ਕਿਵੇਂ ELK ਸੁਰੱਖਿਆ ਇੰਜਨੀਅਰਾਂ ਨੂੰ ਵੈਬਸਾਈਟ ਹਮਲਿਆਂ ਨਾਲ ਲੜਨ ਅਤੇ ਸ਼ਾਂਤੀ ਨਾਲ ਸੌਣ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ

ਸਾਡਾ ਸਾਈਬਰ ਰੱਖਿਆ ਕੇਂਦਰ ਗਾਹਕਾਂ ਦੇ ਵੈੱਬ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਸਾਈਟਾਂ 'ਤੇ ਹਮਲਿਆਂ ਨੂੰ ਦੂਰ ਕਰਦਾ ਹੈ। ਅਸੀਂ ਹਮਲਿਆਂ ਤੋਂ ਸੁਰੱਖਿਆ ਲਈ FortiWeb ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (WAF) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ। ਪਰ ਇੱਥੋਂ ਤੱਕ ਕਿ ਸਭ ਤੋਂ ਵਧੀਆ ਡਬਲਯੂਏਐਫ ਇੱਕ ਇਲਾਜ ਨਹੀਂ ਹੈ ਅਤੇ ਨਿਸ਼ਾਨਾ ਹਮਲਿਆਂ ਤੋਂ ਬਾਕਸ ਤੋਂ ਬਾਹਰ ਦੀ ਰੱਖਿਆ ਨਹੀਂ ਕਰਦਾ ਹੈ। 

ਇਸ ਲਈ, WAF ਤੋਂ ਇਲਾਵਾ ਅਸੀਂ ਵਰਤਦੇ ਹਾਂ ELK:. ਇਹ ਸਾਰੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਇੱਕ ਥਾਂ 'ਤੇ ਇਕੱਠਾ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ, ਅੰਕੜੇ ਇਕੱਠੇ ਕਰਦਾ ਹੈ, ਉਹਨਾਂ ਦੀ ਕਲਪਨਾ ਕਰਦਾ ਹੈ ਅਤੇ ਸਾਨੂੰ ਸਮੇਂ ਸਿਰ ਇੱਕ ਨਿਸ਼ਾਨਾ ਹਮਲਾ ਦੇਖਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।

ਅੱਜ ਮੈਂ ਤੁਹਾਨੂੰ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਦੱਸਾਂਗਾ ਕਿ ਅਸੀਂ WAF ਨਾਲ "ਕ੍ਰਿਸਮਸ ਟ੍ਰੀ" ਨੂੰ ਕਿਵੇਂ ਪਾਰ ਕੀਤਾ ਅਤੇ ਇਸ ਵਿੱਚੋਂ ਕੀ ਨਿਕਲਿਆ।

ਇੱਕ ਹਮਲੇ ਦੀ ਕਹਾਣੀ: ELK ਵਿੱਚ ਤਬਦੀਲੀ ਤੋਂ ਪਹਿਲਾਂ ਸਭ ਕੁਝ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਸੀ

ਗਾਹਕ ਕੋਲ ਸਾਡੇ ਕਲਾਉਡ ਵਿੱਚ ਤੈਨਾਤ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਹੈ ਜੋ ਸਾਡੇ WAF ਦੇ ਪਿੱਛੇ ਹੈ। 10 ਤੋਂ 000 ਉਪਭੋਗਤਾ ਪ੍ਰਤੀ ਦਿਨ ਸਾਈਟ ਨਾਲ ਜੁੜੇ, ਕੁਨੈਕਸ਼ਨਾਂ ਦੀ ਗਿਣਤੀ ਪ੍ਰਤੀ ਦਿਨ 100 ਮਿਲੀਅਨ ਤੱਕ ਪਹੁੰਚ ਗਈ। ਇਨ੍ਹਾਂ 'ਚੋਂ 000-20 ਯੂਜ਼ਰ ਹਮਲਾਵਰ ਸਨ ਅਤੇ ਉਨ੍ਹਾਂ ਨੇ ਸਾਈਟ ਨੂੰ ਹੈਕ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ। 

FortiWeb ਨੇ ਇੱਕ IP ਐਡਰੈੱਸ ਤੋਂ ਆਮ ਬਰੂਟ ਫੋਰਸ ਫਾਰਮ ਨੂੰ ਬਹੁਤ ਆਸਾਨੀ ਨਾਲ ਬਲੌਕ ਕੀਤਾ। ਸਾਈਟ ਨੂੰ ਪ੍ਰਤੀ ਮਿੰਟ ਹਿੱਟ ਦੀ ਗਿਣਤੀ ਜਾਇਜ਼ ਉਪਭੋਗਤਾਵਾਂ ਨਾਲੋਂ ਵੱਧ ਸੀ। ਅਸੀਂ ਸਿਰਫ਼ ਇੱਕ ਪਤੇ ਤੋਂ ਗਤੀਵਿਧੀ ਥ੍ਰੈਸ਼ਹੋਲਡ ਸੈਟ ਕਰਦੇ ਹਾਂ ਅਤੇ ਹਮਲੇ ਨੂੰ ਰੋਕ ਦਿੱਤਾ ਹੈ।

