कसरी ELK ले सुरक्षा इन्जिनियरहरूलाई वेबसाइट आक्रमणहरू लड्न र शान्तिपूर्वक सुत्न मद्दत गर्छ

हाम्रो साइबर डिफेन्स सेन्टर ग्राहकको वेब पूर्वाधारको सुरक्षाको लागि जिम्मेवार छ र ग्राहक साइटहरूमा हमलाहरू हटाउँछ। आक्रमणहरू विरुद्ध सुरक्षा गर्न, हामी FortiWeb वेब अनुप्रयोग फायरवालहरू (WAFs) प्रयोग गर्छौं। तर सबैभन्दा राम्रो WAF पनि एक रामबाण होइन र लक्षित आक्रमणहरूबाट "बक्स बाहिर" जोगाउँदैन। 

तसर्थ, WAF को अतिरिक्त, हामी प्रयोग गर्दछौं एल्क। यसले सबै घटनाहरूलाई एकै ठाउँमा सङ्कलन गर्न मद्दत गर्छ, तथ्याङ्क सङ्कलन गर्छ, यसलाई कल्पना गर्छ र हामीलाई समयमै लक्षित आक्रमण हेर्न अनुमति दिन्छ।

आज म तपाईलाई थप विवरणमा बताउनेछु कि हामीले WAF सँग क्रिसमस ट्री कसरी पार गर्यौं र यसबाट के आयो।

एउटा आक्रमणको कथा: कसरी सबै कुराले ELK मा स्विच गर्नु अघि काम गर्यो

हाम्रो क्लाउडमा, ग्राहकले हाम्रो WAF पछाडिको अनुप्रयोग तैनात गरेको छ। 10 देखि 000 प्रयोगकर्ताहरू प्रति दिन साइटमा जडान भएका, जडानहरूको संख्या प्रति दिन 100 मिलियन पुग्यो। तीमध्ये ३-५ प्रयोगकर्ताहरू घुसपैठकर्ता थिए र साइट ह्याक गर्ने प्रयास गरेका थिए। 

एक आईपी ठेगानाबाट सामान्य फारम ब्रूट बल फोर्टीवेब द्वारा सजिलैसँग ब्लक गरिएको थियो। साइटमा प्रति मिनेट हिटहरूको संख्या वैध प्रयोगकर्ताहरूको भन्दा बढी थियो। हामीले केवल एउटै ठेगानाबाट गतिविधि थ्रेसहोल्डहरू सेट अप गर्यौं र आक्रमणलाई फिर्ता गऱ्यौं।

यो "ढिलो आक्रमण" को सामना गर्न धेरै गाह्रो छ, जब आक्रमणकारीहरु बिस्तारै कार्य गर्दछ र आफूलाई साधारण ग्राहकहरु को रूप मा भेष मा। तिनीहरू धेरै अद्वितीय आईपी ठेगानाहरू प्रयोग गर्छन्। यस्तो गतिविधि WAF को लागि ठूलो क्रूर बल जस्तो देखिएन, यो स्वचालित रूपमा ट्र्याक गर्न गाह्रो थियो। र त्यहाँ सामान्य प्रयोगकर्ताहरू ब्लक गर्ने जोखिम पनि थियो। हामीले आक्रमणका अन्य संकेतहरू खोज्यौं र यस चिन्हमा आधारित IP ठेगानाहरू स्वचालित रूपमा ब्लक गर्ने नीति सेट अप गर्यौं। उदाहरणका लागि, धेरै अवैध सत्रहरूमा http अनुरोध हेडरहरूमा साझा क्षेत्रहरू थिए। तपाईंले प्राय: फोर्टिवेब घटना लगहरूमा म्यानुअल रूपमा त्यस्ता क्षेत्रहरू खोज्नुपर्थ्यो। 

