Pulogalamu ya ProHoster > Blog > Ulamuliro > ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Chotsatirachi chikufotokozerani kukhazikitsa mawonedwe a ELK ndi SIEM dashboards mu ELK
Nkhaniyi yagawidwa m'magawo otsatirawa:

1- Kuwunika kwa ELK SIEM
2- Ma dashboards okhazikika
3- Kupanga ma dashboard anu oyamba

Zomwe zili m'mapositi onse.

1-ELK SIEM Ndemanga

ELK SIEM idawonjezedwa posachedwa pagulu la elk mu mtundu 7.2 pa Juni 25, 2019.

Ili ndi yankho la SIEM lopangidwa ndi elastic.co kuti moyo wa wowunika zachitetezo ukhale wosavuta komanso wosatopetsa.

Mu mtundu wathu wa ntchitoyi, tidaganiza zopanga SIEM yathu ndikusankha gulu lathu lowongolera.

Koma tikuganiza kuti ndikofunikira kufufuza ELK SIEM kaye.

1.1- Gawo la zochitika zochititsa

Tiyang'ana gawo la olandila poyamba. Gawo lothandizira lidzakuthandizani kuti muwone zochitika zomwe zimapangidwira pamapeto pake.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Pambuyo kuwonekera pa view hosts muyenera kupeza chonga ichi. Monga mukuonera, pali makamu atatu olumikizidwa ndi kompyuta iyi:

1 Windows 10.

2 Ubuntu Server 18.04.

Tili ndi zowonera zingapo zomwe zikuwonetsedwa, chilichonse chikuyimira mitundu yosiyanasiyana ya zochitika.

Mwachitsanzo, yomwe ili pakati ikuwonetsa zolowera pamakina onse atatu.

Zambiri zomwe mukuziwona apa zidasonkhanitsidwa masiku asanu. Izi zikufotokozera kuchuluka kwa malowedwe olephera komanso opambana. Mwina mudzakhala ndi zipika zochepa, choncho musadandaule

1.2- Gawo la zochitika pa intaneti

Kusunthira ku gawo la netiweki, muyenera kupeza chonga ichi. Gawoli likuthandizani kuti muziyang'anitsitsa zonse zomwe zimachitika pa intaneti yanu, kuchokera ku HTTP / TLS traffic kupita ku DNS traffic ndi zidziwitso zakunja.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

2- Ma dashboards okhazikika

Kuti moyo ukhale wosavuta kwa ogwiritsa ntchito, opanga elastic.co apanga chida chosasinthika chothandizidwa ndi ELK. Kumenyedwa kwathu kunali kosiyana ndi lamuloli. Apa ndigwiritsa ntchito dashboards ya Packetbeat monga chitsanzo.

Ngati mumatsatira gawo lachiwiri la nkhaniyi molondola. Muyenera kukhala ndi chida chokhazikitsidwa chikudikirirani. Choncho tiyeni tiyambe.

Kuchokera kumanzere kwa Kibana, sankhani chizindikiro cha dashboard. Ili ndi lachitatu, ngati muwerengera kuchokera pamwamba.

Lowetsani dzina logawana pakusaka

Ngati pali ma modules angapo mu bit. Gulu lowongolera lidzapangidwa kwa aliyense wa iwo. Koma imodzi yokhayo yomwe ili ndi gawo logwira ntchito ndiyomwe iwonetsa deta yopanda kanthu.

Sankhani yomwe ili ndi dzina la gawo lanu.

Ichi ndiye template yayikulu PacketBeat.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Ili ndiye gulu lowongolera ma network. Idzatiuza za paketi yomwe ikubwera ndi yotuluka, magwero ndi kopita kwa maadiresi a IP, komanso imapereka zambiri zothandiza kwa katswiri wa zachitetezo.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

3 - Kupanga ma dashboard anu oyamba

3-1- Mfundo Zoyambira

A- Mitundu ya dashboards:

Izi ndi mitundu yosiyanasiyana ya zowonera zomwe mungagwiritse ntchito kuti muwonetsetse deta yanu.

mwachitsanzo tili ndi:

  • bar graph
  • mapa
  • Widget ya Markdown
  • Tchati

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

B- KQL (Kibana Query Language):

Ichi ndi chilankhulo chomwe chimagwiritsidwa ntchito ku Kibana pofufuza mosavuta deta. Zimakuthandizani kuti muwone ngati pali deta ina ndi zina zambiri zothandiza. Kuti mudziwe zambiri, mutha kufufuza zambiri pa ulalowu

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

Ichi ndi funso lachitsanzo kuti mupeze wolandila akuthamanga Windows 10 pro.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Zosefera za C:

Izi zikuthandizani kuti musefe magawo ena monga dzina la alendo, nambala yachidziwitso kapena ID, ndi zina. Zosefera zidzasintha kwambiri gawo lofufuzira potengera nthawi ndi mphamvu zomwe zimagwiritsidwa ntchito kufunafuna umboni.