"ਹੌਲੀ ਹਮਲਿਆਂ" ਦਾ ਮੁਕਾਬਲਾ ਕਰਨਾ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਹੁੰਦਾ ਹੈ, ਜਦੋਂ ਹਮਲਾਵਰ ਹੌਲੀ-ਹੌਲੀ ਕੰਮ ਕਰਦੇ ਹਨ ਅਤੇ ਆਪਣੇ ਆਪ ਨੂੰ ਆਮ ਗਾਹਕਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਬਣਾਉਂਦੇ ਹਨ। ਉਹ ਬਹੁਤ ਸਾਰੇ ਵਿਲੱਖਣ IP ਪਤਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ. ਅਜਿਹੀ ਗਤੀਵਿਧੀ ਡਬਲਯੂ.ਏ.ਐਫ. ਨੂੰ ਇੱਕ ਵਿਸ਼ਾਲ ਵਹਿਸ਼ੀ ਤਾਕਤ ਵਾਂਗ ਨਹੀਂ ਲੱਗਦੀ ਸੀ; ਇਸ ਨੂੰ ਆਪਣੇ ਆਪ ਟਰੈਕ ਕਰਨਾ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਸੀ। ਸਾਧਾਰਨ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਬਲਾਕ ਕਰਨ ਦਾ ਖ਼ਤਰਾ ਵੀ ਸੀ। ਅਸੀਂ ਹਮਲੇ ਦੇ ਹੋਰ ਸੰਕੇਤਾਂ ਦੀ ਖੋਜ ਕੀਤੀ ਅਤੇ ਇਸ ਚਿੰਨ੍ਹ ਦੇ ਆਧਾਰ 'ਤੇ IP ਪਤਿਆਂ ਨੂੰ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਬਲੌਕ ਕਰਨ ਲਈ ਇੱਕ ਨੀਤੀ ਨੂੰ ਕੌਂਫਿਗਰ ਕੀਤਾ। ਉਦਾਹਰਨ ਲਈ, ਬਹੁਤ ਸਾਰੇ ਨਾਜਾਇਜ਼ ਸੈਸ਼ਨਾਂ ਵਿੱਚ HTTP ਬੇਨਤੀ ਸਿਰਲੇਖਾਂ ਵਿੱਚ ਸਾਂਝੇ ਖੇਤਰ ਸਨ। ਇਹਨਾਂ ਖੇਤਰਾਂ ਨੂੰ ਅਕਸਰ FortiWeb ਇਵੈਂਟ ਲੌਗਸ ਵਿੱਚ ਹੱਥੀਂ ਖੋਜਿਆ ਜਾਣਾ ਪੈਂਦਾ ਸੀ। 

ਇਹ ਲੰਮਾ ਅਤੇ ਅਸੁਵਿਧਾਜਨਕ ਨਿਕਲਿਆ. ਸਟੈਂਡਰਡ FortiWeb ਕਾਰਜਕੁਸ਼ਲਤਾ ਵਿੱਚ, ਘਟਨਾਵਾਂ ਨੂੰ 3 ਵੱਖ-ਵੱਖ ਲੌਗਾਂ ਵਿੱਚ ਟੈਕਸਟ ਵਿੱਚ ਰਿਕਾਰਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ: ਖੋਜੇ ਗਏ ਹਮਲੇ, ਬੇਨਤੀ ਜਾਣਕਾਰੀ, ਅਤੇ WAF ਓਪਰੇਸ਼ਨ ਬਾਰੇ ਸਿਸਟਮ ਸੁਨੇਹੇ। ਇੱਕ ਮਿੰਟ ਵਿੱਚ ਦਰਜਨਾਂ ਜਾਂ ਸੈਂਕੜੇ ਹਮਲੇ ਦੀਆਂ ਘਟਨਾਵਾਂ ਆ ਸਕਦੀਆਂ ਹਨ।

ਇੰਨਾ ਜ਼ਿਆਦਾ ਨਹੀਂ, ਪਰ ਤੁਹਾਨੂੰ ਹੱਥੀਂ ਕਈ ਲੌਗਸ ਰਾਹੀਂ ਚੜ੍ਹਨਾ ਪੈਂਦਾ ਹੈ ਅਤੇ ਬਹੁਤ ਸਾਰੀਆਂ ਲਾਈਨਾਂ ਰਾਹੀਂ ਦੁਹਰਾਉਣਾ ਪੈਂਦਾ ਹੈ: 

ਹਮਲੇ ਦੇ ਲੌਗ ਵਿੱਚ ਅਸੀਂ ਉਪਭੋਗਤਾ ਦੇ ਪਤੇ ਅਤੇ ਗਤੀਵਿਧੀ ਦੀ ਪ੍ਰਕਿਰਤੀ ਦੇਖਦੇ ਹਾਂ। 
 
ਸਿਰਫ਼ ਲੌਗ ਟੇਬਲ ਨੂੰ ਸਕੈਨ ਕਰਨਾ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ। ਹਮਲੇ ਦੀ ਪ੍ਰਕਿਰਤੀ ਬਾਰੇ ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਅਤੇ ਉਪਯੋਗੀ ਜਾਣਕਾਰੀ ਲੱਭਣ ਲਈ, ਤੁਹਾਨੂੰ ਇੱਕ ਖਾਸ ਘਟਨਾ ਦੇ ਅੰਦਰ ਦੇਖਣ ਦੀ ਲੋੜ ਹੈ:

ਹਾਈਲਾਈਟ ਕੀਤੇ ਖੇਤਰ "ਹੌਲੀ ਹਮਲੇ" ਦਾ ਪਤਾ ਲਗਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ। ਸਰੋਤ: ਤੋਂ ਸਕਰੀਨਸ਼ਾਟ Fortinet ਵੈੱਬਸਾਈਟ. 

