വെബ്‌സൈറ്റ് ആക്രമണങ്ങളെ ചെറുക്കാനും സമാധാനപരമായി ഉറങ്ങാനും സുരക്ഷാ എഞ്ചിനീയർമാരെ ELK എങ്ങനെ സഹായിക്കുന്നു

ഞങ്ങളുടെ സൈബർ ഡിഫൻസ് സെന്റർ ക്ലയന്റ് വെബ് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ സുരക്ഷയ്ക്ക് ഉത്തരവാദിയാണ്, കൂടാതെ ക്ലയന്റ് സൈറ്റുകളിലെ ആക്രമണങ്ങളെ ചെറുക്കുന്നു. ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന്, ഞങ്ങൾ ഫോർട്ടിവെബ് വെബ് ആപ്ലിക്കേഷൻ ഫയർവാളുകൾ (WAFs) ഉപയോഗിക്കുന്നു. എന്നാൽ ഏറ്റവും മികച്ച WAF പോലും ഒരു പരിഭ്രാന്തിയല്ല, മാത്രമല്ല ടാർഗെറ്റുചെയ്‌ത ആക്രമണങ്ങളിൽ നിന്ന് "ബോക്‌സിന് പുറത്ത്" പരിരക്ഷിക്കുന്നില്ല. 

അതിനാൽ, WAF ന് പുറമേ, ഞങ്ങൾ ഉപയോഗിക്കുന്നു ELK. എല്ലാ ഇവന്റുകളും ഒരിടത്ത് ശേഖരിക്കാനും സ്ഥിതിവിവരക്കണക്കുകൾ ശേഖരിക്കാനും അത് ദൃശ്യവൽക്കരിക്കാനും കൃത്യസമയത്ത് ടാർഗെറ്റുചെയ്‌ത ആക്രമണം കാണാൻ ഞങ്ങളെ അനുവദിക്കുന്നു.

WAF ഉപയോഗിച്ച് ഞങ്ങൾ എങ്ങനെയാണ് ക്രിസ്മസ് ട്രീ കടന്നതെന്നും അതിൽ എന്താണ് സംഭവിച്ചതെന്നും ഇന്ന് ഞാൻ നിങ്ങളോട് കൂടുതൽ വിശദമായി പറയും.

ഒരു ആക്രമണത്തിന്റെ കഥ: ELK ലേക്ക് മാറുന്നതിന് മുമ്പ് എല്ലാം എങ്ങനെ പ്രവർത്തിച്ചു

ഞങ്ങളുടെ ക്ലൗഡിൽ, ഉപഭോക്താവ് ഞങ്ങളുടെ WAF-ന് പിന്നിൽ ആപ്ലിക്കേഷൻ വിന്യസിച്ചു. പ്രതിദിനം 10 മുതൽ 000 വരെ ഉപയോക്താക്കൾ സൈറ്റിലേക്ക് കണക്റ്റുചെയ്‌തു, കണക്ഷനുകളുടെ എണ്ണം പ്രതിദിനം 100 ദശലക്ഷത്തിലെത്തി. ഇവരിൽ 000-20 ഉപയോക്താക്കൾ നുഴഞ്ഞുകയറുകയും സൈറ്റ് ഹാക്ക് ചെയ്യാൻ ശ്രമിക്കുകയും ചെയ്തു. 

ഒരു ഐപി വിലാസത്തിൽ നിന്നുള്ള സാധാരണ ഫോം ബ്രൂട്ട് ഫോഴ്‌സ് ഫോർട്ടിവെബ് വളരെ എളുപ്പത്തിൽ തടഞ്ഞു. ഓരോ മിനിറ്റിലും സൈറ്റിലേക്കുള്ള ഹിറ്റുകളുടെ എണ്ണം നിയമാനുസൃത ഉപയോക്താക്കളേക്കാൾ കൂടുതലാണ്. ഞങ്ങൾ ഒരു വിലാസത്തിൽ നിന്ന് പ്രവർത്തന പരിധികൾ സജ്ജീകരിച്ച് ആക്രമണത്തെ ചെറുത്തു.