यो लामो र असहज भयो। FortiWeb को मानक कार्यक्षमतामा, घटनाहरू 3 फरक लगहरूमा पाठमा रेकर्ड गरिएका छन्: पत्ता लगाइएका आक्रमणहरू, अनुरोधहरूको बारेमा जानकारी, र WAF सञ्चालनको बारेमा प्रणाली सन्देशहरू। दर्जनौं वा सयौं आक्रमण घटनाहरू एक मिनेटमा आउन सक्छन्।

त्यति धेरै होइन, तर तपाईले म्यानुअल रूपमा धेरै लगहरू मार्फत चढ्नु पर्छ र धेरै लाइनहरूमा दोहोर्याउनु पर्छ: 

आक्रमण लग मा, हामी प्रयोगकर्ता ठेगाना र गतिविधि को प्रकृति देख्छौं। 
 
यो केवल लग तालिका स्क्यान गर्न पर्याप्त छैन। आक्रमण को प्रकृति को बारे मा सबै भन्दा चाखलाग्दो र उपयोगी पाउन को लागी, तपाइँ एक विशिष्ट घटना भित्र हेर्न आवश्यक छ:

हाइलाइट गरिएका क्षेत्रहरू "ढिलो आक्रमण" पत्ता लगाउन मद्दत गर्दछ। स्रोत: स्क्रिनसट बाट Fortinet वेबसाइट. 

ठीक छ, मुख्य समस्या यो हो कि फोर्टीवेब विशेषज्ञले मात्र यो पत्ता लगाउन सक्छ। यदि व्यापार घण्टाको समयमा हामीले अझै पनि वास्तविक समयमा शंकास्पद गतिविधि ट्र्याक गर्न सक्छौं भने, राती घटनाहरूको अनुसन्धान ढिलाइ हुन सक्छ। जब FortiWeb नीतिहरूले कुनै कारणले काम गरेन, ड्युटीमा रहेका राती सिफ्ट इन्जिनियरहरूले WAF मा पहुँच बिना स्थितिको मूल्याङ्कन गर्न सकेनन् र FortiWeb विशेषज्ञलाई जगाए। हामीले धेरै घण्टा लगहरू हेर्यौं र आक्रमणको क्षण भेट्टायौं। 

जानकारी को यस्तो मात्रा संग, यो एक नजर मा ठूलो तस्वीर बुझ्न र सक्रिय रूपमा कार्य गर्न गाह्रो छ। त्यसपछि हामीले दृश्य रूपमा सबै कुराको विश्लेषण गर्न, आक्रमणको सुरुवात पत्ता लगाउन, यसको दिशा र अवरुद्ध गर्ने तरिका पहिचान गर्न एकै ठाउँमा डाटा सङ्कलन गर्ने निर्णय गर्‍यौं। 

तपाईले के रोज्नुभयो

सबै भन्दा पहिले, हामीले पहिले नै प्रयोगमा रहेका समाधानहरू हेर्‍यौं, ताकि संस्थाहरूलाई अनावश्यक रूपमा गुणन नगर्नुहोस्।

पहिलो विकल्प मध्ये एक थियो Nagiosजुन हामीले अनुगमन गर्न प्रयोग गर्छौं ईन्जिनियरिङ् पूर्वाधार, नेटवर्क पूर्वाधार, आपतकालीन अलर्टहरू। सुरक्षा गार्डहरूले शंकास्पद ट्राफिकको मामलामा परिचारकहरूलाई सूचित गर्न पनि यसको प्रयोग गर्छन्, तर यसलाई कसरी छरिएका लगहरू सङ्कलन गर्ने थाहा छैन र त्यसैले गायब हुन्छ। 

सबै कुरा मिलाउने विकल्प थियो MySQL र PostgreSQL वा अन्य सम्बन्धित डाटाबेस। तर डाटा बाहिर निकाल्न, यो आफ्नो आवेदन मूर्तिकला आवश्यक थियो। 

हाम्रो कम्पनीमा लग कलेक्टरको रूपमा तिनीहरू पनि प्रयोग गर्छन् फोर्टी विश्लेषक Fortinet बाट। तर यो मामिलामा उनी पनि फिट भएनन् । पहिलो, यो फायरवाल संग काम गर्न को लागी अधिक तेज छ फोर्टिगेट। दोस्रो, धेरै सेटिङहरू हराइरहेका थिए, र यसको साथ अन्तरक्रियालाई SQL प्रश्नहरूको उत्कृष्ट ज्ञान चाहिन्छ। र तेस्रो, यसको प्रयोगले ग्राहकको लागि सेवाको लागत बढाउँछ।   

यसरी हामी अनुहारमा खुला स्रोतमा आएका छौं एल्क. 

