TS ਕੁੱਲ ਦ੍ਰਿਸ਼ਟੀ। ਘਟਨਾ ਸੰਗ੍ਰਹਿ, ਘਟਨਾ ਵਿਸ਼ਲੇਸ਼ਣ, ਅਤੇ ਧਮਕੀ ਜਵਾਬ ਆਟੋਮੇਸ਼ਨ ਟੂਲ

ਸ਼ੁਭ ਦੁਪਹਿਰ, ਪਿਛਲੇ ਲੇਖਾਂ ਵਿੱਚ ਅਸੀਂ ELK ਸਟੈਕ ਦੇ ਕੰਮ ਤੋਂ ਜਾਣੂ ਹੋਏ ਹਾਂ। ਅਤੇ ਹੁਣ ਅਸੀਂ ਉਹਨਾਂ ਸੰਭਾਵਨਾਵਾਂ 'ਤੇ ਚਰਚਾ ਕਰਾਂਗੇ ਜੋ ਇਹਨਾਂ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਿੱਚ ਇੱਕ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਮਾਹਰ ਦੁਆਰਾ ਮਹਿਸੂਸ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ। elasticsearch ਵਿੱਚ ਕਿਹੜੇ ਲੌਗ ਸ਼ਾਮਲ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ ਅਤੇ ਕੀਤੇ ਜਾਣੇ ਚਾਹੀਦੇ ਹਨ। ਆਓ ਵਿਚਾਰ ਕਰੀਏ ਕਿ ਡੈਸ਼ਬੋਰਡ ਸਥਾਪਤ ਕਰਕੇ ਕਿਹੜੇ ਅੰਕੜੇ ਪ੍ਰਾਪਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ ਅਤੇ ਕੀ ਇਸ ਵਿੱਚ ਕੋਈ ਲਾਭ ਹੈ। ਮੈਂ ELK ਸਟੈਕ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੇ ਆਟੋਮੇਸ਼ਨ ਨੂੰ ਕਿਵੇਂ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹਾਂ। ਆਉ ਸਿਸਟਮ ਦਾ ਆਰਕੀਟੈਕਚਰ ਬਣਾਈਏ। ਸੰਖੇਪ ਵਿੱਚ, ਸਾਰੇ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਇੱਕ ਬਹੁਤ ਵੱਡਾ ਅਤੇ ਮੁਸ਼ਕਲ ਕੰਮ ਹੈ, ਇਸ ਲਈ ਹੱਲ ਨੂੰ ਇੱਕ ਵੱਖਰਾ ਨਾਮ ਦਿੱਤਾ ਗਿਆ ਸੀ - TS ਕੁੱਲ ਦ੍ਰਿਸ਼ਟੀ.

ਵਰਤਮਾਨ ਵਿੱਚ, ਇੱਕ ਲਾਜ਼ੀਕਲ ਸਥਾਨ ਵਿੱਚ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਨੂੰ ਇਕਸਾਰ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਵਾਲੇ ਹੱਲ ਪ੍ਰਸਿੱਧੀ ਪ੍ਰਾਪਤ ਕਰ ਰਹੇ ਹਨ, ਨਤੀਜੇ ਵਜੋਂ, ਇੱਕ ਮਾਹਰ ਨੂੰ ਅੰਕੜੇ ਪ੍ਰਾਪਤ ਹੁੰਦੇ ਹਨ ਅਤੇ ਇੱਕ ਸੰਸਥਾ ਵਿੱਚ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਦੀ ਸਥਿਤੀ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਲਈ ਕਾਰਵਾਈ ਲਈ ਇੱਕ ਮੋਰਚਾ ਪ੍ਰਾਪਤ ਹੁੰਦਾ ਹੈ। ਅਸੀਂ ELK ਸਟੈਕ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਆਪਣੇ ਆਪ ਨੂੰ ਅਜਿਹਾ ਕੰਮ ਸੈੱਟ ਕੀਤਾ ਹੈ, ਨਤੀਜੇ ਵਜੋਂ, ਅਸੀਂ 4 ਭਾਗਾਂ ਵਿੱਚ ਮੁੱਖ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਚੁਣਿਆ ਹੈ:

1. ਅੰਕੜੇ ਅਤੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ;
2. IS ਘਟਨਾ ਦਾ ਪਤਾ ਲਗਾਉਣਾ;
3. ਘਟਨਾਵਾਂ ਦੀ ਤਰਜੀਹ;
4. ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦਾ ਸਵੈਚਾਲਨ.

