന് നിങ്ങളുടെ ബീറ്റിന്റെ പേര് ടാപ്പുചെയ്യുക.

എന്റർ അമർത്തുക. ഇപ്പോൾ നിങ്ങൾ ഒരു പച്ച ഡോനട്ട് കാണണം.

ഇടതുവശത്തുള്ള ബക്കറ്റ് ടാബിൽ നിങ്ങൾ കണ്ടെത്തും:

— സ്പ്ലിറ്റ് സ്ലൈസുകൾ ഡാറ്റയുടെ വ്യാപനത്തെ ആശ്രയിച്ച് ഡോനട്ടിനെ വ്യത്യസ്ത ഭാഗങ്ങളായി വിഭജിക്കും.

- സ്പ്ലിറ്റ് ചാർട്ട് ഇതിന് അടുത്തായി മറ്റൊരു ഡോനട്ട് സൃഷ്ടിക്കും.

ഞങ്ങൾ സ്പ്ലിറ്റ് സ്ലൈസുകൾ ഉപയോഗിക്കും.

ഞങ്ങൾ തിരഞ്ഞെടുക്കുന്ന പദത്തിനനുസരിച്ച് ഞങ്ങളുടെ ഡാറ്റ ദൃശ്യവൽക്കരിക്കും. ഈ സാഹചര്യത്തിൽ ഈ പദം MITER ATT & CK എന്നിവയെ പരാമർശിക്കും.

Winlogbeat-ൽ, ഈ വിവരങ്ങൾ ഞങ്ങൾക്ക് നൽകുന്ന ഫീൽഡിനെ വിളിക്കുന്നു:

winlog.event_data.RuleName

ഇവന്റുകൾ എത്ര തവണ സംഭവിക്കുന്നു എന്നതിനെ അടിസ്ഥാനമാക്കി ഞങ്ങൾ ഒരു കൗണ്ട് മെട്രിക് സജ്ജീകരിക്കും.

"ഒരു പ്രത്യേക സെഗ്‌മെന്റിൽ മറ്റ് മൂല്യങ്ങൾ ഗ്രൂപ്പുചെയ്യുക" സവിശേഷത പ്രവർത്തനക്ഷമമാക്കുക.

നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന പദങ്ങൾക്ക് താളത്തെ അടിസ്ഥാനമാക്കി വ്യത്യസ്ത അർത്ഥങ്ങളുണ്ടെങ്കിൽ ഇത് ഉപയോഗപ്രദമാകും. ബാക്കിയുള്ള ഡാറ്റ മൊത്തത്തിൽ ദൃശ്യവൽക്കരിക്കാൻ ഇത് സഹായിക്കുന്നു. ശേഷിക്കുന്ന ഇവന്റുകളുടെ ശതമാനത്തെക്കുറിച്ച് ഇത് നിങ്ങൾക്ക് ഒരു ആശയം നൽകും.

ഇപ്പോൾ ഞങ്ങൾ ഡാറ്റ ടാബ് സജ്ജീകരിക്കുന്നത് പൂർത്തിയാക്കി, നമുക്ക് ഓപ്ഷനുകൾ ടാബിലേക്ക് പോകാം

നിങ്ങൾ ഇനിപ്പറയുന്നവ ചെയ്യണം:

** ഡോനട്ട് ആകൃതി നീക്കം ചെയ്യുക, അങ്ങനെ റെൻഡറിംഗ് ഒരു പൂർണ്ണ വൃത്തം കാണിക്കുന്നു.

** നിങ്ങൾ ഇഷ്ടപ്പെടുന്ന ലെജൻഡ് സ്ഥാനം തിരഞ്ഞെടുക്കുക. ഈ സാഹചര്യത്തിൽ, ഞങ്ങൾ അവ വലതുവശത്ത് പ്രദർശിപ്പിക്കും.

** എളുപ്പത്തിൽ വായിക്കുന്നതിനായി അവയുടെ സ്‌നിപ്പെറ്റിന് അടുത്തായി കാണിക്കാൻ ഡിസ്‌പ്ലേ മൂല്യങ്ങൾ സജ്ജമാക്കുക, ബാക്കിയുള്ളവ സ്ഥിരസ്ഥിതിയായി വിടുക