ਖੈਰ, ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਣ ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਸਿਰਫ ਇੱਕ FortiWeb ਮਾਹਰ ਹੀ ਇਸਦਾ ਪਤਾ ਲਗਾ ਸਕਦਾ ਹੈ. ਹਾਲਾਂਕਿ ਕਾਰੋਬਾਰੀ ਘੰਟਿਆਂ ਦੌਰਾਨ ਅਸੀਂ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਸ਼ੱਕੀ ਗਤੀਵਿਧੀ ਦੀ ਨਿਗਰਾਨੀ ਕਰ ਸਕਦੇ ਹਾਂ, ਰਾਤ ​​ਦੇ ਸਮੇਂ ਦੀਆਂ ਘਟਨਾਵਾਂ ਦੀ ਜਾਂਚ ਵਿੱਚ ਜ਼ਿਆਦਾ ਸਮਾਂ ਲੱਗ ਸਕਦਾ ਹੈ। ਜਦੋਂ FortiWeb ਨੀਤੀਆਂ ਕਿਸੇ ਕਾਰਨ ਕੰਮ ਨਹੀਂ ਕਰਦੀਆਂ ਸਨ, ਡਿਊਟੀ 'ਤੇ ਰਾਤ ਦੀ ਸ਼ਿਫਟ ਇੰਜੀਨੀਅਰ WAF ਤੱਕ ਪਹੁੰਚ ਤੋਂ ਬਿਨਾਂ ਸਥਿਤੀ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨ ਵਿੱਚ ਅਸਮਰੱਥ ਸਨ ਅਤੇ FortiWeb ਮਾਹਰ ਨੂੰ ਜਗਾਇਆ ਸੀ। ਅਸੀਂ ਕਈ ਘੰਟਿਆਂ ਦੇ ਲੌਗਾਂ ਵਿੱਚੋਂ ਦੇਖਿਆ ਅਤੇ ਹਮਲੇ ਦਾ ਪਲ ਲੱਭਿਆ। 

ਜਾਣਕਾਰੀ ਦੇ ਅਜਿਹੇ ਸੰਗ੍ਰਹਿ ਦੇ ਨਾਲ, ਪਹਿਲੀ ਨਜ਼ਰ 'ਤੇ ਵੱਡੀ ਤਸਵੀਰ ਨੂੰ ਸਮਝਣਾ ਅਤੇ ਸਰਗਰਮੀ ਨਾਲ ਕੰਮ ਕਰਨਾ ਮੁਸ਼ਕਲ ਹੈ। ਫਿਰ ਅਸੀਂ ਇੱਕ ਵਿਜ਼ੂਅਲ ਰੂਪ ਵਿੱਚ ਹਰ ਚੀਜ਼ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ, ਹਮਲੇ ਦੀ ਸ਼ੁਰੂਆਤ ਦਾ ਪਤਾ ਲਗਾਉਣ, ਇਸਦੀ ਦਿਸ਼ਾ ਅਤੇ ਬਲਾਕ ਕਰਨ ਦੇ ਢੰਗ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਇੱਕ ਥਾਂ 'ਤੇ ਡੇਟਾ ਇਕੱਠਾ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ। 

ਤੁਸੀਂ ਕਿਸ ਵਿੱਚੋਂ ਚੁਣਿਆ ਹੈ?

ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਅਸੀਂ ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਵਰਤੋਂ ਵਿੱਚ ਆਏ ਹੱਲਾਂ ਨੂੰ ਦੇਖਿਆ ਤਾਂ ਜੋ ਬੇਲੋੜੀਆਂ ਸੰਸਥਾਵਾਂ ਨੂੰ ਗੁਣਾ ਨਾ ਕੀਤਾ ਜਾ ਸਕੇ।

ਪਹਿਲੇ ਵਿਕਲਪਾਂ ਵਿੱਚੋਂ ਇੱਕ ਸੀ ਨਾਗਜ਼ੀਅਸਜੋ ਅਸੀਂ ਨਿਗਰਾਨੀ ਲਈ ਵਰਤਦੇ ਹਾਂ ਇੰਜੀਨੀਅਰਿੰਗ ਬੁਨਿਆਦੀ, ਨੈੱਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚਾ, ਸੰਕਟਕਾਲੀਨ ਸਥਿਤੀਆਂ ਬਾਰੇ ਚੇਤਾਵਨੀਆਂ। ਸੁਰੱਖਿਆ ਗਾਰਡ ਸ਼ੱਕੀ ਟ੍ਰੈਫਿਕ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਡਿਊਟੀ ਅਫਸਰਾਂ ਨੂੰ ਸੂਚਿਤ ਕਰਨ ਲਈ ਵੀ ਇਸਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਪਰ ਇਹ ਨਹੀਂ ਜਾਣਦਾ ਕਿ ਖਿੰਡੇ ਹੋਏ ਲੌਗਾਂ ਨੂੰ ਕਿਵੇਂ ਇਕੱਠਾ ਕਰਨਾ ਹੈ ਅਤੇ ਇਸ ਲਈ ਹੁਣ ਇਸਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। 

ਵਰਤ ਕੇ ਹਰ ਚੀਜ਼ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਲਈ ਇੱਕ ਵਿਕਲਪ ਸੀ MySQL ਅਤੇ PostgreSQL ਜਾਂ ਹੋਰ ਰਿਲੇਸ਼ਨਲ ਡਾਟਾਬੇਸ। ਪਰ ਡੇਟਾ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਲਈ, ਤੁਹਾਨੂੰ ਆਪਣੀ ਖੁਦ ਦੀ ਐਪਲੀਕੇਸ਼ਨ ਬਣਾਉਣੀ ਪਈ। 