D-Kuwonera koyamba:

Tiyeni tipange zowonera za MITER ATT & CK.

Choyamba tiyenera kupita Dashboard → Pangani dashboard yatsopano→ pangani → Pie dashboard yatsopano

Khazikitsani mtundu wa ndondomeko ya index, kenako dinani dzina la kugunda kwanu.

Dinani Enter. Pakali pano muyenera kuwona donut wobiriwira.

Mu Buckets tabu kumanzere mupeza:

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

- Zigawo zogawanika zidzagawa donati m'magawo osiyanasiyana malinga ndi kufalikira kwa deta.

- Split Chart ipanga donut ina pafupi ndi iyi.

Tidzagwiritsa ntchito magawo ogawanika.

Tidzawona deta yathu malinga ndi nthawi yomwe timasankha. Pamenepa mawuwa atanthauza MITER ATT & CK.

Ku Winlogbeat, gawo lomwe litipatse chidziwitsochi limatchedwa:

winlog.event_data.RuleName

Tikhazikitsa ma metric owerengera kuti tiyitanitsa zochitika kutengera kuchuluka kwazomwe zimachitika.

Yambitsani gawo la "Gulu lazinthu zina mugawo lina".

Izi zitha kukhala zothandiza ngati mawu omwe mwasankha ali ndi matanthauzo osiyanasiyana otengera kamvekedwe. Izi zimathandiza kuwona deta yonse yonse. Izi zidzakupatsani lingaliro la kuchuluka kwa zochitika zomwe zatsala.

Tsopano popeza tamaliza kukhazikitsa tabu ya data, tiyeni tipite ku tabu ya zosankha

Muyenera kuchita izi:

**Chotsani mawonekedwe a donati kuti mawuwo awonetse bwalo lathunthu.

**Sankhani malo omwe mungakonde. Pankhaniyi, tidzawawonetsa kumanja.

** Khazikitsani zowonetsera kuti ziwonetse pafupi ndi mawu awo kuti muwerenge mosavuta ndikusiya zina zonse ngati zosasintha

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Kudumpha kumatsimikizira kuchuluka kwa zomwe mukufuna kuwonetsa kuchokera ku dzina la chochitikacho.

Khazikitsani nthawi yomwe mukufuna kuti kumasulira kuyambike, ndiyeno dinani lalikulu labuluu.

Muyenera kumaliza ndi izi:

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Mutha kuwonjezeranso zosefera pazowonera zanu kuti musefe omwe mukufuna kuwona kapena magawo aliwonse omwe mukuganiza kuti ndi othandiza pa cholinga chanu. Kuwonetserako kumangowonetsa deta yomwe ikufanana ndi lamulo lomwe laikidwa mu fyuluta. Pankhaniyi, tidzangowonetsa MITER ATT & CK deta yochokera kwa wolandirayo wotchedwa win10.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

3-2- Kupanga dashboard yanu yoyamba:

Dashboard ndi gulu la zowonera zambiri. Ma dashboard anu akuyenera kukhala omveka bwino, omveka bwino, komanso okhala ndi data yofunikira. Nachi chitsanzo cha ma dashboard omwe tidapanga kuchokera koyambira kwa winlogbeat.

ELK SIEM Open Distro: Kuwoneka kwa ELK ndi SIEM dashboards mu ELK

Zikomo chifukwa cha nthawi yanu. Ndikukhulupirira kuti mwapeza kuti nkhaniyi ndi yothandiza. Ngati mungafune zambiri pamutuwu, tikupangira kuti mupiteko webusaitiyi.

Macheza a telegraph pa Elasticsearch: https://t.me/elasticsearch_ru

Source: www.habr.com

Kuwonjezera ndemanga