ഇവന്റ് നാമത്തിൽ നിന്ന് നിങ്ങൾ എത്രത്തോളം പ്രദർശിപ്പിക്കണമെന്ന് വെട്ടിച്ചുരുക്കൽ നിർണ്ണയിക്കുന്നു.

റെൻഡറിംഗ് ആരംഭിക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്ന സമയം സജ്ജമാക്കുക, തുടർന്ന് നീല ചതുരത്തിൽ ക്ലിക്കുചെയ്യുക.

നിങ്ങൾ ഇതുപോലൊന്ന് അവസാനിപ്പിക്കണം:

നിങ്ങൾ പരിശോധിക്കാൻ ആഗ്രഹിക്കുന്ന നിർദ്ദിഷ്ട ഹോസ്റ്റ് അല്ലെങ്കിൽ നിങ്ങളുടെ ആവശ്യത്തിന് ഉപയോഗപ്രദമെന്ന് നിങ്ങൾ കരുതുന്ന ഏതെങ്കിലും പാരാമീറ്ററുകൾ ഫിൽട്ടർ ചെയ്യുന്നതിന് നിങ്ങളുടെ ദൃശ്യവൽക്കരണത്തിലേക്ക് ഒരു ഫിൽട്ടർ ചേർക്കാനും നിങ്ങൾക്ക് കഴിയും. ഫിൽട്ടറിൽ സ്ഥാപിച്ചിരിക്കുന്ന നിയമവുമായി പൊരുത്തപ്പെടുന്ന ഡാറ്റ മാത്രമേ ദൃശ്യവൽക്കരണം പ്രദർശിപ്പിക്കുകയുള്ളൂ. ഈ സാഹചര്യത്തിൽ, win10 എന്ന് പേരുള്ള ഹോസ്റ്റിൽ നിന്ന് വരുന്ന MITER ATT&CK ഡാറ്റ മാത്രമേ ഞങ്ങൾ പ്രദർശിപ്പിക്കുകയുള്ളൂ.

3-2- നിങ്ങളുടെ ആദ്യ ഡാഷ്‌ബോർഡ് സൃഷ്‌ടിക്കുന്നു:

ഡാഷ്‌ബോർഡ് എന്നത് നിരവധി ദൃശ്യവൽക്കരണങ്ങളുടെ ശേഖരമാണ്. നിങ്ങളുടെ ഡാഷ്‌ബോർഡുകൾ വ്യക്തവും മനസ്സിലാക്കാവുന്നതും ഉപയോഗപ്രദവും നിർണ്ണായകവുമായ ഡാറ്റ ഉൾക്കൊള്ളുന്നതുമായിരിക്കണം. വിൻലോഗ്ബീറ്റിനായി ഞങ്ങൾ ആദ്യം മുതൽ സൃഷ്ടിച്ച ഡാഷ്‌ബോർഡുകളുടെ ഒരു ഉദാഹരണം ഇതാ.

താങ്കളുടെ സമയത്തിനു നന്ദി. ഈ ലേഖനം നിങ്ങൾക്ക് സഹായകരമാണെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു. വിഷയത്തെക്കുറിച്ചുള്ള കൂടുതൽ വിവരങ്ങൾ നിങ്ങൾക്ക് താൽപ്പര്യമുണ്ടെങ്കിൽ, സന്ദർശിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു official ദ്യോഗിക വെബ്സൈറ്റ്.

ഇലാസ്റ്റിക് സെർച്ചിലെ ടെലിഗ്രാം ചാറ്റ്: https://t.me/elasticsearch_ru

അവലംബം: www.habr.com