ELK SIEM ओपन डिस्ट्रो: ELK मधील ELK आणि SIEM डॅशबोर्डचे व्हिज्युअलायझेशन

हे पोस्ट ELK मध्ये ELK आणि SIEM डॅशबोर्डचे व्हिज्युअलायझेशन सेट करण्याचे वर्णन करेल
लेख खालील विभागांमध्ये विभागलेला आहे:

1- ELK SIEM पुनरावलोकन
2- डीफॉल्ट डॅशबोर्ड
3- तुमचे पहिले डॅशबोर्ड तयार करणे

सर्व पोस्टच्या सामग्रीची सारणी.

• परिचय. सेवा म्हणून SOC साठी पायाभूत सुविधा आणि तंत्रज्ञानाची तैनाती (SOCasS)
• ELK स्टॅक - स्थापना आणि कॉन्फिगरेशन
• खुल्या डिस्ट्रोमधून चाला
• डॅशबोर्ड आणि ELK SIEM चे व्हिज्युअलायझेशन
• WAZUH सह एकत्रीकरण
• इशारा देत आहे
• अहवाल देत आहे
• विषयव्यवस्थापन

1-ELK SIEM पुनरावलोकन

ELK SIEM अलीकडेच 7.2 जून 25 रोजी आवृत्ती 2019 मध्ये elk स्टॅकमध्ये जोडले गेले.

सुरक्षा विश्लेषकाचे जीवन खूप सोपे आणि कमी कंटाळवाणे बनवण्यासाठी elastic.co द्वारे तयार केलेले हे SIEM समाधान आहे.

आमच्या कार्याच्या आवृत्तीमध्ये, आम्ही आमचे स्वतःचे SIEM तयार करण्याचे आणि आमचे स्वतःचे नियंत्रण पॅनेल निवडण्याचे ठरविले.

परंतु आम्हाला वाटते की प्रथम ELK SIEM एक्सप्लोर करणे महत्त्वाचे आहे.

1.1- होस्ट इव्हेंट विभाग

आपण प्रथम होस्ट विभाग पाहू. होस्ट विभाग तुम्हाला एंडपॉईंटवरच व्युत्पन्न झालेल्या इव्हेंट्स पाहण्याची परवानगी देईल.

व्ह्यू होस्ट्सवर क्लिक केल्यानंतर तुम्हाला असे काहीतरी मिळाले पाहिजे. तुम्ही बघू शकता, या संगणकाशी तीन होस्ट कनेक्ट केलेले आहेत:

1 विंडोज 10.

2 उबंटू सर्व्हर 18.04.

आमच्याकडे अनेक व्हिज्युअलायझेशन प्रदर्शित केले आहेत, प्रत्येक वेगवेगळ्या प्रकारच्या घटनांचे प्रतिनिधित्व करतात.

उदाहरणार्थ, मध्यभागी असलेला एक तिन्ही मशीनवर लॉगिन डेटा दाखवतो.

तुम्ही येथे पाहत असलेला हा डेटा पाच दिवसांत गोळा केला गेला होता. हे अयशस्वी आणि यशस्वी लॉगिनच्या मोठ्या संख्येचे स्पष्टीकरण देते. तुमच्याकडे कदाचित कमी लॉग असतील, त्यामुळे काळजी करू नका

1.2- नेटवर्क इव्हेंट विभाग

नेटवर्क विभागात जाताना, तुम्हाला असे काहीतरी मिळाले पाहिजे. हा विभाग तुम्हाला HTTP/TLS रहदारीपासून ते DNS रहदारी आणि बाह्य इव्हेंट सूचनांपर्यंत, तुमच्या नेटवर्कवर घडणाऱ्या प्रत्येक गोष्टीवर बारीक नजर ठेवण्याची अनुमती देईल.