ਆਉ ਹਰ ਇੱਕ ਨੂੰ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਇੱਕ ਡੂੰਘੀ ਵਿਚਾਰ ਕਰੀਏ.

ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਘਟਨਾ ਖੋਜ

ਸਾਡੇ ਕੇਸ ਵਿੱਚ elasticsearch ਦੀ ਵਰਤੋਂ ਕਰਨ ਦਾ ਮੁੱਖ ਕੰਮ ਸਿਰਫ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਹੈ। ਤੁਸੀਂ ਸੁਰੱਖਿਆ ਦੇ ਕਿਸੇ ਵੀ ਸਾਧਨ ਤੋਂ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰ ਸਕਦੇ ਹੋ ਜੇਕਰ ਉਹ ਘੱਟੋ-ਘੱਟ ਕੁਝ ਲੌਗ ਟ੍ਰਾਂਸਫਰ ਮੋਡਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ, ਸਟੈਂਡਰਡ ਇੱਕ syslog ਜਾਂ scp ਇੱਕ ਫਾਈਲ ਵਿੱਚ ਸੇਵ ਕਰਨਾ ਹੈ।

ਤੁਸੀਂ ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਦੀਆਂ ਮਿਆਰੀ ਉਦਾਹਰਣਾਂ ਦੇ ਸਕਦੇ ਹੋ ਅਤੇ ਨਾ ਸਿਰਫ਼ ਤੁਹਾਨੂੰ ਲੌਗਸ ਨੂੰ ਅੱਗੇ ਭੇਜਣ ਦੀ ਸੰਰਚਨਾ ਕਿੱਥੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ:

1. ਕੋਈ ਵੀ NGFW ਫੰਡ (ਚੈੱਕ ਪੁਆਇੰਟ, ਫੋਰਟੀਨੇਟ);
2. ਕੋਈ ਵੀ ਕਮਜ਼ੋਰੀ ਸਕੈਨਰ (PT ਸਕੈਨਰ, ਓਪਨਵਾਸ);
3. ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (PTAF);
4. ਨੈੱਟਫਲੋ ਐਨਾਲਾਈਜ਼ਰ (ਫਲੋਮੋਨ, ਸਿਸਕੋ ਸਟੀਲਥਵਾਚ);
5. AD ਸਰਵਰ।

ਇੱਕ ਵਾਰ ਜਦੋਂ ਤੁਸੀਂ ਲੌਗਸ ਅਤੇ ਕੌਂਫਿਗਰੇਸ਼ਨ ਫਾਈਲਾਂ ਭੇਜਣ ਲਈ ਲੌਗਸਟੈਸ਼ ਸੈਟ ਅਪ ਕਰ ਲੈਂਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਵੱਖ-ਵੱਖ ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਤੋਂ ਆਉਣ ਵਾਲੀਆਂ ਘਟਨਾਵਾਂ ਨਾਲ ਸਬੰਧ ਅਤੇ ਤੁਲਨਾ ਕਰ ਸਕਦੇ ਹੋ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਸੂਚਕਾਂਕ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਸੁਵਿਧਾਜਨਕ ਹੈ, ਜਿਸ ਵਿੱਚ ਅਸੀਂ ਕਿਸੇ ਖਾਸ ਡਿਵਾਈਸ ਨਾਲ ਸੰਬੰਧਿਤ ਸਾਰੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਸਟੋਰ ਕਰਾਂਗੇ. ਦੂਜੇ ਸ਼ਬਦਾਂ ਵਿੱਚ, ਇੱਕ ਸੂਚਕਾਂਕ ਇੱਕ ਡਿਵਾਈਸ ਲਈ ਸਾਰੀਆਂ ਘਟਨਾਵਾਂ ਹਨ। ਇਸ ਵੰਡ ਨੂੰ ਦੋ ਤਰੀਕਿਆਂ ਨਾਲ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਪਹਿਲਾ ਵਿਕਲਪ Logstash ਸੰਰਚਨਾ ਨੂੰ ਸੰਰਚਿਤ ਕਰਨਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਕੁਝ ਖੇਤਰਾਂ ਲਈ ਲੌਗ ਨੂੰ ਇੱਕ ਵੱਖਰੀ ਕਿਸਮ ਦੇ ਨਾਲ ਇੱਕ ਵੱਖਰੀ ਯੂਨਿਟ ਵਿੱਚ ਡੁਪਲੀਕੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਅਤੇ ਫਿਰ ਬਾਅਦ ਵਿੱਚ ਇਸ ਕਿਸਮ ਦੀ ਵਰਤੋਂ ਕਰੋ. ਉਦਾਹਰਨ ਚੈਕ ਪੁਆਇੰਟ ਫਾਇਰਵਾਲ ਦੇ IPS ਬਲੇਡ ਤੋਂ ਲੌਗ ਕਲੋਨ ਕਰਦਾ ਹੈ।