किन ELK छनौट गर्नुहोस् 

ELK खुला स्रोत कार्यक्रमहरूको सेट हो:

• Elasticsearch - समय शृङ्खलाको डाटाबेस, जुन भर्खरै पाठको ठूलो मात्रामा काम गर्न सिर्जना गरिएको थियो;
• लगस्ट्याश - एक डाटा सङ्कलन संयन्त्र जसले लगहरूलाई इच्छित ढाँचामा रूपान्तरण गर्न सक्छ; 
• किबाना - एक राम्रो भिजुअलाइजर, साथै Elasticsearch प्रबन्ध गर्न को लागी एक उचित अनुकूल इन्टरफेस। तपाइँ यसलाई समयतालिका निर्माण गर्न प्रयोग गर्न सक्नुहुन्छ जुन रातमा ड्यूटी इन्जिनियरहरू द्वारा निगरानी गर्न सकिन्छ। 

ELK को लागि प्रवेश थ्रेसहोल्ड कम छ। सबै आधारभूत सुविधाहरू निःशुल्क छन्। खुशीको लागि अरु के चाहिन्छ।

तपाईले सबैलाई एउटै प्रणालीमा कसरी राख्नुभयो?

अनुक्रमणिकाहरू सिर्जना गरियो र आवश्यक जानकारी मात्र छोडियो। हामीले सबै तीन FortiWEB लगहरू ELK मा लोड गर्यौं - आउटपुट अनुक्रमणिकाहरू थिए। यी एक अवधिको लागि सबै सङ्कलन लगहरू भएका फाइलहरू हुन्, उदाहरणका लागि, एक दिन। यदि हामीले तिनीहरूलाई तुरुन्तै कल्पना गर्यौं भने, हामीले आक्रमणहरूको गतिशीलता मात्र देख्नेछौं। विवरणहरूको लागि, तपाईंले प्रत्येक आक्रमणमा "पतन" गर्न आवश्यक छ र विशिष्ट क्षेत्रहरू हेर्नुहोस्।

हामीले महसुस गर्यौं कि पहिले हामीले असंरचित जानकारीको पार्सिङ सेट अप गर्न आवश्यक छ। हामीले "सन्देश" र "URL" जस्ता स्ट्रिङको रूपमा लामो फिल्डहरू लियौं, र निर्णय लिने थप जानकारी प्राप्त गर्न तिनीहरूलाई पार्स गर्यौं। 

उदाहरणका लागि, पार्सिङ प्रयोग गरेर, हामीले प्रयोगकर्ताको स्थान छुट्टै निकाल्यौं। यसले तुरुन्तै रूसी प्रयोगकर्ताहरूको लागि साइटहरूमा विदेशबाट आक्रमणहरू हाइलाइट गर्न मद्दत गर्यो। अन्य देशहरूबाट सबै जडानहरू अवरुद्ध गरेर, हामीले आक्रमणहरूको संख्या २ गुणाले घटायौं र रूस भित्रका आक्रमणहरू सजिलैसँग सामना गर्न सक्छौं। 

पार्स गरिसकेपछि, तिनीहरूले के जानकारी भण्डारण र कल्पना गर्न खोज्न थाले। लग मा सबै छोडेर अनुपयुक्त थियो: एक सूचकांक को आकार ठूलो थियो - 7 GB। ELK ले फाइल प्रशोधन गर्न लामो समय लियो। यद्यपि, सबै जानकारी उपयोगी थिएन। केहि नक्कल गरियो र अतिरिक्त ठाउँ लियो - यो अप्टिमाइज गर्न आवश्यक थियो। 

