🥇TS एकूण दृष्टी. कार्यक्रम संकलन, घटना विश्लेषण आणि धमकी प्रतिसाद ऑटोमेशन साधन

शुभ दुपार, मागील लेखांमध्ये आम्ही ELK स्टॅकच्या कार्याशी परिचित झालो. आता या प्रणालींचा वापर करताना माहिती सुरक्षा तज्ञाद्वारे लक्षात येण्याच्या शक्यतांवर चर्चा करूया. लवचिकशोधामध्ये कोणते लॉग प्रविष्ट केले जाऊ शकतात आणि केले पाहिजेत. डॅशबोर्ड सेट करून कोणती आकडेवारी मिळवता येईल आणि यात काही फायदा आहे का याचा विचार करूया. ELK स्टॅक वापरून तुम्ही माहिती सुरक्षा प्रक्रियांचे ऑटोमेशन कसे अंमलात आणू शकता. चला प्रणालीचे आर्किटेक्चर काढू. एकूणच, सर्व कार्यक्षमतेची अंमलबजावणी हे खूप मोठे आणि कठीण काम आहे, म्हणून सोल्यूशनला वेगळे नाव देण्यात आले - टीएस टोटल साइट.

सध्या, एका तार्किक ठिकाणी माहिती सुरक्षा घटनांचे एकत्रीकरण आणि विश्लेषण करणारे उपाय वेगाने लोकप्रिय होत आहेत, परिणामी, तज्ञांना आकडेवारी आणि संस्थेतील माहिती सुरक्षिततेची स्थिती सुधारण्यासाठी कृतीची सीमा मिळते. आम्ही ELK स्टॅक वापरण्यासाठी हे कार्य स्वतः सेट केले आणि परिणामी आम्ही मुख्य कार्यक्षमता 4 विभागांमध्ये विभागली:

आकडेवारी आणि व्हिज्युअलायझेशन;
माहिती सुरक्षा घटना शोधणे;
घटना प्राधान्यक्रम;
माहिती सुरक्षा प्रक्रियेचे ऑटोमेशन.

पुढे, आम्ही प्रत्येक वैयक्तिकरित्या जवळून पाहू.

माहिती सुरक्षा घटना शोधणे

आमच्या बाबतीत elasticsearch वापरण्याचे मुख्य कार्य म्हणजे फक्त माहिती सुरक्षा घटना गोळा करणे. तुम्ही माहिती सुरक्षितता घटना कोणत्याही सुरक्षेद्वारे संकलित करू शकता जर ते लॉग पाठविण्याच्या किमान काही पद्धतींना समर्थन देत असतील तर, मानक म्हणजे syslog किंवा scp फाइलमध्ये सेव्ह करणे.

तुम्ही सुरक्षितता साधनांची मानक उदाहरणे आणि अधिक देऊ शकता, जिथून तुम्ही लॉग फॉरवर्ड करणे कॉन्फिगर करावे:

कोणतीही NGFW टूल्स (चेक पॉइंट, फोर्टिनेट);
कोणतेही भेद्यता स्कॅनर (पीटी स्कॅनर, ओपनव्हास);
वेब ऍप्लिकेशन फायरवॉल (PT AF);
नेटफ्लो विश्लेषक (फ्लोमॉन, सिस्को स्टेल्थवॉच);
AD सर्व्हर.

एकदा तुम्ही लॉगस्टॅशमध्ये लॉग आणि कॉन्फिगरेशन फाइल्स पाठवणे कॉन्फिगर केले की, तुम्ही विविध सुरक्षा साधनांमधून येणाऱ्या घटनांशी परस्परसंबंध आणि तुलना करू शकता. हे करण्यासाठी, निर्देशांक वापरणे सोयीचे आहे ज्यामध्ये आम्ही विशिष्ट डिव्हाइसशी संबंधित सर्व घटना संग्रहित करू. दुसऱ्या शब्दांत, एक निर्देशांक म्हणजे एका उपकरणासाठी सर्व घटना. हे वितरण 2 प्रकारे लागू केले जाऊ शकते.

पहिला पर्याय हे लॉगस्टॅश कॉन्फिगर करण्यासाठी आहे. हे करण्यासाठी, तुम्हाला विशिष्ट फील्डसाठी लॉग वेगळ्या प्रकारासह वेगळ्या युनिटमध्ये डुप्लिकेट करणे आवश्यक आहे. आणि नंतर भविष्यात हा प्रकार वापरा. उदाहरणामध्ये, चेक पॉइंट फायरवॉलच्या IPS ब्लेडवरून लॉग क्लोन केले जातात.

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

लॉग फील्डवर अवलंबून अशा घटनांना वेगळ्या निर्देशांकात सेव्ह करण्यासाठी, उदाहरणार्थ, गंतव्य IP हल्ला स्वाक्षरी. आपण समान बांधकाम वापरू शकता:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

आणि अशा प्रकारे, आपण सर्व घटना अनुक्रमणिकेमध्ये जतन करू शकता, उदाहरणार्थ, IP पत्त्याद्वारे किंवा मशीनच्या डोमेन नावाद्वारे. या प्रकरणात, आम्ही ते निर्देशांकात जतन करतो "smartdefense-%{dst}", स्वाक्षरी गंतव्यस्थानाच्या IP पत्त्याद्वारे.