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

ਅਜਿਹੇ ਇਵੈਂਟਸ ਨੂੰ ਲੌਗਸ ਦੇ ਖੇਤਰਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ ਇੱਕ ਵੱਖਰੇ ਇੰਡੈਕਸ ਵਿੱਚ ਸਟੋਰ ਕਰਨ ਲਈ, ਉਦਾਹਰਨ ਲਈ, ਜਿਵੇਂ ਕਿ ਹਮਲੇ ਦੇ ਦਸਤਖਤ ਦਾ ਟਿਕਾਣਾ ਆਈ.ਪੀ. ਤੁਸੀਂ ਇੱਕ ਸਮਾਨ ਉਸਾਰੀ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

ਅਤੇ ਇਸ ਤਰੀਕੇ ਨਾਲ, ਤੁਸੀਂ ਸਾਰੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਸੂਚਕਾਂਕ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕਰ ਸਕਦੇ ਹੋ, ਉਦਾਹਰਨ ਲਈ, IP ਐਡਰੈੱਸ ਦੁਆਰਾ, ਜਾਂ ਮਸ਼ੀਨ ਦੇ ਡੋਮੇਨ ਨਾਮ ਦੁਆਰਾ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਅਸੀਂ ਸੂਚਕਾਂਕ ਵਿੱਚ ਸਟੋਰ ਕਰਦੇ ਹਾਂ "smartdefense-%{dst}", ਦਸਤਖਤ ਮੰਜ਼ਿਲ ਦੇ IP ਪਤੇ ਦੁਆਰਾ।

ਹਾਲਾਂਕਿ, ਵੱਖ-ਵੱਖ ਉਤਪਾਦਾਂ ਦੇ ਵੱਖ-ਵੱਖ ਲੌਗ ਖੇਤਰ ਹੋਣਗੇ, ਨਤੀਜੇ ਵਜੋਂ ਹਫੜਾ-ਦਫੜੀ ਅਤੇ ਬਰਬਾਦ ਮੈਮੋਰੀ ਹੋਵੇਗੀ। ਅਤੇ ਇੱਥੇ ਲੌਗਸਟੈਸ਼ ਸੰਰਚਨਾ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਪੂਰਵ-ਡਿਜ਼ਾਈਨ ਕੀਤੇ ਖੇਤਰਾਂ ਨਾਲ ਧਿਆਨ ਨਾਲ ਬਦਲਣਾ ਜ਼ਰੂਰੀ ਹੋਵੇਗਾ, ਜੋ ਕਿ ਸਾਰੀਆਂ ਕਿਸਮਾਂ ਦੀਆਂ ਘਟਨਾਵਾਂ ਲਈ ਇੱਕੋ ਜਿਹਾ ਹੋਵੇਗਾ, ਜੋ ਕਿ ਇੱਕ ਮੁਸ਼ਕਲ ਕੰਮ ਵੀ ਹੈ।