ആക്രമണകാരികൾ സാവധാനത്തിൽ പ്രവർത്തിക്കുകയും സാധാരണ ക്ലയന്റുകളായി വേഷംമാറുകയും ചെയ്യുമ്പോൾ, "സ്ലോ ആക്രമണങ്ങൾ" കൈകാര്യം ചെയ്യുന്നത് വളരെ ബുദ്ധിമുട്ടാണ്. അവർ പല അദ്വിതീയ ഐപി വിലാസങ്ങൾ ഉപയോഗിക്കുന്നു. അത്തരം പ്രവർത്തനം WAF-ന് വൻ ക്രൂരമായ ശക്തിയായി തോന്നിയില്ല, അത് യാന്ത്രികമായി ട്രാക്കുചെയ്യുന്നത് കൂടുതൽ ബുദ്ധിമുട്ടായിരുന്നു. കൂടാതെ സാധാരണ ഉപയോക്താക്കളെ ബ്ലോക്ക് ചെയ്യാനുള്ള സാധ്യതയും ഉണ്ടായിരുന്നു. ആക്രമണത്തിന്റെ മറ്റ് സൂചനകൾക്കായി ഞങ്ങൾ തിരയുകയും ഈ ചിഹ്നത്തെ അടിസ്ഥാനമാക്കി IP വിലാസങ്ങൾ സ്വയമേവ തടയുന്നതിനുള്ള ഒരു നയം സജ്ജമാക്കുകയും ചെയ്തു. ഉദാഹരണത്തിന്, പല നിയമവിരുദ്ധമായ സെഷനുകൾക്കും http അഭ്യർത്ഥന തലക്കെട്ടുകളിൽ പൊതുവായ ഫീൽഡുകൾ ഉണ്ടായിരുന്നു. ഫോർട്ടിവെബ് ഇവന്റ് ലോഗുകളിൽ നിങ്ങൾ പലപ്പോഴും അത്തരം ഫീൽഡുകൾ സ്വമേധയാ നോക്കേണ്ടി വരും. 

അത് നീണ്ടുപോയി, അസുഖകരമായിരുന്നു. ഫോർട്ടിവെബിന്റെ സ്റ്റാൻഡേർഡ് പ്രവർത്തനത്തിൽ, ഇവന്റുകൾ 3 വ്യത്യസ്ത ലോഗുകളിൽ ടെക്‌സ്‌റ്റിൽ രേഖപ്പെടുത്തുന്നു: കണ്ടെത്തിയ ആക്രമണങ്ങൾ, അഭ്യർത്ഥനകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ, WAF പ്രവർത്തനത്തെക്കുറിച്ചുള്ള സിസ്റ്റം സന്ദേശങ്ങൾ. ഒരു മിനിറ്റിനുള്ളിൽ ഡസൻ കണക്കിന് അല്ലെങ്കിൽ നൂറുകണക്കിന് ആക്രമണ സംഭവങ്ങൾ വരാം.

വളരെയധികം അല്ല, എന്നാൽ നിങ്ങൾ നിരവധി ലോഗുകളിലൂടെ സ്വമേധയാ കയറുകയും നിരവധി വരികളിലൂടെ ആവർത്തിക്കുകയും വേണം: 

ആക്രമണ ലോഗിൽ, ഉപയോക്തൃ വിലാസങ്ങളും പ്രവർത്തനത്തിന്റെ സ്വഭാവവും ഞങ്ങൾ കാണുന്നു. 
 
ലോഗ് ടേബിൾ സ്കാൻ ചെയ്താൽ മാത്രം പോരാ. ആക്രമണത്തിന്റെ സ്വഭാവത്തെക്കുറിച്ച് ഏറ്റവും രസകരവും ഉപയോഗപ്രദവുമായത് കണ്ടെത്താൻ, നിങ്ങൾ ഒരു പ്രത്യേക ഇവന്റിനുള്ളിൽ നോക്കേണ്ടതുണ്ട്:

ഹൈലൈറ്റ് ചെയ്ത ഫീൽഡുകൾ "സ്ലോ ആക്രമണം" കണ്ടെത്താൻ സഹായിക്കുന്നു. ഉറവിടം: സ്ക്രീൻഷോട്ട് ഫോർട്ടിനെറ്റ് വെബ്സൈറ്റ്. 