तथापि, भिन्न उत्पादनांमध्ये भिन्न लॉग फील्ड असतील, ज्यामुळे गोंधळ आणि अनावश्यक मेमरी वापर होईल. आणि येथे तुम्हाला एकतर लॉगस्टॅश कॉन्फिगरेशन सेटिंग्जमधील फील्ड काळजीपूर्वक पूर्व-डिझाइन केलेल्यासह पुनर्स्थित करावे लागतील, जे सर्व प्रकारच्या घटनांसाठी समान असेल, जे एक कठीण काम आहे.

दुसरा अंमलबजावणी पर्याय - ही एक स्क्रिप्ट किंवा प्रक्रिया लिहित आहे जी रिअल टाइममध्ये लवचिक डेटाबेसमध्ये प्रवेश करेल, आवश्यक घटना बाहेर काढेल आणि त्यांना नवीन अनुक्रमणिकेमध्ये जतन करेल, हे एक कठीण काम आहे, परंतु हे आपल्याला आपल्या इच्छेनुसार लॉगसह कार्य करण्यास अनुमती देते, आणि इतर सुरक्षा उपकरणांच्या घटनांशी थेट संबंध ठेवा. हा पर्याय तुम्हाला तुमच्या केससाठी जास्तीत जास्त लवचिकतेसह सर्वात उपयुक्त होण्यासाठी लॉगसह कार्य कॉन्फिगर करण्याची परवानगी देतो, परंतु येथे समस्या उद्भवते की हे कार्यान्वित करू शकेल असा विशेषज्ञ शोधण्यात.

आणि अर्थातच, सर्वात महत्वाचा प्रश्न, आणि काय सहसंबंधित आणि शोधले जाऊ शकते??

येथे अनेक पर्याय असू शकतात आणि ते तुमच्या पायाभूत सुविधांमध्ये कोणती सुरक्षा साधने वापरली जातात यावर अवलंबून आहे, काही उदाहरणे:

सर्वात स्पष्ट आणि माझ्या दृष्टिकोनातून, ज्यांच्याकडे NGFW सोल्यूशन आणि असुरक्षितता स्कॅनर आहे त्यांच्यासाठी सर्वात मनोरंजक पर्याय. ही IPS लॉग आणि भेद्यता स्कॅन परिणामांची तुलना आहे. जर IPS प्रणालीद्वारे हल्ला आढळून आला (अवरोधित केलेला नाही) आणि स्कॅनिंग परिणामांच्या आधारावर ही भेद्यता एंड मशीनवर बंद केली गेली नाही, तर शिट्टी वाजवणे आवश्यक आहे, कारण असुरक्षिततेचा गैरफायदा घेतला जाण्याची उच्च शक्यता आहे. .
एका मशीनवरून वेगवेगळ्या ठिकाणी अनेक लॉगिन प्रयत्न दुर्भावनापूर्ण क्रियाकलाप दर्शवू शकतात.
मोठ्या संख्येने संभाव्य धोकादायक साइट्सला भेट दिल्यामुळे वापरकर्ता व्हायरस फाइल्स डाउनलोड करत आहे.

सांख्यिकी आणि व्हिज्युअलायझेशन

सर्वात स्पष्ट आणि समजण्याजोगी गोष्ट ज्यासाठी ELK स्टॅकची आवश्यकता आहे ती म्हणजे लॉगचे स्टोरेज आणि व्हिज्युअलायझेशन, मागील लेखांमध्ये तुम्ही Logstash वापरून विविध उपकरणांमधून लॉग कसे तयार करू शकता हे दाखवले होते. नोंदी Elasticsearch वर गेल्यानंतर, तुम्ही डॅशबोर्ड सेट करू शकता, ज्याचा उल्लेख देखील केला होता मागील लेखांमध्ये, तुम्हाला व्हिज्युअलायझेशनद्वारे आवश्यक माहिती आणि आकडेवारीसह.

उदाहरणे:

सर्वात गंभीर घटनांसह धोका प्रतिबंधक इव्हेंटसाठी डॅशबोर्ड. कोणती IPS स्वाक्षरी आढळली आणि ती भौगोलिकदृष्ट्या कुठून आली हे येथे तुम्ही प्रतिबिंबित करू शकता.
सर्वात गंभीर ऍप्लिकेशन्सच्या वापरावरील डॅशबोर्ड ज्यासाठी माहिती लीक केली जाऊ शकते.
कोणत्याही सुरक्षा स्कॅनरवरून परिणाम स्कॅन करा.
वापरकर्त्याद्वारे सक्रिय निर्देशिका मधून लॉग.
VPN कनेक्शन डॅशबोर्ड.