सुरुमा, हामीले केवल अनुक्रमणिका मार्फत हेरे र अनावश्यक घटनाहरू हटायौं। यो फोर्टिवेबमा लगहरूसँग काम गर्नु भन्दा पनि असुविधाजनक र लामो भयो। यस चरणमा "क्रिसमस ट्री" बाट मात्र प्लस यो हो कि हामीले एक स्क्रिनमा ठूलो समयको कल्पना गर्न सक्षम भयौं। 

हामी निराश भएनौं, हामीले क्याक्टस खाने र ELK अध्ययन गर्न जारी राख्यौं र विश्वास गर्यौं कि हामी आवश्यक जानकारी निकाल्न सक्षम हुनेछौं। अनुक्रमणिकाहरू सफा गरेपछि, हामीले के हो भनेर कल्पना गर्न थाल्यौं। त्यसैले हामी ठूला ड्यासबोर्डहरूमा आयौं। हामीले विजेटहरू पोक गर्यौं - दृश्यात्मक र सुन्दर रूपमा, एक वास्तविक ЁLKa! 

आक्रमणको क्षण कैद गरियो। अब यो चार्ट मा आक्रमण को शुरुवात कस्तो देखिन्छ बुझ्न आवश्यक थियो। यसलाई पत्ता लगाउन, हामीले प्रयोगकर्तालाई सर्भरको प्रतिक्रियाहरू (रिटर्न कोडहरू) हेर्यौं। हामीले त्यस्ता कोडहरू (rc) को साथ सर्भर प्रतिक्रियाहरूमा रुचि राखेका थियौं: 

कोड (आरसी)

शीर्षक

विवरण

0

ड्रप

सर्भरमा अनुरोध अवरुद्ध छ

200

Ok

अनुरोध सफलतापूर्वक प्रशोधन गरियो

400

खराब अनुरोध

खराब अनुरोध

403

निषेध गरिएको

प्राधिकरण अस्वीकार गरियो

500

आन्तरिक सर्भर त्रुटि

सेवा उपलब्ध छैन

यदि कसैले साइटमा आक्रमण गर्न थाल्यो भने, कोडहरूको अनुपात परिवर्तन भयो: 

• यदि त्यहाँ कोड 400 को साथ अधिक त्रुटिपूर्ण अनुरोधहरू थिए, र कोड 200 को साथ सामान्य अनुरोधहरूको उही संख्या, तब कसैले साइट ह्याक गर्न खोजिरहेको थियो। 
• यदि, एकै समयमा, कोड 0 को साथ अनुरोधहरू पनि बढ्यो, तब FortiWeb राजनीतिज्ञहरूले पनि आक्रमण "हेरे" र यसमा ब्लकहरू लागू गरे। 
• यदि कोड 500 सँग सन्देशहरूको संख्या बढ्यो भने, त्यसपछि साइट यी आईपी ठेगानाहरूको लागि उपलब्ध छैन - एक प्रकारको अवरुद्ध पनि। 

तेस्रो महिनामा, हामीले यो गतिविधि ट्र्याक गर्न ड्यासबोर्ड सेट अप गर्यौं।

सबै कुरा म्यानुअल रूपमा निगरानी नगर्नको लागि, हामीले Nagios सँग एकीकरण सेट अप गर्यौं, जसले निश्चित अन्तरालहरूमा ELK लाई पोल गर्‍यो। यदि यसले कोडहरूद्वारा थ्रेसहोल्ड मानहरूको उपलब्धि रेकर्ड गर्यो भने, यसले संदिग्ध गतिविधिको बारेमा कर्तव्य अधिकारीहरूलाई सूचना पठायो। 

अनुगमन प्रणालीमा 4 चार्टहरू संयुक्त। अब यो ग्राफमा पल हेर्न महत्त्वपूर्ण थियो जब आक्रमण रोकिएको छैन र इन्जिनियरको हस्तक्षेप आवश्यक छ। 4 फरक ग्राफहरूमा, हाम्रो आँखा धमिलो थियो। त्यसकारण, हामीले चार्टहरू जोड्यौं र एक स्क्रिनमा सबै कुरा अवलोकन गर्न थाल्यौं।