2- डीफॉल्ट डॅशबोर्ड

वापरकर्त्यांसाठी जीवन सोपे करण्यासाठी, elastic.co विकसकांनी ELK द्वारे अधिकृतपणे समर्थित डीफॉल्ट टूलबार तयार केला आहे. आमचे ठोकेही या नियमाला अपवाद नव्हते. येथे मी उदाहरण म्हणून पॅकेटबीटचे डीफॉल्ट डॅशबोर्ड वापरेन.

जर तुम्ही लेखाची दुसरी पायरी बरोबर फॉलो केली असेल. तुमची वाट पाहत एक टूलबार सेट केलेला असावा. चला तर मग सुरुवात करूया.

Kibana च्या डाव्या टॅबमधून, डॅशबोर्ड चिन्ह निवडा. वरून मोजले तर हे तिसरे आहे.

शोध टॅबमध्ये शेअरचे नाव एंटर करा

बिटमध्ये अनेक मॉड्यूल्स असल्यास. त्या प्रत्येकासाठी एक नियंत्रण पॅनेल तयार केले जाईल. परंतु केवळ सक्रिय मॉड्यूल असलेला डेटा रिक्त नसलेला डेटा प्रदर्शित करेल.

तुमच्या मॉड्यूल नावासह एक निवडा.

हे मुख्य टेम्पलेट आहे पॅकेटबीट.

हे नेटवर्क प्रवाह नियंत्रण पॅनेल आहे. हे आम्हाला इनकमिंग आणि आउटगोइंग पॅकेट, आयपी पत्त्यांचे स्त्रोत आणि गंतव्यस्थानांबद्दल सांगेल आणि सुरक्षा केंद्र विश्लेषकासाठी बरीच उपयुक्त माहिती देखील प्रदान करेल.

3 - तुमचे पहिले डॅशबोर्ड तयार करणे

3-1- मूलभूत संकल्पना

A- डॅशबोर्डचे प्रकार:

हे विविध प्रकारचे व्हिज्युअलायझेशन आहेत जे तुम्ही तुमचा डेटा व्हिज्युअलायझ करण्यासाठी वापरू शकता.

उदाहरणार्थ आमच्याकडे आहे:

• बार आलेख
• नकाशा
• मार्कडाउन विजेट
• पाई चार्ट

B- KQL (किबाना क्वेरी भाषा):

डेटाच्या सहज शोधासाठी किबानामध्ये ही भाषा वापरली जाते. हे तुम्हाला विशिष्ट डेटा अस्तित्वात आहे का आणि इतर अनेक उपयुक्त वैशिष्ट्ये तपासण्याची परवानगी देते. अधिक जाणून घेण्यासाठी, तुम्ही या लिंकवर माहिती एक्सप्लोर करू शकता

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

Windows 10 प्रो चालवणारे होस्ट शोधण्यासाठी ही एक उदाहरण क्वेरी आहे.

C- फिल्टर:

हे वैशिष्ट्य तुम्हाला होस्टनाव, इव्हेंट कोड किंवा आयडी इत्यादी काही पॅरामीटर्स फिल्टर करण्यास अनुमती देईल. पुरावे शोधण्यात घालवलेला वेळ आणि मेहनत यानुसार फिल्टर्स तपासाच्या टप्प्यात खूप सुधारणा करतील.

डी- प्रथम व्हिज्युअलायझेशन:

चला MITER ATT आणि CK साठी व्हिज्युअलायझेशन तयार करूया.

प्रथम आपल्याला जावे लागेल डॅशबोर्ड → नवीन डॅशबोर्ड तयार करा → नवीन → पाई डॅशबोर्ड तयार करा

इंडेक्स पॅटर्नसाठी प्रकार सेट करा, त्यानंतर तुमच्या बीटच्या नावावर टॅप करा.

एंटर दाबा. आतापर्यंत तुम्हाला हिरवे डोनट दिसले पाहिजे.

डावीकडील बकेट्स टॅबमध्ये तुम्हाला आढळेल:

— स्प्लिट स्लाइस डेटाच्या प्रसारावर अवलंबून डोनटला वेगवेगळ्या भागांमध्ये विभाजित करतील.