ਸਾਡੀ ਕੰਪਨੀ ਵੀ ਵਰਤਦੀ ਹੈ ਫੋਰਟੀ ਐਨਾਲਾਈਜ਼ਰ Fortinet ਤੱਕ. ਪਰ ਇਹ ਇਸ ਕੇਸ ਵਿੱਚ ਵੀ ਫਿੱਟ ਨਹੀਂ ਹੋਇਆ। ਪਹਿਲਾਂ, ਇਹ ਫਾਇਰਵਾਲ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਵਧੇਰੇ ਅਨੁਕੂਲ ਹੈ ਫੋਰਟੀਗੇਟ. ਦੂਜਾ, ਬਹੁਤ ਸਾਰੀਆਂ ਸੈਟਿੰਗਾਂ ਗੁੰਮ ਸਨ, ਅਤੇ ਇਸਦੇ ਨਾਲ ਪਰਸਪਰ ਪ੍ਰਭਾਵ ਲਈ SQL ਸਵਾਲਾਂ ਦੇ ਸ਼ਾਨਦਾਰ ਗਿਆਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਅਤੇ ਤੀਜਾ, ਇਸਦੀ ਵਰਤੋਂ ਗਾਹਕ ਲਈ ਸੇਵਾ ਦੀ ਲਾਗਤ ਨੂੰ ਵਧਾਏਗੀ.   

ਇਸ ਤਰ੍ਹਾਂ ਅਸੀਂ ਓਪਨ ਸੋਰਸ ਦੇ ਰੂਪ ਵਿੱਚ ਆਏ ਹਾਂ ELK:. 

ELK ਕਿਉਂ ਚੁਣੋ 

ELK ਓਪਨ ਸੋਰਸ ਪ੍ਰੋਗਰਾਮਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਹੈ:

• ਲਲਸੀ ਖੋਜ - ਇੱਕ ਟਾਈਮ ਸੀਰੀਜ਼ ਡੇਟਾਬੇਸ, ਜੋ ਖਾਸ ਤੌਰ 'ਤੇ ਟੈਕਸਟ ਦੀ ਵੱਡੀ ਮਾਤਰਾ ਦੇ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਬਣਾਇਆ ਗਿਆ ਸੀ;
• ਲੌਗਸਟੈਸ਼ - ਇੱਕ ਡਾਟਾ ਇਕੱਤਰ ਕਰਨ ਦੀ ਵਿਧੀ ਜੋ ਲੌਗਸ ਨੂੰ ਲੋੜੀਂਦੇ ਫਾਰਮੈਟ ਵਿੱਚ ਬਦਲ ਸਕਦੀ ਹੈ; 
• ਕਿਬਾਨਾ - ਇੱਕ ਚੰਗਾ ਵਿਜ਼ੂਅਲਾਈਜ਼ਰ, ਅਤੇ ਨਾਲ ਹੀ Elasticsearch ਦੇ ਪ੍ਰਬੰਧਨ ਲਈ ਇੱਕ ਕਾਫ਼ੀ ਦੋਸਤਾਨਾ ਇੰਟਰਫੇਸ। ਤੁਸੀਂ ਇਸਦੀ ਵਰਤੋਂ ਗ੍ਰਾਫ ਬਣਾਉਣ ਲਈ ਕਰ ਸਕਦੇ ਹੋ ਜਿਸਦੀ ਡਿਊਟੀ 'ਤੇ ਇੰਜੀਨੀਅਰ ਰਾਤ ਨੂੰ ਨਿਗਰਾਨੀ ਕਰ ਸਕਦੇ ਹਨ। 

ELK ਲਈ ਦਾਖਲਾ ਥ੍ਰੈਸ਼ਹੋਲਡ ਘੱਟ ਹੈ। ਸਾਰੀਆਂ ਬੁਨਿਆਦੀ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਮੁਫ਼ਤ ਹਨ। ਖੁਸ਼ੀ ਲਈ ਹੋਰ ਕੀ ਚਾਹੀਦਾ ਹੈ?

ਅਸੀਂ ਇਸ ਸਭ ਨੂੰ ਇੱਕ ਸਿੰਗਲ ਸਿਸਟਮ ਵਿੱਚ ਕਿਵੇਂ ਰੱਖਿਆ?

ਅਸੀਂ ਸੂਚਕਾਂਕ ਬਣਾਏ ਹਨ ਅਤੇ ਸਿਰਫ਼ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਛੱਡ ਦਿੱਤੀ ਹੈ. ਅਸੀਂ ਸਾਰੇ ਤਿੰਨ FortiWEB ਲੌਗਸ ਨੂੰ ELK ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਅਤੇ ਆਉਟਪੁੱਟ ਸੂਚਕਾਂਕ ਸੀ। ਇਹ ਇੱਕ ਅਵਧੀ ਲਈ ਸਾਰੇ ਇਕੱਠੇ ਕੀਤੇ ਲੌਗਸ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਹਨ, ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਦਿਨ। ਜੇਕਰ ਅਸੀਂ ਤੁਰੰਤ ਉਹਨਾਂ ਦੀ ਕਲਪਨਾ ਕਰਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਸਿਰਫ ਹਮਲਿਆਂ ਦੀ ਗਤੀਸ਼ੀਲਤਾ ਨੂੰ ਦੇਖਾਂਗੇ. ਵੇਰਵਿਆਂ ਲਈ, ਤੁਹਾਨੂੰ ਹਰੇਕ ਹਮਲੇ ਵਿੱਚ "ਡਿੱਗਣ" ਅਤੇ ਖਾਸ ਖੇਤਰਾਂ ਨੂੰ ਦੇਖਣ ਦੀ ਲੋੜ ਹੈ।