ਦੂਜਾ ਲਾਗੂ ਕਰਨ ਦਾ ਵਿਕਲਪ - ਇਹ ਇੱਕ ਸਕ੍ਰਿਪਟ ਜਾਂ ਪ੍ਰਕਿਰਿਆ ਲਿਖ ਰਹੀ ਹੈ ਜੋ ਰੀਅਲ ਟਾਈਮ ਵਿੱਚ ਲਚਕੀਲੇ ਅਧਾਰ ਤੱਕ ਪਹੁੰਚ ਕਰੇਗੀ, ਲੋੜੀਂਦੀਆਂ ਘਟਨਾਵਾਂ ਨੂੰ ਬਾਹਰ ਕੱਢੇਗੀ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਨਵੇਂ ਸੂਚਕਾਂਕ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕਰੇਗੀ, ਇਹ ਇੱਕ ਮੁਸ਼ਕਲ ਕੰਮ ਹੈ, ਪਰ ਇਹ ਤੁਹਾਨੂੰ ਲੌਗਸ ਨਾਲ ਕੰਮ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਜਿਵੇਂ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਹੋ , ਅਤੇ ਦੂਜੇ ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਦੀਆਂ ਘਟਨਾਵਾਂ ਨਾਲ ਸਿੱਧਾ ਸਬੰਧ ਰੱਖਦੇ ਹਨ। ਇਹ ਵਿਕਲਪ ਤੁਹਾਨੂੰ ਵੱਧ ਤੋਂ ਵੱਧ ਲਚਕਤਾ ਦੇ ਨਾਲ ਤੁਹਾਡੇ ਕੇਸ ਲਈ ਜਿੰਨਾ ਸੰਭਵ ਹੋ ਸਕੇ ਲੌਗਸ ਨਾਲ ਕੰਮ ਨੂੰ ਅਨੁਕੂਲਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਪਰ ਇੱਥੇ ਇੱਕ ਮਾਹਰ ਲੱਭਣ ਵਿੱਚ ਸਮੱਸਿਆ ਹੈ ਜੋ ਇਸਨੂੰ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ।

ਅਤੇ, ਬੇਸ਼ਕ, ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਸਵਾਲ ਕੀ ਸੰਬੰਧਤ ਅਤੇ ਖੋਜਿਆ ਜਾ ਸਕਦਾ ਹੈ?

ਇੱਥੇ ਕਈ ਵਿਕਲਪ ਹੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਤੁਹਾਡੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਕਿਹੜੇ ਸੁਰੱਖਿਆ ਸਾਧਨ ਵਰਤੇ ਜਾਂਦੇ ਹਨ, ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ, ਕੁਝ ਉਦਾਹਰਣਾਂ:

1. ਸਭ ਤੋਂ ਸਪੱਸ਼ਟ ਅਤੇ ਮੇਰੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਉਹਨਾਂ ਲਈ ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਵਿਕਲਪ ਜਿਨ੍ਹਾਂ ਕੋਲ ਇੱਕ NGFW ਹੱਲ ਹੈ ਅਤੇ ਇੱਕ ਕਮਜ਼ੋਰੀ ਸਕੈਨਰ ਹੈ. ਇਹ IPS ਲੌਗਸ ਅਤੇ ਕਮਜ਼ੋਰੀ ਸਕੈਨ ਨਤੀਜਿਆਂ ਦੀ ਤੁਲਨਾ ਹੈ। ਜੇਕਰ ਆਈਪੀਐਸ ਸਿਸਟਮ ਦੁਆਰਾ ਇੱਕ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ (ਬਲਾਕ ਨਹੀਂ ਕੀਤਾ ਗਿਆ) ਅਤੇ ਸਕੈਨ ਦੇ ਨਤੀਜਿਆਂ ਦੇ ਆਧਾਰ 'ਤੇ ਇਸ ਕਮਜ਼ੋਰੀ ਨੂੰ ਅੰਤ ਵਾਲੀ ਮਸ਼ੀਨ 'ਤੇ ਬੰਦ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ, ਤਾਂ ਸਾਰੀਆਂ ਪਾਈਪਾਂ ਨੂੰ ਉਡਾਉਣ ਦੀ ਲੋੜ ਹੈ, ਕਿਉਂਕਿ ਇੱਕ ਉੱਚ ਸੰਭਾਵਨਾ ਹੈ ਕਿ ਕਮਜ਼ੋਰੀ ਸੀ. ਸ਼ੋਸ਼ਣ ਕੀਤਾ.
2. ਇੱਕ ਮਸ਼ੀਨ ਤੋਂ ਵੱਖ-ਵੱਖ ਥਾਵਾਂ 'ਤੇ ਕਈ ਲੌਗਇਨ ਕੋਸ਼ਿਸ਼ਾਂ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਦਾ ਪ੍ਰਤੀਕ ਹੋ ਸਕਦੀਆਂ ਹਨ।
3. ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਖਤਰਨਾਕ ਸਾਈਟਾਂ ਦੀ ਇੱਕ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਜਾਣ ਕਾਰਨ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਵਾਇਰਸ ਫਾਈਲਾਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨਾ।