ഒരു ഫോർട്ടിവെബ് സ്പെഷ്യലിസ്റ്റിന് മാത്രമേ ഇത് കണ്ടുപിടിക്കാൻ കഴിയൂ എന്നതാണ് പ്രധാന പ്രശ്നം. പ്രവൃത്തിസമയങ്ങളിൽ ഞങ്ങൾക്ക് സംശയാസ്പദമായ പ്രവർത്തനങ്ങൾ തത്സമയം ട്രാക്ക് ചെയ്യാൻ കഴിയുമെങ്കിൽ, രാത്രി സംഭവങ്ങളുടെ അന്വേഷണം വൈകും. ചില കാരണങ്ങളാൽ ഫോർട്ടിവെബ് നയങ്ങൾ പ്രവർത്തിക്കാത്തപ്പോൾ, ഡ്യൂട്ടിയിലുണ്ടായിരുന്ന രാത്രി ഷിഫ്റ്റ് എഞ്ചിനീയർമാർക്ക് WAF-ലേക്ക് പ്രവേശനം കൂടാതെ സ്ഥിതിഗതികൾ വിലയിരുത്താൻ കഴിയാതെ ഫോർട്ടിവെബ് സ്പെഷ്യലിസ്റ്റിനെ ഉണർത്തി. ഞങ്ങൾ മണിക്കൂറുകളോളം ലോഗുകൾ പരിശോധിച്ച് ആക്രമണത്തിന്റെ നിമിഷം കണ്ടെത്തി. 

അത്തരം വിവരങ്ങളുടെ വോള്യത്തിൽ, വലിയ ചിത്രം ഒറ്റനോട്ടത്തിൽ മനസ്സിലാക്കാനും സജീവമായി പ്രവർത്തിക്കാനും പ്രയാസമാണ്. എല്ലാം ഒരു വിഷ്വൽ രൂപത്തിൽ വിശകലനം ചെയ്യുന്നതിനും ആക്രമണത്തിന്റെ തുടക്കം കണ്ടെത്തുന്നതിനും അതിന്റെ ദിശയും തടയൽ രീതിയും തിരിച്ചറിയുന്നതിനും ഞങ്ങൾ ഒരിടത്ത് ഡാറ്റ ശേഖരിക്കാൻ തീരുമാനിച്ചു. 

നിങ്ങൾ എന്താണ് തിരഞ്ഞെടുത്തത്

ഒന്നാമതായി, എന്റിറ്റികൾ അനാവശ്യമായി വർദ്ധിപ്പിക്കാതിരിക്കാൻ ഞങ്ങൾ ഇതിനകം ഉപയോഗത്തിലുള്ള പരിഹാരങ്ങൾ പരിശോധിച്ചു.

ആദ്യ ഓപ്ഷനുകളിലൊന്നായിരുന്നു നാഗോസ്ഞങ്ങൾ നിരീക്ഷിക്കാൻ ഉപയോഗിക്കുന്ന എഞ്ചിനീയറിംഗ് ഇൻഫ്രാസ്ട്രക്ചർ, നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചർ, എമർജൻസി അലേർട്ടുകൾ. സംശയാസ്പദമായ ട്രാഫിക്കുണ്ടായാൽ അറ്റൻഡർമാരെ അറിയിക്കാൻ സെക്യൂരിറ്റി ഗാർഡുകളും ഇത് ഉപയോഗിക്കുന്നു, പക്ഷേ ചിതറിക്കിടക്കുന്ന തടികൾ എങ്ങനെ ശേഖരിക്കണമെന്ന് അറിയാത്തതിനാൽ അപ്രത്യക്ഷമാകുന്നു. 

