ELK SIEM खुला डिस्ट्रो: ELK मा ELK र SIEM ड्यासबोर्डहरूको दृश्यावलोकन

यो पोष्टले ELK मा ELK र SIEM ड्यासबोर्डहरूको भिजुअलाइजेशन सेटअप गर्ने वर्णन गर्दछ।
लेखलाई निम्न खण्डहरूमा विभाजन गरिएको छ:

1- ELK SIEM समीक्षा
२- पूर्वनिर्धारित ड्यासबोर्डहरू
3- तपाईंको पहिलो ड्यासबोर्डहरू सिर्जना गर्दै

सबै पोष्टहरूको सामग्रीको तालिका।

• परिचय। सेवा (SOCasS) को रूपमा SOC को लागि पूर्वाधार र प्रविधिहरूको तैनाती
• ELK स्ट्याक - स्थापना र कन्फिगरेसन
• खुला डिस्ट्रो मार्फत हिंड्नुहोस्
• ड्यासबोर्ड र ELK SIEM को भिजुअलाइजेशन
• WAZUH के साथ एकीकरण
• अलर्ट गर्दै
• रिपोर्टिङ
• प्रकरण व्यवस्थापन

1-ELK SIEM समीक्षा

ELK SIEM हालसालै जुन 7.2, 25 मा संस्करण 2019 मा elk स्ट्याकमा थपिएको थियो।

यो सुरक्षा विश्लेषकको जीवनलाई धेरै सजिलो र कम थकाइलाग्दो बनाउन elastic.co द्वारा सिर्जना गरिएको SIEM समाधान हो।

कामको हाम्रो संस्करणमा, हामीले आफ्नै SIEM सिर्जना गर्ने र आफ्नै नियन्त्रण प्यानल छनौट गर्ने निर्णय गर्यौं।

तर हामीलाई पहिले ELK SIEM अन्वेषण गर्नु महत्त्वपूर्ण छ भन्ने लाग्छ।

1.1- होस्ट घटनाहरू खण्ड

हामी पहिले होस्ट सेक्सन हेर्नेछौं। होस्ट सेक्सनले तपाईंलाई अन्तिम बिन्दुमा उत्पन्न भएका घटनाहरू हेर्न अनुमति दिनेछ।

दृश्य होस्टहरूमा क्लिक गरेपछि तपाईंले यस्तो केहि प्राप्त गर्नुपर्छ। तपाईंले देख्न सक्नुहुने रूपमा, यस कम्प्युटरमा जडित तीन होस्टहरू छन्:

1 विन्डोज 10।

2 Ubuntu सर्भर 18.04।

हामीसँग धेरै दृश्यहरू प्रदर्शित छन्, प्रत्येकले विभिन्न प्रकारका घटनाहरू प्रतिनिधित्व गर्दछ।

उदाहरणका लागि, बीचमा रहेको एउटाले सबै तीनवटा मेसिनहरूमा लगइन डाटा देखाउँछ।

तपाईंले यहाँ देख्नुभएको डाटाको यो रकम पाँच दिनमा सङ्कलन गरिएको थियो। यसले असफल र सफल लगइनहरूको ठूलो संख्याको व्याख्या गर्छ। तपाईंसँग लगहरूको सानो संख्या हुन सक्छ, त्यसैले चिन्ता नगर्नुहोस्

1.2- नेटवर्क घटनाहरू खण्ड

सञ्जाल खण्डमा जाँदै, तपाईंले यो जस्तै केहि प्राप्त गर्नुपर्छ। यो खण्डले तपाईंलाई HTTP/TLS ट्राफिकदेखि DNS ट्राफिक र बाह्य घटना अलर्टहरूमा तपाईंको नेटवर्कमा हुने सबै कुरामा नजिकबाट नजर राख्न अनुमति दिनेछ।

२- पूर्वनिर्धारित ड्यासबोर्डहरू

प्रयोगकर्ताहरूको लागि जीवन सजिलो बनाउन, elastic.co विकासकर्ताहरूले ELK द्वारा आधिकारिक रूपमा समर्थित पूर्वनिर्धारित उपकरणपट्टी सिर्जना गरेका छन्। हाम्रो धड्कन यस नियमको अपवाद थिएन। यहाँ म उदाहरणको रूपमा Packetbeat को पूर्वनिर्धारित ड्यासबोर्डहरू प्रयोग गर्नेछु।