ਅਸੀਂ ਮਹਿਸੂਸ ਕੀਤਾ ਕਿ ਪਹਿਲਾਂ ਸਾਨੂੰ ਗੈਰ-ਸੰਗਠਿਤ ਜਾਣਕਾਰੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਸਥਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਅਸੀਂ ਸਤਰ ਦੇ ਰੂਪ ਵਿੱਚ ਲੰਬੇ ਖੇਤਰ ਲਏ, ਜਿਵੇਂ ਕਿ "ਸੁਨੇਹਾ" ਅਤੇ "URL", ਅਤੇ ਫੈਸਲੇ ਲੈਣ ਲਈ ਹੋਰ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਉਹਨਾਂ ਨੂੰ ਪਾਰਸ ਕੀਤਾ। 

ਉਦਾਹਰਨ ਲਈ, ਪਾਰਸਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਸੀਂ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਉਪਭੋਗਤਾ ਦੇ ਸਥਾਨ ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ। ਇਸ ਨੇ ਰੂਸੀ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਸਾਈਟਾਂ 'ਤੇ ਵਿਦੇਸ਼ਾਂ ਤੋਂ ਹਮਲਿਆਂ ਨੂੰ ਤੁਰੰਤ ਉਜਾਗਰ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕੀਤੀ। ਦੂਜੇ ਦੇਸ਼ਾਂ ਦੇ ਸਾਰੇ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਬਲੌਕ ਕਰਕੇ, ਅਸੀਂ ਹਮਲਿਆਂ ਦੀ ਗਿਣਤੀ ਨੂੰ ਅੱਧਾ ਕਰ ਦਿੱਤਾ ਹੈ ਅਤੇ ਰੂਸ ਦੇ ਅੰਦਰ ਹਮਲਿਆਂ ਨਾਲ ਸ਼ਾਂਤੀ ਨਾਲ ਨਜਿੱਠ ਸਕਦੇ ਹਾਂ। 

ਪਾਰਸ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਇਹ ਦੇਖਣਾ ਸ਼ੁਰੂ ਕੀਤਾ ਕਿ ਕਿਹੜੀ ਜਾਣਕਾਰੀ ਨੂੰ ਸਟੋਰ ਕਰਨਾ ਹੈ ਅਤੇ ਕਲਪਨਾ ਕਰਨਾ ਹੈ। ਜਰਨਲ ਵਿੱਚ ਹਰ ਚੀਜ਼ ਨੂੰ ਛੱਡਣਾ ਅਵਿਵਹਾਰਕ ਸੀ: ਇੱਕ ਸੂਚਕਾਂਕ ਦਾ ਆਕਾਰ ਵੱਡਾ ਸੀ - 7 GB. ELK ਨੇ ਫਾਈਲ 'ਤੇ ਕਾਰਵਾਈ ਕਰਨ ਲਈ ਲੰਮਾ ਸਮਾਂ ਲਿਆ। ਹਾਲਾਂਕਿ, ਸਾਰੀ ਜਾਣਕਾਰੀ ਲਾਭਦਾਇਕ ਨਹੀਂ ਸੀ। ਕੁਝ ਡੁਪਲੀਕੇਟ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਵਾਧੂ ਜਗ੍ਹਾ ਲੈ ਲਈ ਸੀ - ਇਸਨੂੰ ਅਨੁਕੂਲ ਬਣਾਉਣ ਦੀ ਲੋੜ ਸੀ। 

ਪਹਿਲਾਂ ਅਸੀਂ ਸਿਰਫ਼ ਸੂਚਕਾਂਕ ਨੂੰ ਸਕੈਨ ਕੀਤਾ ਅਤੇ ਬੇਲੋੜੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਹਟਾ ਦਿੱਤਾ। ਇਹ FortiWeb 'ਤੇ ਲੌਗਸ ਨਾਲ ਕੰਮ ਕਰਨ ਨਾਲੋਂ ਵੀ ਜ਼ਿਆਦਾ ਅਸੁਵਿਧਾਜਨਕ ਅਤੇ ਲੰਬਾ ਸਾਬਤ ਹੋਇਆ। ਇਸ ਪੜਾਅ 'ਤੇ "ਕ੍ਰਿਸਮਸ ਟ੍ਰੀ" ਦਾ ਇੱਕੋ ਇੱਕ ਫਾਇਦਾ ਇਹ ਹੈ ਕਿ ਅਸੀਂ ਇੱਕ ਸਕ੍ਰੀਨ 'ਤੇ ਸਮੇਂ ਦੀ ਇੱਕ ਵੱਡੀ ਮਿਆਦ ਦੀ ਕਲਪਨਾ ਕਰਨ ਦੇ ਯੋਗ ਸੀ। 