എല്ലാം സമാഹരിക്കാൻ ഒരു ഓപ്ഷൻ ഉണ്ടായിരുന്നു MySQL, PostgreSQL അല്ലെങ്കിൽ മറ്റൊരു റിലേഷണൽ ഡാറ്റാബേസ്. എന്നാൽ ഡാറ്റ പുറത്തെടുക്കുന്നതിന്, നിങ്ങളുടെ ആപ്ലിക്കേഷൻ ശിൽപം ചെയ്യേണ്ടത് ആവശ്യമാണ്. 

ഞങ്ങളുടെ കമ്പനിയിലെ ഒരു ലോഗ് കളക്ടർ എന്ന നിലയിൽ അവരും ഉപയോഗിക്കുന്നു ഫോർട്ടി അനലൈസർ ഫോർട്ടിനെറ്റിൽ നിന്ന്. എന്നാൽ ഈ സാഹചര്യത്തിൽ, അവനും അനുയോജ്യമല്ല. ഒന്നാമതായി, ഒരു ഫയർവാൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ ഇത് കൂടുതൽ മൂർച്ചയുള്ളതാണ് ഫോർട്ടിഗേറ്റ്. രണ്ടാമതായി, നിരവധി സജ്ജീകരണങ്ങൾ നഷ്‌ടമായി, അതുമായി ഇടപെടുന്നതിന് SQL അന്വേഷണങ്ങളെക്കുറിച്ച് മികച്ച അറിവ് ആവശ്യമാണ്. മൂന്നാമതായി, അതിന്റെ ഉപയോഗം ഉപഭോക്താവിന് സേവനത്തിന്റെ ചിലവ് വർദ്ധിപ്പിക്കും.   

അങ്ങനെയാണ് ഞങ്ങൾ മുഖത്ത് ഓപ്പൺ സോഴ്‌സിലേക്ക് വന്നത് ELK. 

എന്തുകൊണ്ടാണ് ELK തിരഞ്ഞെടുക്കുന്നത് 

ELK എന്നത് ഒരു കൂട്ടം ഓപ്പൺ സോഴ്‌സ് പ്രോഗ്രാമുകളാണ്:

• ഇലാസ്റ്റിസെര്ച്ച് - ടൈം സീരീസിന്റെ ഒരു ഡാറ്റാബേസ്, ഇത് വലിയ അളവിലുള്ള ടെക്‌സ്‌റ്റ് ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ സൃഷ്‌ടിച്ചതാണ്;
• Logstash - ആവശ്യമുള്ള ഫോർമാറ്റിലേക്ക് ലോഗുകൾ പരിവർത്തനം ചെയ്യാൻ കഴിയുന്ന ഒരു ഡാറ്റ ശേഖരണ സംവിധാനം; 
• കിബാന - ഒരു നല്ല വിഷ്വലൈസർ, അതുപോലെ ഇലാസ്റ്റിക് സെർച്ച് കൈകാര്യം ചെയ്യുന്നതിനുള്ള സാമാന്യം സൌഹൃദ ഇന്റർഫേസ്. രാത്രിയിൽ ഡ്യൂട്ടി എഞ്ചിനീയർമാർക്ക് നിരീക്ഷിക്കാൻ കഴിയുന്ന ഷെഡ്യൂളുകൾ നിർമ്മിക്കാൻ നിങ്ങൾക്ക് ഇത് ഉപയോഗിക്കാം. 

ELK-യുടെ പ്രവേശന പരിധി കുറവാണ്. എല്ലാ അടിസ്ഥാന സവിശേഷതകളും സൗജന്യമാണ്. സന്തോഷത്തിന് മറ്റെന്താണ് വേണ്ടത്.

എങ്ങനെയാണ് നിങ്ങൾ എല്ലാം ഒരു സിസ്റ്റത്തിൽ ചേർത്തത്?