या प्रकरणात, जर तुम्ही डॅशबोर्ड्स दर काही सेकंदांनी अपडेट करण्यासाठी कॉन्फिगर केले, तर तुम्हाला रिअल टाइममध्ये इव्हेंटचे निरीक्षण करण्यासाठी एक सोयीस्कर प्रणाली मिळू शकते, जी नंतर डॅशबोर्ड वेगळ्यावर ठेवल्यास माहिती सुरक्षा घटनांना जलद प्रतिसाद देण्यासाठी वापरली जाऊ शकते. स्क्रीन

घटना प्राधान्यक्रम

मोठ्या पायाभूत सुविधांच्या परिस्थितीत, घटनांची संख्या कमी होऊ शकते आणि तज्ञांना वेळेत सर्व घटनांना सामोरे जाण्यासाठी वेळ मिळणार नाही. या प्रकरणात, सर्व प्रथम, केवळ त्या घटनांवर प्रकाश टाकणे आवश्यक आहे ज्यांना मोठा धोका आहे. त्यामुळे, तुमच्या पायाभूत सुविधांशी संबंधित घटनांची तीव्रता लक्षात घेऊन प्रणालीने त्यांना प्राधान्य दिले पाहिजे. या इव्हेंटसाठी ईमेल किंवा टेलिग्राम अलर्ट सेट करणे उचित आहे. व्हिज्युअलायझेशन सेट करून मानक किबाना साधनांचा वापर करून प्राधान्यक्रम लागू केला जाऊ शकतो. परंतु सूचनांसह ते अधिक कठीण आहे; डीफॉल्टनुसार, ही कार्यक्षमता इलास्टिकसर्चच्या मूलभूत आवृत्तीमध्ये समाविष्ट केलेली नाही, फक्त सशुल्क आवृत्तीमध्ये. म्हणून, एकतर सशुल्क आवृत्ती खरेदी करा किंवा, पुन्हा, स्वतः एक प्रक्रिया लिहा जी ईमेल किंवा टेलिग्रामद्वारे रिअल टाइममध्ये तज्ञांना सूचित करेल.

माहिती सुरक्षा प्रक्रियेचे ऑटोमेशन

आणि सर्वात मनोरंजक भागांपैकी एक म्हणजे माहिती सुरक्षा घटनांसाठी क्रियांचे ऑटोमेशन. पूर्वी, आम्ही स्प्लंकसाठी ही कार्यक्षमता लागू केली आहे, आपण यामध्ये थोडे अधिक वाचू शकता लेख. मुख्य कल्पना अशी आहे की IPS धोरणाची कधीही चाचणी केली जात नाही किंवा ऑप्टिमाइझ केली जात नाही, जरी काही प्रकरणांमध्ये ते माहिती सुरक्षा प्रक्रियेचा एक महत्त्वपूर्ण भाग आहे. उदाहरणार्थ, NGFW च्या अंमलबजावणीनंतर एक वर्षानंतर आणि IPS ऑप्टिमाइझ करण्यासाठी क्रियांच्या अनुपस्थितीनंतर, तुम्ही डिटेक्ट कृतीसह मोठ्या संख्येने स्वाक्षरी जमा कराल, ज्या अवरोधित केल्या जाणार नाहीत, ज्यामुळे संस्थेतील माहिती सुरक्षिततेची स्थिती मोठ्या प्रमाणात कमी होते. खाली काय स्वयंचलित केले जाऊ शकते याची काही उदाहरणे आहेत:

IPS स्वाक्षरीचे डिटेक्ट वरून प्रिव्हेंटमध्ये हस्तांतरण. गंभीर स्वाक्षरीसाठी प्रतिबंध कार्य करत नसल्यास, हे नियमबाह्य आहे आणि संरक्षण प्रणालीमध्ये एक गंभीर अंतर आहे. आम्ही धोरणातील कृती अशा स्वाक्षरींमध्ये बदलतो. NGFW डिव्हाइसमध्ये REST API कार्यक्षमता असल्यास ही कार्यक्षमता लागू केली जाऊ शकते. तुमच्याकडे प्रोग्रामिंग कौशल्ये असल्यासच हे शक्य आहे; तुम्हाला Elastcisearch मधून आवश्यक माहिती काढावी लागेल आणि NGFW व्यवस्थापन सर्व्हरला API विनंत्या कराव्या लागतील.
नेटवर्क ट्रॅफिकमध्ये एका IP पत्त्यावरून एकाधिक स्वाक्षरी आढळल्यास किंवा अवरोधित केल्या गेल्या असल्यास, फायरवॉल धोरणामध्ये हा IP पत्ता काही काळ अवरोधित करणे अर्थपूर्ण आहे. अंमलबजावणीमध्ये REST API वापरणे देखील समाविष्ट आहे.
व्हल्नरेबिलिटी स्कॅनरसह होस्ट स्कॅन चालवा, जर या होस्टकडे मोठ्या संख्येने IPS स्वाक्षरी किंवा इतर सुरक्षा साधने असतील; जर ते OpenVas असेल, तर तुम्ही एक स्क्रिप्ट लिहू शकता जी ssh द्वारे सुरक्षा स्कॅनरशी कनेक्ट होईल आणि स्कॅन चालवा.