ਅਸੀਂ ਨਿਰਾਸ਼ ਨਹੀਂ ਹੋਏ, ਕੈਕਟਸ ਖਾਣਾ ਜਾਰੀ ਰੱਖਿਆ, ELK ਦਾ ਅਧਿਐਨ ਕੀਤਾ ਅਤੇ ਵਿਸ਼ਵਾਸ ਕੀਤਾ ਕਿ ਅਸੀਂ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨ ਦੇ ਯੋਗ ਹੋਵਾਂਗੇ। ਸੂਚਕਾਂਕ ਨੂੰ ਸਾਫ਼ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਕਲਪਨਾ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤਾ ਕਿ ਸਾਡੇ ਕੋਲ ਕੀ ਸੀ. ਇਸ ਤਰ੍ਹਾਂ ਅਸੀਂ ਵੱਡੇ ਡੈਸ਼ਬੋਰਡਾਂ 'ਤੇ ਆਏ। ਅਸੀਂ ਕੁਝ ਵਿਜੇਟਸ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ - ਦ੍ਰਿਸ਼ਟੀਗਤ ਅਤੇ ਸ਼ਾਨਦਾਰ, ਇੱਕ ਅਸਲੀ ਕ੍ਰਿਸਮਸ ਟ੍ਰੀ! 

ਹਮਲੇ ਦਾ ਪਲ ਰਿਕਾਰਡ ਕੀਤਾ ਗਿਆ ਸੀ. ਹੁਣ ਸਾਨੂੰ ਇਹ ਸਮਝਣ ਦੀ ਲੋੜ ਸੀ ਕਿ ਹਮਲੇ ਦੀ ਸ਼ੁਰੂਆਤ ਗ੍ਰਾਫ 'ਤੇ ਕਿਵੇਂ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ। ਇਸਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ, ਅਸੀਂ ਉਪਭੋਗਤਾ (ਰਿਟਰਨ ਕੋਡ) ਨੂੰ ਸਰਵਰ ਦੇ ਜਵਾਬਾਂ ਨੂੰ ਦੇਖਿਆ। ਸਾਨੂੰ ਹੇਠਾਂ ਦਿੱਤੇ ਕੋਡਾਂ (rc) ਵਾਲੇ ਸਰਵਰ ਜਵਾਬਾਂ ਵਿੱਚ ਦਿਲਚਸਪੀ ਸੀ: 

ਕੋਡ (rc)

ਟਾਈਟਲ

ਵੇਰਵਾ

0

ਡ੍ਰੋਪ

ਸਰਵਰ ਨੂੰ ਬੇਨਤੀ ਬਲੌਕ ਕੀਤੀ ਗਈ ਹੈ

200

Ok

ਬੇਨਤੀ ਦੀ ਸਫਲਤਾਪੂਰਵਕ ਪ੍ਰਕਿਰਿਆ ਹੋਈ

400

ਬੁਰੀ ਗੁਜਾਰਸ਼

ਗਲਤ ਬੇਨਤੀ

403

ਪਾਬੰਦੀ

ਅਧਿਕਾਰ ਅਸਵੀਕਾਰ ਕੀਤਾ ਗਿਆ

500

ਅੰਦਰੂਨੀ ਸਰਵਰ ਗਲਤੀ

ਸੇਵਾ ਉਪਲਬਧ ਨਹੀਂ ਹੈ

ਜੇਕਰ ਕਿਸੇ ਨੇ ਸਾਈਟ 'ਤੇ ਹਮਲਾ ਕਰਨਾ ਸ਼ੁਰੂ ਕੀਤਾ, ਤਾਂ ਕੋਡਾਂ ਦਾ ਅਨੁਪਾਤ ਬਦਲ ਗਿਆ: 

• ਜੇਕਰ ਕੋਡ 400 ਦੇ ਨਾਲ ਹੋਰ ਗਲਤ ਬੇਨਤੀਆਂ ਸਨ, ਪਰ ਕੋਡ 200 ਨਾਲ ਆਮ ਬੇਨਤੀਆਂ ਦੀ ਉਹੀ ਗਿਣਤੀ ਰਹਿੰਦੀ ਹੈ, ਤਾਂ ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਕੋਈ ਸਾਈਟ ਨੂੰ ਹੈਕ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਿਹਾ ਸੀ। 
• ਜੇ ਉਸੇ ਸਮੇਂ ਕੋਡ 0 ਨਾਲ ਬੇਨਤੀਆਂ ਵੀ ਵਧੀਆਂ, ਤਾਂ ਫੋਰਟਿਵੈਬ ਸਿਆਸਤਦਾਨਾਂ ਨੇ ਵੀ ਹਮਲੇ ਨੂੰ "ਦੇਖਿਆ" ਅਤੇ ਇਸ 'ਤੇ ਬਲਾਕ ਲਾਗੂ ਕੀਤੇ। 
• ਜੇਕਰ ਕੋਡ 500 ਵਾਲੇ ਸੁਨੇਹਿਆਂ ਦੀ ਗਿਣਤੀ ਵਧ ਗਈ ਹੈ, ਤਾਂ ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਾਈਟ ਇਹਨਾਂ IP ਪਤਿਆਂ ਲਈ ਉਪਲਬਧ ਨਹੀਂ ਹੈ - ਇੱਕ ਕਿਸਮ ਦੀ ਬਲੌਕਿੰਗ ਵੀ। 