സൂചികകൾ സൃഷ്ടിച്ച് ആവശ്യമായ വിവരങ്ങൾ മാത്രം അവശേഷിപ്പിച്ചു. ഞങ്ങൾ മൂന്ന് FortiWEB ലോഗുകളും ELK-ലേക്ക് ലോഡ് ചെയ്തു - ഔട്ട്പുട്ട് സൂചികകളായിരുന്നു. ഇവ ഒരു കാലയളവിലേക്ക് ശേഖരിച്ച എല്ലാ ലോഗുകളുമുള്ള ഫയലുകളാണ്, ഉദാഹരണത്തിന്, ഒരു ദിവസം. അവ ഉടനടി ദൃശ്യവൽക്കരിച്ചാൽ, ആക്രമണത്തിന്റെ ചലനാത്മകത മാത്രമേ നമുക്ക് കാണാനാകൂ. വിശദാംശങ്ങൾക്ക്, നിങ്ങൾ ഓരോ ആക്രമണത്തിലും "വീഴുകയും" പ്രത്യേക ഫീൽഡുകൾ നോക്കുകയും വേണം.

ഘടനയില്ലാത്ത വിവരങ്ങളുടെ പാഴ്‌സിംഗ് സജ്ജീകരിക്കേണ്ടതുണ്ടെന്ന് ഞങ്ങൾ മനസ്സിലാക്കി. "സന്ദേശം", "URL" എന്നിവ പോലുള്ള സ്ട്രിംഗുകളായി ഞങ്ങൾ നീളമുള്ള ഫീൽഡുകൾ എടുക്കുകയും തീരുമാനമെടുക്കുന്നതിന് കൂടുതൽ വിവരങ്ങൾ ലഭിക്കുന്നതിന് അവ പാഴ്‌സ് ചെയ്യുകയും ചെയ്തു. 

ഉദാഹരണത്തിന്, പാഴ്‌സിംഗ് ഉപയോഗിച്ച്, ഞങ്ങൾ ഉപയോക്താവിന്റെ സ്ഥാനം പ്രത്യേകം എടുത്തു. റഷ്യൻ ഉപയോക്താക്കൾക്കുള്ള സൈറ്റുകളിൽ വിദേശത്ത് നിന്നുള്ള ആക്രമണങ്ങൾ ഉടനടി ഹൈലൈറ്റ് ചെയ്യാൻ ഇത് സഹായിച്ചു. മറ്റ് രാജ്യങ്ങളിൽ നിന്നുള്ള എല്ലാ കണക്ഷനുകളും തടയുന്നതിലൂടെ, ഞങ്ങൾ ആക്രമണങ്ങളുടെ എണ്ണം 2 മടങ്ങ് കുറയ്ക്കുകയും റഷ്യയ്ക്കുള്ളിലെ ആക്രമണങ്ങളെ എളുപ്പത്തിൽ നേരിടുകയും ചെയ്തു. 

പാഴ്‌സ് ചെയ്‌ത ശേഷം, എന്ത് വിവരങ്ങളാണ് സംഭരിക്കാനും ദൃശ്യവൽക്കരിക്കാനും അവർ തിരയാൻ തുടങ്ങിയത്. ലോഗിൽ എല്ലാം ഉപേക്ഷിക്കുന്നത് അനുചിതമാണ്: ഒരു സൂചികയുടെ വലുപ്പം വലുതാണ് - 7 GB. ഫയൽ പ്രോസസ്സ് ചെയ്യാൻ ELK വളരെ സമയമെടുത്തു. എന്നിരുന്നാലും, എല്ലാ വിവരങ്ങളും ഉപയോഗപ്രദമായിരുന്നില്ല. എന്തോ തനിപ്പകർപ്പാക്കി അധിക ഇടം എടുത്തു - ഒപ്റ്റിമൈസ് ചെയ്യേണ്ടത് ആവശ്യമാണ്. 

ആദ്യം, ഞങ്ങൾ സൂചികയിലൂടെ നോക്കുകയും അനാവശ്യ സംഭവങ്ങൾ നീക്കം ചെയ്യുകയും ചെയ്തു. ഫോർട്ടിവെബിൽ തന്നെ ലോഗുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നതിനേക്കാൾ ഇത് കൂടുതൽ അസൗകര്യവും ദൈർഘ്യമേറിയതുമായി മാറി. ഈ ഘട്ടത്തിൽ "ക്രിസ്മസ് ട്രീ"യിൽ നിന്നുള്ള ഒരേയൊരു പ്ലസ്, ഒരു സ്‌ക്രീനിൽ ഒരു വലിയ കാലയളവ് ദൃശ്യവൽക്കരിക്കാൻ ഞങ്ങൾക്ക് കഴിഞ്ഞു എന്നതാണ്. 