ਅੰਕੜੇ ਅਤੇ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ

ELK ਸਟੈਕ ਦਾ ਸਭ ਤੋਂ ਸਪੱਸ਼ਟ ਅਤੇ ਸਮਝਣ ਯੋਗ ਉਦੇਸ਼ ਲੌਗਸ ਦੀ ਸਟੋਰੇਜ ਅਤੇ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਹੈ, ਪਿਛਲੇ ਲੇਖਾਂ ਵਿੱਚ ਇਹ ਦਿਖਾਇਆ ਗਿਆ ਸੀ ਕਿ ਤੁਸੀਂ Logstash ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਵੱਖ-ਵੱਖ ਡਿਵਾਈਸਾਂ ਤੋਂ ਲੌਗ ਕਿਵੇਂ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ। ਲੌਗਸ Elasticsearch 'ਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਤੁਸੀਂ ਡੈਸ਼ਬੋਰਡ ਸੈਟ ਕਰ ਸਕਦੇ ਹੋ, ਜਿਨ੍ਹਾਂ ਦਾ ਜ਼ਿਕਰ ਵੀ ਕੀਤਾ ਗਿਆ ਸੀ ਪਿਛਲੇ ਲੇਖਾਂ ਵਿੱਚ, ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਦੁਆਰਾ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਅਤੇ ਅੰਕੜਿਆਂ ਦੇ ਨਾਲ।

ਉਦਾਹਰਣ:

1. ਸਭ ਤੋਂ ਨਾਜ਼ੁਕ ਘਟਨਾਵਾਂ ਦੇ ਨਾਲ ਧਮਕੀ ਰੋਕਥਾਮ ਇਵੈਂਟਾਂ ਦਾ ਡੈਸ਼ਬੋਰਡ। ਇੱਥੇ ਤੁਸੀਂ ਦਰਸਾ ਸਕਦੇ ਹੋ ਕਿ ਕਿਹੜੇ IPS ਦਸਤਖਤ ਖੋਜੇ ਗਏ ਸਨ, ਉਹ ਭੂਗੋਲਿਕ ਤੌਰ 'ਤੇ ਕਿੱਥੋਂ ਆਉਂਦੇ ਹਨ।

   

2. ਸਭ ਤੋਂ ਨਾਜ਼ੁਕ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ 'ਤੇ ਡੈਸ਼ਬੋਰਡ ਜਿਸ ਲਈ ਜਾਣਕਾਰੀ ਲੀਕ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

   

3. ਕਿਸੇ ਵੀ ਸੁਰੱਖਿਆ ਸਕੈਨਰ ਤੋਂ ਸਕੈਨ ਨਤੀਜੇ।

   

4. ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਕਿਰਿਆਸ਼ੀਲ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਲੌਗਸ।

   

5. VPN ਕਨੈਕਸ਼ਨ ਡੈਸ਼ਬੋਰਡ।

ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਜੇਕਰ ਤੁਸੀਂ ਹਰ ਕੁਝ ਸਕਿੰਟਾਂ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਲਈ ਡੈਸ਼ਬੋਰਡ ਸੈਟ ਕਰਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਰੀਅਲ ਟਾਈਮ ਵਿੱਚ ਘਟਨਾਵਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਇੱਕ ਕਾਫ਼ੀ ਸੁਵਿਧਾਜਨਕ ਸਿਸਟਮ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ, ਜਿਸਦੀ ਵਰਤੋਂ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਦਾ ਜਵਾਬ ਦੇਣ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ 'ਤੇ ਡੈਸ਼ਬੋਰਡ ਪਾਉਂਦੇ ਹੋ। ਵੱਖਰੀ ਸਕਰੀਨ।