ਤੀਜੇ ਮਹੀਨੇ ਤੱਕ, ਅਸੀਂ ਅਜਿਹੀ ਗਤੀਵਿਧੀ ਨੂੰ ਟਰੈਕ ਕਰਨ ਲਈ ਇੱਕ ਡੈਸ਼ਬੋਰਡ ਸਥਾਪਤ ਕਰ ਲਿਆ ਸੀ।

ਹਰ ਚੀਜ਼ ਦੀ ਦਸਤੀ ਨਿਗਰਾਨੀ ਨਾ ਕਰਨ ਲਈ, ਅਸੀਂ Nagios ਨਾਲ ਏਕੀਕਰਣ ਸਥਾਪਤ ਕੀਤਾ, ਜਿਸ ਨੇ ਕੁਝ ਅੰਤਰਾਲਾਂ 'ਤੇ ELK ਨੂੰ ਪੋਲ ਕੀਤਾ। ਜੇਕਰ ਮੈਂ ਕੋਡਾਂ ਦੁਆਰਾ ਪਹੁੰਚਣ ਵਾਲੇ ਥ੍ਰੈਸ਼ਹੋਲਡ ਮੁੱਲਾਂ ਦਾ ਪਤਾ ਲਗਾਇਆ, ਤਾਂ ਮੈਂ ਸ਼ੱਕੀ ਗਤੀਵਿਧੀ ਬਾਰੇ ਡਿਊਟੀ ਅਫਸਰਾਂ ਨੂੰ ਇੱਕ ਸੂਚਨਾ ਭੇਜ ਦਿੱਤੀ। 

ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਸੰਯੁਕਤ 4 ਗ੍ਰਾਫਿਕਸ. ਹੁਣ ਗ੍ਰਾਫਾਂ 'ਤੇ ਉਸ ਪਲ ਨੂੰ ਦੇਖਣਾ ਮਹੱਤਵਪੂਰਨ ਸੀ ਜਦੋਂ ਹਮਲੇ ਨੂੰ ਰੋਕਿਆ ਨਹੀਂ ਗਿਆ ਸੀ ਅਤੇ ਇੱਕ ਇੰਜੀਨੀਅਰ ਦੇ ਦਖਲ ਦੀ ਲੋੜ ਸੀ। 4 ਵੱਖ-ਵੱਖ ਚਾਰਟਾਂ 'ਤੇ ਸਾਡੀਆਂ ਅੱਖਾਂ ਧੁੰਦਲੀਆਂ ਹੋ ਗਈਆਂ। ਇਸ ਲਈ, ਅਸੀਂ ਚਾਰਟ ਨੂੰ ਜੋੜਿਆ ਅਤੇ ਇੱਕ ਸਕ੍ਰੀਨ ਤੇ ਹਰ ਚੀਜ਼ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨੀ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੀ।

ਨਿਗਰਾਨੀ ਦੇ ਦੌਰਾਨ, ਅਸੀਂ ਦੇਖਿਆ ਕਿ ਕਿਵੇਂ ਵੱਖ-ਵੱਖ ਰੰਗਾਂ ਦੇ ਗ੍ਰਾਫ ਬਦਲਦੇ ਹਨ। ਲਾਲ ਰੰਗ ਦੇ ਛਿੱਟੇ ਨੇ ਦਿਖਾਇਆ ਕਿ ਹਮਲਾ ਸ਼ੁਰੂ ਹੋ ਗਿਆ ਸੀ, ਜਦੋਂ ਕਿ ਸੰਤਰੀ ਅਤੇ ਨੀਲੇ ਗ੍ਰਾਫਾਂ ਨੇ FortiWeb ਦਾ ਜਵਾਬ ਦਿਖਾਇਆ:

ਇੱਥੇ ਸਭ ਕੁਝ ਠੀਕ ਹੈ: "ਲਾਲ" ਗਤੀਵਿਧੀ ਵਿੱਚ ਵਾਧਾ ਹੋਇਆ ਸੀ, ਪਰ ਫੋਰਟਿਵੈਬ ਨੇ ਇਸਦਾ ਮੁਕਾਬਲਾ ਕੀਤਾ ਅਤੇ ਹਮਲੇ ਦਾ ਸਮਾਂ ਵਿਅਰਥ ਹੋ ਗਿਆ।

ਅਸੀਂ ਆਪਣੇ ਲਈ ਇੱਕ ਗ੍ਰਾਫ ਦੀ ਇੱਕ ਉਦਾਹਰਨ ਵੀ ਖਿੱਚੀ ਹੈ ਜਿਸ ਲਈ ਦਖਲ ਦੀ ਲੋੜ ਹੈ:

ਇੱਥੇ ਅਸੀਂ ਦੇਖਦੇ ਹਾਂ ਕਿ FortiWeb ਨੇ ਸਰਗਰਮੀ ਵਧਾ ਦਿੱਤੀ ਹੈ, ਪਰ ਲਾਲ ਹਮਲੇ ਦਾ ਗ੍ਰਾਫ ਘੱਟ ਨਹੀਂ ਹੋਇਆ ਹੈ. ਤੁਹਾਨੂੰ ਆਪਣੀਆਂ WAF ਸੈਟਿੰਗਾਂ ਬਦਲਣ ਦੀ ਲੋੜ ਹੈ।

ਰਾਤ ਦੀਆਂ ਘਟਨਾਵਾਂ ਦੀ ਜਾਂਚ ਵੀ ਆਸਾਨ ਹੋ ਗਈ ਹੈ। ਗ੍ਰਾਫ ਤੁਰੰਤ ਉਸ ਪਲ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ ਜਦੋਂ ਸਾਈਟ ਦੀ ਰੱਖਿਆ ਕਰਨ ਦਾ ਸਮਾਂ ਆ ਗਿਆ ਹੈ. 