ഞങ്ങൾ നിരാശരായില്ല, കള്ളിച്ചെടി തിന്നുകയും ELK പഠിക്കുകയും ചെയ്തു, ആവശ്യമായ വിവരങ്ങൾ വേർതിരിച്ചെടുക്കാൻ ഞങ്ങൾക്ക് കഴിയുമെന്ന് ഞങ്ങൾ വിശ്വസിച്ചു. സൂചികകൾ വൃത്തിയാക്കിയ ശേഷം, എന്താണെന്ന് ഞങ്ങൾ ദൃശ്യവൽക്കരിക്കാൻ തുടങ്ങി. അങ്ങനെ ഞങ്ങൾ വലിയ ഡാഷ്‌ബോർഡുകളിൽ എത്തി. ഞങ്ങൾ വിജറ്റുകൾ കുത്തി - ദൃശ്യമായും ഗംഭീരമായും, ഒരു യഥാർത്ഥ ЁLKa! 

ആക്രമണത്തിന്റെ നിമിഷം പകർത്തി. ആക്രമണത്തിന്റെ തുടക്കം ചാർട്ടിൽ എങ്ങനെ കാണപ്പെടുന്നുവെന്ന് ഇപ്പോൾ മനസിലാക്കേണ്ടത് ആവശ്യമാണ്. അത് കണ്ടെത്തുന്നതിന്, ഉപയോക്താവിനുള്ള സെർവറിന്റെ പ്രതികരണങ്ങൾ (റിട്ടേൺ കോഡുകൾ) ഞങ്ങൾ പരിശോധിച്ചു. അത്തരം കോഡുകൾ (rc) ഉള്ള സെർവർ പ്രതികരണങ്ങളിൽ ഞങ്ങൾക്ക് താൽപ്പര്യമുണ്ടായിരുന്നു: 

കോഡ് (ആർസി)

ശീർഷകം

വിവരണം

0

ഡ്രോപ്പ്

സെർവറിലേക്കുള്ള അഭ്യർത്ഥന തടഞ്ഞു

200

Ok

അഭ്യർത്ഥന വിജയകരമായി പ്രോസസ്സ് ചെയ്തു

400

മോശം അഭ്യർത്ഥന

മോശം അഭ്യർത്ഥന

403

വിലക്കപ്പെട്ട

അംഗീകാരം നിഷേധിച്ചു

500

ഇന്റേർണൽ സെർവർ പിശക്

സേവനം ലഭ്യമല്ല

ആരെങ്കിലും സൈറ്റിനെ ആക്രമിക്കാൻ തുടങ്ങിയാൽ, കോഡുകളുടെ അനുപാതം മാറി: 

• കോഡ് 400 ഉപയോഗിച്ച് കൂടുതൽ തെറ്റായ അഭ്യർത്ഥനകളും കോഡ് 200 ഉള്ള അതേ എണ്ണം സാധാരണ അഭ്യർത്ഥനകളും ഉണ്ടെങ്കിൽ, ആരെങ്കിലും സൈറ്റ് ഹാക്ക് ചെയ്യാൻ ശ്രമിക്കുന്നു. 
• അതേ സമയം, കോഡ് 0 ഉള്ള അഭ്യർത്ഥനകളും വർദ്ധിച്ചാൽ, ഫോർട്ടിവെബ് രാഷ്ട്രീയക്കാരും ആക്രമണം "കണ്ട്" അതിന് ബ്ലോക്കുകൾ പ്രയോഗിച്ചു. 
• കോഡ് 500 ഉള്ള സന്ദേശങ്ങളുടെ എണ്ണം വർദ്ധിച്ചാൽ, ഈ ഐപി വിലാസങ്ങൾക്ക് സൈറ്റ് ലഭ്യമല്ല - ഒരുതരം തടയലും. 

മൂന്നാം മാസത്തോടെ, ഈ പ്രവർത്തനം ട്രാക്ക് ചെയ്യാൻ ഞങ്ങൾ ഒരു ഡാഷ്‌ബോർഡ് സജ്ജീകരിച്ചു.