यदि तपाईंले लेखको दोस्रो चरण सही रूपमा पछ्याउनुहुन्छ। तपाइँसँग तपाइँको लागि पर्खिरहेको उपकरणपट्टी सेट अप हुनुपर्छ। त्यसैले सुरु गरौं।

Kibana को बायाँ ट्याबबाट, ड्यासबोर्ड प्रतीक चयन गर्नुहोस्। यदि तपाइँ माथिबाट गणना गर्नुहुन्छ भने यो तेस्रो हो।

खोज ट्याबमा साझेदारी नाम प्रविष्ट गर्नुहोस्

यदि बिटमा धेरै मोड्युलहरू छन्। तिनीहरू प्रत्येकको लागि एक नियन्त्रण प्यानल सिर्जना गरिनेछ। तर केवल एक मोड्युल सक्रिय भएकोले गैर-खाली डाटा प्रदर्शन गर्नेछ।

आफ्नो मोड्युल नाम भएको एउटा चयन गर्नुहोस्।

यो मुख्य टेम्प्लेट हो प्याकेटबिट.

यो नेटवर्क प्रवाह नियन्त्रण प्यानल हो। यसले हामीलाई आगमन र बाहिर जाने प्याकेट, IP ठेगानाहरूको स्रोत र गन्तव्यहरूको बारेमा बताउनेछ, र सुरक्षा केन्द्र विश्लेषकको लागि धेरै उपयोगी जानकारी प्रदान गर्दछ।

3 - तपाईंको पहिलो ड्यासबोर्डहरू सिर्जना गर्दै

3-1- आधारभूत अवधारणाहरू

A- ड्यासबोर्डका प्रकारहरू:

यी विभिन्न प्रकारका भिजुअलाइजेसनहरू हुन् जुन तपाईंले आफ्नो डेटाको कल्पना गर्न प्रयोग गर्न सक्नुहुन्छ।

उदाहरणका लागि हामीसँग छ:

• बार ग्राफ
• नक्सा
• मार्कडाउन विजेट
• पाई चार्ट

B- KQL (किबाना क्वेरी भाषा):

यो डाटा को सजिलो खोज को लागी Kibana मा प्रयोग गरिएको भाषा हो। यसले तपाईंलाई निश्चित डाटा अवस्थित छ कि छैन र अन्य धेरै उपयोगी सुविधाहरू जाँच गर्न अनुमति दिन्छ। थप जान्नको लागि, तपाइँ यो लिङ्कमा जानकारी अन्वेषण गर्न सक्नुहुन्छ

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

यो Windows 10 प्रो चलिरहेको होस्ट फेला पार्नको लागि एउटा उदाहरण क्वेरी हो।

C- फिल्टर:

यो सुविधाले तपाइँलाई केहि प्यारामिटरहरू जस्तै होस्टनाम, घटना कोड वा ID, आदि फिल्टर गर्न अनुमति दिनेछ। फिल्टरहरूले प्रमाणको खोजीमा खर्च गरेको समय र प्रयासको सन्दर्भमा अनुसन्धान चरणमा धेरै सुधार गर्नेछ।

D- पहिलो दृश्य:

MITER ATT र CK को लागि एउटा दृश्य सिर्जना गरौं।

पहिले हामी जान आवश्यक छ ड्यासबोर्ड → नयाँ ड्यासबोर्ड सिर्जना गर्नुहोस् → नयाँ पाइ ड्यासबोर्ड सिर्जना गर्नुहोस्

अनुक्रमणिका ढाँचाको लागि प्रकार सेट गर्नुहोस्, त्यसपछि आफ्नो बीटको नाम ट्याप गर्नुहोस्।

इन्टर थिच्नुहोस्। अहिले सम्म तपाईले हरियो डोनट देख्नुपर्छ।

बायाँको बाल्टी ट्याबमा तपाईंले फेला पार्नुहुनेछ:

- स्प्लिट स्लाइसहरूले डाटाको फैलावटको आधारमा डोनटलाई विभिन्न भागहरूमा विभाजन गर्नेछ।