अनुगमनमा, हामीले विभिन्न रङका ग्राफहरू कसरी परिवर्तन हुन्छन् भनेर हेर्यौं। रातो फटले आक्रमण सुरु भएको संकेत गर्छ, जबकि सुन्तला र नीलो ग्राफहरूले फोर्टीवेबको प्रतिक्रिया देखाउँदछ:

यहाँ सबै ठीक छ: त्यहाँ "रातो" गतिविधिको वृद्धि थियो, तर फोर्टीवेबले सामना गर्यो र आक्रमणको तालिका शून्य भयो।

हामीले हस्तक्षेप आवश्यक पर्ने ग्राफको उदाहरण पनि कोर्यौं:

यहाँ हामीले देख्न सक्छौं कि FortiWeb ले गतिविधि बढाएको छ, तर रातो आक्रमण ग्राफ घटेको छैन। तपाईंले WAF सेटिङहरू परिवर्तन गर्न आवश्यक छ।

रातिको घटनाको अनुसन्धान गर्न पनि सहज भएको छ । ग्राफले तुरुन्तै क्षण देखाउँदछ जब यो साइट को रक्षा गर्न को लागी समय हो। 

कहिलेकाहीँ राती पनि यस्तै हुन्छ । रातो ग्राफ - आक्रमण सुरु भएको छ। निलो - FortiWeb गतिविधि। आक्रमण पूर्ण रूपमा रोकिएको थिएन, हामीले हस्तक्षेप गर्नुपर्‍यो।

हामी कहाँ जाँदैछौं

अब हामी ELK सँग काम गर्न कर्तव्य प्रशासकहरूलाई प्रशिक्षण दिइरहेका छौं। परिचारकहरूले ड्यासबोर्डमा स्थितिको मूल्याङ्कन गर्न र निर्णय लिन सिक्छन्: यो फोर्टिवेब विशेषज्ञलाई बढाउने समय हो, वा WAF मा नीतिहरू स्वचालित रूपमा आक्रमणलाई हटाउन पर्याप्त हुनेछ। त्यसैले हामी रातमा सूचना सुरक्षा इन्जिनियरहरूमा भार कम गर्छौं र प्रणाली स्तरमा समर्थनमा भूमिकाहरू विभाजित गर्छौं। FortiWeb मा पहुँच साइबर रक्षा केन्द्रमा मात्र रहन्छ, र केवल तिनीहरूले तत्काल आवश्यक पर्दा WAF सेटिङहरूमा परिवर्तन गर्दछ।

हामी ग्राहकहरूको लागि रिपोर्टिङमा पनि काम गरिरहेका छौं। हामी योजना गर्छौं कि WAF कार्यको गतिशीलतामा डाटा ग्राहकको व्यक्तिगत खातामा उपलब्ध हुनेछ। ELK ले WAF लाई सन्दर्भ नगरी अवस्थालाई स्पष्ट बनाउनेछ।

यदि ग्राहकले वास्तविक समयमा आफ्नै सुरक्षा निगरानी गर्न चाहन्छ भने, ELK पनि काममा आउनेछ। हामी WAF मा पहुँच दिन सक्दैनौं, किनकि काममा ग्राहकको हस्तक्षेपले बाँकीलाई असर गर्न सक्छ। तर तपाईले छुट्टै ELK उठाउन सक्नुहुन्छ र यसलाई "वरिपरि खेल्न" दिन सक्नुहुन्छ। 

यी क्रिसमस ट्री प्रयोग गर्नका लागि परिदृश्यहरू हुन् जुन हामीले हालै जम्मा गरेका छौं। यसमा आफ्नो विचार साझा गर्नुहोस् र नबिर्सनुहोस् सबै कुरा सही रूपमा सेट गर्नुहोस्डाटाबेस चुहावटबाट बच्न। 

स्रोत: www.habr.com