എല്ലാം സ്വമേധയാ നിരീക്ഷിക്കാതിരിക്കാൻ, ഞങ്ങൾ നാഗിയോസുമായി സംയോജനം സജ്ജീകരിച്ചു, അത് നിശ്ചിത ഇടവേളകളിൽ ELK പോൾ ചെയ്തു. കോഡുകൾ വഴി ത്രെഷോൾഡ് മൂല്യങ്ങളുടെ നേട്ടം രേഖപ്പെടുത്തിയിട്ടുണ്ടെങ്കിൽ, സംശയാസ്പദമായ പ്രവർത്തനത്തെക്കുറിച്ച് ഡ്യൂട്ടി ഓഫീസർമാർക്ക് ഒരു അറിയിപ്പ് അയച്ചു. 

മോണിറ്ററിംഗ് സിസ്റ്റത്തിൽ 4 ചാർട്ടുകൾ സംയോജിപ്പിച്ചു. ആക്രമണം തടയാത്തതും ഒരു എഞ്ചിനീയറുടെ ഇടപെടൽ ആവശ്യമുള്ളതുമായ നിമിഷം ഗ്രാഫുകളിൽ കാണുന്നത് ഇപ്പോൾ പ്രധാനമായിരുന്നു. 4 വ്യത്യസ്ത ഗ്രാഫുകളിൽ, ഞങ്ങളുടെ കണ്ണ് മങ്ങിച്ചു. അതിനാൽ, ഞങ്ങൾ ചാർട്ടുകൾ സംയോജിപ്പിച്ച് ഒരു സ്ക്രീനിൽ എല്ലാം നിരീക്ഷിക്കാൻ തുടങ്ങി.

നിരീക്ഷണത്തിൽ, വ്യത്യസ്ത നിറങ്ങളുടെ ഗ്രാഫുകൾ എങ്ങനെ മാറുന്നുവെന്ന് ഞങ്ങൾ നിരീക്ഷിച്ചു. ചുവപ്പ് നിറത്തിലുള്ള ഒരു പൊട്ടിത്തെറി ആക്രമണം ആരംഭിച്ചതായി സൂചിപ്പിച്ചു, അതേസമയം ഓറഞ്ച്, നീല ഗ്രാഫുകൾ ഫോർട്ടിവെബിന്റെ പ്രതികരണം കാണിക്കുന്നു:

ഇവിടെ എല്ലാം ശരിയാണ്: "ചുവപ്പ്" പ്രവർത്തനത്തിന്റെ കുതിച്ചുചാട്ടം ഉണ്ടായി, പക്ഷേ ഫോർട്ടിവെബ് നേരിടുകയും ആക്രമണ ഷെഡ്യൂൾ നിഷ്ഫലമാവുകയും ചെയ്തു.

ഇടപെടൽ ആവശ്യമായ ഒരു ഗ്രാഫിന്റെ ഒരു ഉദാഹരണവും ഞങ്ങൾ സ്വയം വരച്ചു:

ഫോർട്ടിവെബിന്റെ പ്രവർത്തനം വർധിച്ചിട്ടുണ്ടെങ്കിലും റെഡ് അറ്റാക്ക് ഗ്രാഫ് കുറഞ്ഞിട്ടില്ലെന്ന് ഇവിടെ കാണാം. നിങ്ങൾ WAF ക്രമീകരണങ്ങൾ മാറ്റേണ്ടതുണ്ട്.

രാത്രികാല സംഭവങ്ങൾ അന്വേഷിക്കുന്നതും എളുപ്പമായി. സൈറ്റിന്റെ പ്രതിരോധത്തിലേക്ക് വരേണ്ട സമയമായ നിമിഷം ഗ്രാഫ് ഉടൻ കാണിക്കുന്നു. 