- स्प्लिट चार्टले यसको छेउमा अर्को डोनट सिर्जना गर्नेछ।

हामी विभाजित स्लाइसहरू प्रयोग गर्नेछौं।

हामीले छनौट गरेको शब्दको आधारमा हामी हाम्रो डेटाको कल्पना गर्नेछौं। यस अवस्थामा शब्दले MITER ATT र CK लाई जनाउनेछ।

Winlogbeat मा, हामीलाई यो जानकारी प्रदान गर्ने क्षेत्र भनिन्छ:

winlog.event_data.RuleName

हामी घटनाहरूको संख्याको आधारमा क्रमबद्ध गर्न गणना मेट्रिक सेट अप गर्नेछौं।

"अलग खण्डमा समूह अन्य मानहरू" सुविधा सक्षम गर्नुहोस्।

यदि तपाईंले रोज्नुभएका शब्दहरू लयमा आधारित धेरै फरक अर्थहरू छन् भने यो उपयोगी हुनेछ। यसले समग्र रूपमा बाँकी डाटालाई कल्पना गर्न मद्दत गर्दछ। यसले तपाईंलाई बाँकी घटनाहरूको प्रतिशतको एक विचार दिनेछ।

अब हामीले डेटा ट्याब सेटअप गरिसकेपछि, विकल्प ट्याबमा जाऔं

तपाईंले निम्न गर्नु पर्छ:

**डोनटको आकार हटाउनुहोस् ताकि रेन्डरिङले पूर्ण सर्कल देखाउँछ।

** तपाईंलाई मनपर्ने पौराणिक स्थिति छनौट गर्नुहोस्। यस अवस्थामा, हामी तिनीहरूलाई दायाँमा प्रदर्शन गर्नेछौं।

** सजिलो पढ्नको लागि तिनीहरूको स्निपेटको छेउमा देखाउन प्रदर्शन मानहरू सेट गर्नुहोस् र बाँकीलाई पूर्वनिर्धारित रूपमा छोड्नुहोस्।

ट्रंकेसनले तपाइँ घटनाको नामबाट कति प्रदर्शन गर्न चाहनुहुन्छ भनेर निर्धारण गर्दछ।

तपाईंले रेन्डरिङ सुरु गर्न चाहेको समय सेट गर्नुहोस्, र त्यसपछि निलो वर्गमा क्लिक गर्नुहोस्।

तपाईंले यो जस्तै केहि संग समाप्त गर्नुपर्छ:

तपाईंले जाँच गर्न चाहनुभएको विशिष्ट होस्ट वा तपाईंको उद्देश्यका लागि उपयोगी लाग्ने कुनै पनि प्यारामिटरहरू फिल्टर गर्न तपाईंले आफ्नो भिजुअलाइजेशनमा फिल्टर थप्न सक्नुहुन्छ। भिजुअलाइजेशनले फिल्टरमा राखिएको नियमसँग मेल खाने डेटा मात्र प्रदर्शन गर्नेछ। यस अवस्थामा, हामी win10 नामक होस्टबाट आएको MITER ATT&CK डाटा मात्र प्रदर्शन गर्नेछौं।

3-2- तपाईंको पहिलो ड्यासबोर्ड सिर्जना गर्दै:

ड्यासबोर्ड धेरै दृश्यहरूको संग्रह हो। तपाईंका ड्यासबोर्डहरू स्पष्ट, बुझ्न सकिने र उपयोगी, निर्धारक डेटा समावेश गर्नुपर्छ। यहाँ हामीले winlogbeat को लागी स्क्र्याचबाट सिर्जना गरेका ड्यासबोर्डहरूको उदाहरण छ।

तपाईंको समयको लागि धन्यवाद। मलाई आशा छ कि तपाईंले यो लेख उपयोगी पाउनुभयो। यदि तपाइँ यस विषयमा थप जानकारी चाहनुहुन्छ भने, हामी तपाइँलाई भ्रमण गर्न सिफारिस गर्दछौं आधिकारिक वेबसाइट.

Elasticsearch मा टेलिग्राम च्याट: https://t.me/elasticsearch_ru

स्रोत: www.habr.com