- स्प्लिट चार्ट याच्या पुढे आणखी एक डोनट तयार करेल.

आम्ही स्प्लिट स्लाइस वापरू.

आम्ही निवडलेल्या पदावर अवलंबून आमचा डेटा व्हिज्युअलाइज करू. या प्रकरणात हा शब्द MITER ATT आणि CK चा संदर्भ देईल.

Winlogbeat मध्ये, आम्हाला ही माहिती प्रदान करणारी फील्ड म्हणतात:

winlog.event_data.RuleName

इव्हेंट किती वेळा घडतात त्यानुसार क्रमवारी लावण्यासाठी आम्ही मोजणी मेट्रिक सेट करू.

"स्वतंत्र विभागातील इतर मूल्ये गटबद्ध करा" वैशिष्ट्य सक्षम करा.

तुम्ही निवडलेल्या संज्ञांचे तालावर आधारित अनेक भिन्न अर्थ असल्यास हे उपयुक्त ठरेल. हे संपूर्णपणे उर्वरित डेटाचे दृश्यमान करण्यात मदत करते. हे तुम्हाला उर्वरित कार्यक्रमांच्या टक्केवारीची कल्पना देईल.

आता आपण डेटा टॅब सेट करणे पूर्ण केले आहे, चला पर्याय टॅबवर जाऊया

आपण खालील गोष्टी करणे आवश्यक आहे:

**डोनटचा आकार काढा जेणेकरून रेंडरिंग पूर्ण वर्तुळ दर्शवेल.

**आपल्याला आवडते आख्यायिका स्थान निवडा. या प्रकरणात, आम्ही त्यांना उजवीकडे प्रदर्शित करू.

** सुलभ वाचनासाठी त्यांच्या स्निपेटच्या पुढे दर्शविण्यासाठी प्रदर्शन मूल्ये सेट करा आणि उर्वरित डीफॉल्ट म्हणून सोडा

इव्हेंटच्या नावावरून तुम्हाला किती प्रदर्शित करायचे आहे हे ट्रंकेशन ठरवते.

तुम्‍हाला रेंडरिंग सुरू करण्‍याची वेळ सेट करा आणि नंतर निळ्या चौकोनावर क्लिक करा.

आपण यासारखे काहीतरी समाप्त केले पाहिजे:

तुम्ही तुमच्या व्हिज्युअलायझेशनमध्ये एक फिल्टर देखील जोडू शकता जे तुम्ही तपासू इच्छित असलेले विशिष्ट होस्ट किंवा तुमच्या उद्देशासाठी उपयुक्त वाटणारे कोणतेही पॅरामीटर फिल्टर करू शकता. व्हिज्युअलायझेशन केवळ फिल्टरमध्ये ठेवलेल्या नियमाशी जुळणारा डेटा प्रदर्शित करेल. या प्रकरणात, आम्ही फक्त win10 नावाच्या होस्टकडून येणारा MITER ATT&CK डेटा प्रदर्शित करू.

3-2- तुमचा पहिला डॅशबोर्ड तयार करणे:

डॅशबोर्ड हा अनेक व्हिज्युअलायझेशनचा संग्रह आहे. तुमचे डॅशबोर्ड स्पष्ट, समजण्याजोगे आणि उपयुक्त, निर्धारक डेटा असले पाहिजेत. येथे आम्ही winlogbeat साठी सुरवातीपासून तयार केलेल्या डॅशबोर्डचे उदाहरण आहे.

आपल्या दिलेल्या वेळेबद्दल धन्यवाद. मला आशा आहे की तुम्हाला हा लेख उपयुक्त वाटला. तुम्हाला या विषयावर अधिक माहिती हवी असल्यास, आम्ही तुम्हाला भेट देण्याची शिफारस करतो अधिकृत वेबसाइट.

Elasticsearch वर टेलीग्राम चॅट: https://t.me/elasticsearch_ru

स्त्रोत: www.habr.com