രാത്രിയിൽ ചിലപ്പോൾ സംഭവിക്കുന്നത് അതാണ്. ചുവന്ന ഗ്രാഫ് - ആക്രമണം ആരംഭിച്ചു. നീല - ഫോർട്ടിവെബ് പ്രവർത്തനം. ആക്രമണം പൂർണ്ണമായും തടഞ്ഞില്ല, ഞങ്ങൾക്ക് ഇടപെടേണ്ടി വന്നു.

നമ്മൾ എങ്ങോട്ടാണ് പോകുന്നത്

ഇപ്പോൾ ഞങ്ങൾ ഡ്യൂട്ടി അഡ്മിനിസ്ട്രേറ്റർമാരെ ELK-നൊപ്പം പ്രവർത്തിക്കാൻ പരിശീലിപ്പിക്കുകയാണ്. ഡാഷ്‌ബോർഡിലെ സാഹചര്യം വിലയിരുത്താനും തീരുമാനമെടുക്കാനും പരിചാരകർ പഠിക്കുന്നു: ഒരു ഫോർട്ടിവെബ് സ്പെഷ്യലിസ്റ്റിലേക്ക് മാറേണ്ട സമയമാണിത്, അല്ലെങ്കിൽ ആക്രമണത്തെ സ്വയമേവ ചെറുക്കാൻ WAF-ലെ നയങ്ങൾ മതിയാകും. അതിനാൽ ഞങ്ങൾ രാത്രിയിൽ ഇൻഫർമേഷൻ സെക്യൂരിറ്റി എഞ്ചിനീയർമാരുടെ ലോഡ് കുറയ്ക്കുകയും സിസ്റ്റം തലത്തിൽ പിന്തുണയ്ക്കുന്ന റോളുകൾ വിഭജിക്കുകയും ചെയ്യുന്നു. ഫോർട്ടിവെബിലേക്കുള്ള ആക്‌സസ് സൈബർ ഡിഫൻസ് സെന്ററിൽ മാത്രമേ നിലനിൽക്കൂ, അടിയന്തിരമായി ആവശ്യമുള്ളപ്പോൾ മാത്രമേ അവർ WAF ക്രമീകരണങ്ങളിൽ മാറ്റങ്ങൾ വരുത്തൂ.

ഉപഭോക്താക്കൾക്കായി റിപ്പോർട്ടുചെയ്യാനും ഞങ്ങൾ പ്രവർത്തിക്കുന്നു. WAF പ്രവർത്തനത്തിന്റെ ചലനാത്മകതയെക്കുറിച്ചുള്ള ഡാറ്റ ക്ലയന്റിന്റെ സ്വകാര്യ അക്കൗണ്ടിൽ ലഭ്യമാകുമെന്ന് ഞങ്ങൾ പ്ലാൻ ചെയ്യുന്നു. WAF-നെ തന്നെ പരാമർശിക്കേണ്ട ആവശ്യമില്ലാതെ ELK സാഹചര്യം വ്യക്തമാക്കും.

ഉപഭോക്താവ് തത്സമയം സ്വന്തം സംരക്ഷണം നിരീക്ഷിക്കാൻ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, ELK-യും ഉപയോഗപ്രദമാകും. ഉപഭോക്താവിന്റെ ജോലിയിലെ ഇടപെടൽ ബാക്കിയുള്ളവരെ ബാധിച്ചേക്കാമെന്നതിനാൽ, WAF-ലേക്ക് ഞങ്ങൾക്ക് പ്രവേശനം നൽകാനാവില്ല. എന്നാൽ നിങ്ങൾക്ക് ഒരു പ്രത്യേക ELK എടുത്ത് "ചുറ്റും കളിക്കാൻ" നൽകാം. 

ഈയിടെയായി നമ്മൾ ശേഖരിച്ച ക്രിസ്മസ് ട്രീ ഉപയോഗിക്കുന്നതിനുള്ള സാഹചര്യങ്ങൾ ഇവയാണ്. ഇതിനെക്കുറിച്ച് നിങ്ങളുടെ ചിന്തകൾ പങ്കിടുക, മറക്കരുത് എല്ലാം ശരിയായി സജ്ജമാക്കുകഡാറ്റാബേസ് ചോർച്ച ഒഴിവാക്കാൻ. 

അവലംബം: www.habr.com