ਰਾਤ ਨੂੰ ਕਈ ਵਾਰ ਅਜਿਹਾ ਹੁੰਦਾ ਹੈ। ਲਾਲ ਗ੍ਰਾਫ - ਹਮਲਾ ਸ਼ੁਰੂ ਹੋ ਗਿਆ ਹੈ. ਨੀਲਾ - FortiWeb ਗਤੀਵਿਧੀ। ਹਮਲੇ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਰੋਕਿਆ ਨਹੀਂ ਗਿਆ ਸੀ, ਇਸ ਲਈ ਮੈਨੂੰ ਦਖਲ ਦੇਣਾ ਪਿਆ।

ਅਸੀਂ ਕਿੱਥੇ ਜਾ ਰਹੇ ਹਾਂ?

ਅਸੀਂ ਵਰਤਮਾਨ ਵਿੱਚ ELK ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਡਿਊਟੀ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਸਿਖਲਾਈ ਦੇ ਰਹੇ ਹਾਂ। ਡਿਊਟੀ 'ਤੇ ਮੌਜੂਦ ਲੋਕ ਡੈਸ਼ਬੋਰਡ 'ਤੇ ਸਥਿਤੀ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨਾ ਅਤੇ ਫੈਸਲਾ ਕਰਨਾ ਸਿੱਖਦੇ ਹਨ: ਇਹ ਇੱਕ FortiWeb ਮਾਹਰ ਕੋਲ ਜਾਣ ਦਾ ਸਮਾਂ ਹੈ, ਜਾਂ WAF ਦੀਆਂ ਨੀਤੀਆਂ ਆਪਣੇ ਆਪ ਹਮਲੇ ਨੂੰ ਦੂਰ ਕਰਨ ਲਈ ਕਾਫੀ ਹਨ। ਇਸ ਤਰ੍ਹਾਂ ਅਸੀਂ ਰਾਤ ਨੂੰ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਇੰਜੀਨੀਅਰਾਂ 'ਤੇ ਲੋਡ ਨੂੰ ਘਟਾਉਂਦੇ ਹਾਂ ਅਤੇ ਸਿਸਟਮ ਪੱਧਰ 'ਤੇ ਸਹਾਇਤਾ ਭੂਮਿਕਾਵਾਂ ਨੂੰ ਵੰਡਦੇ ਹਾਂ। FortiWeb ਤੱਕ ਪਹੁੰਚ ਸਿਰਫ਼ ਸਾਈਬਰ ਰੱਖਿਆ ਕੇਂਦਰ ਕੋਲ ਹੀ ਰਹਿੰਦੀ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਲੋੜ ਪੈਣ 'ਤੇ ਹੀ ਉਹ WAF ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਬਦਲਾਅ ਕਰਦੇ ਹਨ।

ਅਸੀਂ ਗਾਹਕਾਂ ਲਈ ਰਿਪੋਰਟਿੰਗ 'ਤੇ ਵੀ ਕੰਮ ਕਰ ਰਹੇ ਹਾਂ। ਅਸੀਂ ਯੋਜਨਾ ਬਣਾਉਂਦੇ ਹਾਂ ਕਿ WAF ਸੰਚਾਲਨ ਦੀ ਗਤੀਸ਼ੀਲਤਾ ਬਾਰੇ ਡੇਟਾ ਗਾਹਕ ਦੇ ਨਿੱਜੀ ਖਾਤੇ ਵਿੱਚ ਉਪਲਬਧ ਹੋਵੇਗਾ। ELK ਖੁਦ WAF ਨਾਲ ਸੰਪਰਕ ਕੀਤੇ ਬਿਨਾਂ ਸਥਿਤੀ ਨੂੰ ਹੋਰ ਪਾਰਦਰਸ਼ੀ ਬਣਾ ਦੇਵੇਗਾ।

ਜੇ ਗਾਹਕ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਆਪਣੀ ਸੁਰੱਖਿਆ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹੈ, ਤਾਂ ELK ਵੀ ਕੰਮ ਆਵੇਗਾ। ਅਸੀਂ WAF ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਦੇ ਸਕਦੇ, ਕਿਉਂਕਿ ਕੰਮ ਵਿੱਚ ਗਾਹਕ ਦੀ ਦਖਲਅੰਦਾਜ਼ੀ ਦੂਜਿਆਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦੀ ਹੈ। ਪਰ ਤੁਸੀਂ ਇੱਕ ਵੱਖਰਾ ELK ਚੁੱਕ ਸਕਦੇ ਹੋ ਅਤੇ ਇਸਨੂੰ "ਖੇਡਣ" ਲਈ ਦੇ ਸਕਦੇ ਹੋ। 

ਇਹ "ਕ੍ਰਿਸਮਸ ਟ੍ਰੀ" ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਦ੍ਰਿਸ਼ ਹਨ ਜੋ ਅਸੀਂ ਹਾਲ ਹੀ ਵਿੱਚ ਇਕੱਠੇ ਕੀਤੇ ਹਨ। ਇਸ ਮਾਮਲੇ 'ਤੇ ਆਪਣੇ ਵਿਚਾਰ ਸਾਂਝੇ ਕਰੋ ਅਤੇ ਨਾ ਭੁੱਲੋ ਸਭ ਕੁਝ ਸਹੀ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕਰੋਡਾਟਾਬੇਸ ਲੀਕ ਤੋਂ ਬਚਣ ਲਈ. 

ਸਰੋਤ: www.habr.com