ਘਟਨਾ ਦੀ ਤਰਜੀਹ

ਇੱਕ ਵੱਡੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀਆਂ ਸਥਿਤੀਆਂ ਵਿੱਚ, ਘਟਨਾਵਾਂ ਦੀ ਗਿਣਤੀ ਘੱਟ ਸਕਦੀ ਹੈ, ਅਤੇ ਮਾਹਿਰਾਂ ਕੋਲ ਸਮੇਂ ਵਿੱਚ ਸਾਰੀਆਂ ਘਟਨਾਵਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦਾ ਸਮਾਂ ਨਹੀਂ ਹੋਵੇਗਾ. ਇਸ ਮਾਮਲੇ ਵਿੱਚ, ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਸਿਰਫ ਉਹਨਾਂ ਘਟਨਾਵਾਂ ਨੂੰ ਵੱਖਰਾ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ ਜੋ ਇੱਕ ਵੱਡਾ ਖ਼ਤਰਾ ਹਨ. ਇਸ ਲਈ, ਸਿਸਟਮ ਨੂੰ ਤੁਹਾਡੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਸਬੰਧ ਵਿੱਚ ਉਹਨਾਂ ਦੀ ਗੰਭੀਰਤਾ ਦੇ ਅਨੁਸਾਰ ਘਟਨਾਵਾਂ ਨੂੰ ਤਰਜੀਹ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ। ਇਹਨਾਂ ਸਮਾਗਮਾਂ ਦੀ ਮੇਲ ਜਾਂ ਟੈਲੀਗ੍ਰਾਮ ਵਿੱਚ ਇੱਕ ਨੋਟੀਫਿਕੇਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਸਥਾਪਤ ਕਰਕੇ, ਰੈਗੂਲਰ ਕਿਬਾਨਾ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਤਰਜੀਹ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਪਰ ਇੱਕ ਨੋਟੀਫਿਕੇਸ਼ਨ ਦੇ ਨਾਲ ਇਹ ਔਖਾ ਹੈ, ਮੂਲ ਰੂਪ ਵਿੱਚ ਇਹ ਕਾਰਜਕੁਸ਼ਲਤਾ Elasticsearch ਦੇ ਮੂਲ ਸੰਸਕਰਣ ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ ਹੈ, ਸਿਰਫ ਅਦਾਇਗੀ ਸੰਸਕਰਣ ਵਿੱਚ. ਇਸ ਲਈ, ਜਾਂ ਤਾਂ ਇੱਕ ਅਦਾਇਗੀ ਸੰਸਕਰਣ ਖਰੀਦੋ, ਜਾਂ, ਦੁਬਾਰਾ, ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਆਪਣੇ ਆਪ ਲਿਖੋ ਜੋ ਮੇਲ ਜਾਂ ਟੈਲੀਗ੍ਰਾਮ ਦੁਆਰਾ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਮਾਹਰਾਂ ਨੂੰ ਸੂਚਿਤ ਕਰੇਗੀ.

ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦਾ ਸਵੈਚਾਲਨ

ਅਤੇ ਸਭ ਤੋਂ ਦਿਲਚਸਪ ਭਾਗਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਲਈ ਕਾਰਵਾਈਆਂ ਦਾ ਸਵੈਚਾਲਨ. ਪਹਿਲਾਂ, ਅਸੀਂ ਸਪਲੰਕ ਲਈ ਇਸ ਕਾਰਜਸ਼ੀਲਤਾ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਸੀ, ਤੁਸੀਂ ਇਸ ਵਿੱਚ ਥੋੜਾ ਹੋਰ ਪੜ੍ਹ ਸਕਦੇ ਹੋ ਲੇਖ. ਮੂਲ ਵਿਚਾਰ ਇਹ ਹੈ ਕਿ IPS ਨੀਤੀ ਨੂੰ ਕਦੇ ਵੀ ਪਰਖਿਆ ਜਾਂ ਅਨੁਕੂਲਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਹਾਲਾਂਕਿ ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ ਇਹ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦਾ ਇੱਕ ਜ਼ਰੂਰੀ ਹਿੱਸਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, NGFW ਦੇ ਲਾਗੂ ਹੋਣ ਤੋਂ ਇੱਕ ਸਾਲ ਬਾਅਦ ਅਤੇ IPS ਨੂੰ ਅਨੁਕੂਲ ਬਣਾਉਣ ਲਈ ਕਾਰਵਾਈਆਂ ਦੀ ਅਣਹੋਂਦ ਦੇ ਬਾਅਦ, ਤੁਸੀਂ ਖੋਜ ਕਾਰਵਾਈ ਦੇ ਨਾਲ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਦਸਤਖਤ ਇਕੱਠੇ ਕਰੋਗੇ ਜੋ ਬਲੌਕ ਨਹੀਂ ਕੀਤੇ ਜਾਣਗੇ, ਜੋ ਸੰਗਠਨ ਵਿੱਚ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਦੀ ਸਥਿਤੀ ਨੂੰ ਬਹੁਤ ਘਟਾਉਂਦਾ ਹੈ। ਇੱਥੇ ਕੁਝ ਉਦਾਹਰਨਾਂ ਹਨ ਜੋ ਸਵੈਚਲਿਤ ਹੋ ਸਕਦੀਆਂ ਹਨ:

1. IPS ਦਸਤਖਤ ਨੂੰ ਖੋਜ ਤੋਂ ਰੋਕਥਾਮ ਲਈ ਬਦਲਣਾ। ਜੇਕਰ ਰੋਕਥਾਮ ਨਾਜ਼ੁਕ ਦਸਤਖਤਾਂ 'ਤੇ ਕੰਮ ਨਹੀਂ ਕਰਦੀ ਹੈ, ਤਾਂ ਇਹ ਆਰਡਰ ਤੋਂ ਬਾਹਰ ਹੈ, ਅਤੇ ਸੁਰੱਖਿਆ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਇੱਕ ਗੰਭੀਰ ਉਲੰਘਣਾ ਹੈ। ਅਸੀਂ ਨੀਤੀ ਵਿੱਚ ਕਾਰਵਾਈ ਨੂੰ ਅਜਿਹੇ ਦਸਤਖਤਾਂ ਵਿੱਚ ਬਦਲਦੇ ਹਾਂ। ਇਹ ਕਾਰਜਕੁਸ਼ਲਤਾ ਲਾਗੂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜੇਕਰ NGFW ਡਿਵਾਈਸ ਵਿੱਚ REST API ਕਾਰਜਕੁਸ਼ਲਤਾ ਹੈ। ਇਹ ਕੇਵਲ ਤਾਂ ਹੀ ਸੰਭਵ ਹੈ ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਪ੍ਰੋਗਰਾਮਿੰਗ ਹੁਨਰ ਹਨ, ਤੁਹਾਨੂੰ Elastcisearch ਤੋਂ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਕੱਢਣ ਅਤੇ NGFW ਕੰਟਰੋਲ ਸਰਵਰ ਨੂੰ API ਬੇਨਤੀਆਂ ਨੂੰ ਚਲਾਉਣ ਦੀ ਲੋੜ ਹੈ।
2. ਜੇਕਰ ਇੱਕ IP ਐਡਰੈੱਸ ਤੋਂ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਬਹੁਤ ਸਾਰੇ ਦਸਤਖਤ ਖੋਜੇ ਗਏ ਜਾਂ ਬਲੌਕ ਕੀਤੇ ਗਏ ਹਨ, ਤਾਂ ਫਾਇਰਵਾਲ ਨੀਤੀ ਵਿੱਚ ਕੁਝ ਸਮੇਂ ਲਈ ਇਸ IP ਪਤੇ ਨੂੰ ਬਲੌਕ ਕਰਨਾ ਸਮਝਦਾਰ ਹੈ। ਲਾਗੂ ਕਰਨ ਵਿੱਚ REST API ਦੀ ਵਰਤੋਂ ਵੀ ਸ਼ਾਮਲ ਹੈ।
3. ਇੱਕ ਕਮਜ਼ੋਰੀ ਸਕੈਨਰ ਨਾਲ ਇੱਕ ਹੋਸਟ ਸਕੈਨ ਲਾਂਚ ਕਰੋ ਜੇਕਰ ਇਸ ਹੋਸਟ ਕੋਲ IPS ਜਾਂ ਹੋਰ ਸੁਰੱਖਿਆ ਸਾਧਨਾਂ ਲਈ ਵੱਡੀ ਗਿਣਤੀ ਵਿੱਚ ਦਸਤਖਤ ਹਨ, ਜੇਕਰ ਇਹ OpenVas ਹੈ, ਤਾਂ ਤੁਸੀਂ ਇੱਕ ਸਕ੍ਰਿਪਟ ਲਿਖ ਸਕਦੇ ਹੋ ਜੋ ssh ਦੁਆਰਾ ਸੁਰੱਖਿਆ ਸਕੈਨਰ ਨਾਲ ਜੁੜ ਜਾਵੇਗੀ ਅਤੇ ਸਕੈਨ ਨੂੰ ਚਲਾਏਗੀ।

TS ਕੁੱਲ ਦ੍ਰਿਸ਼ਟੀ

ਸੰਖੇਪ ਵਿੱਚ, ਸਾਰੀਆਂ ਕਾਰਜਸ਼ੀਲਤਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਇੱਕ ਬਹੁਤ ਵੱਡਾ ਅਤੇ ਮੁਸ਼ਕਲ ਕੰਮ ਹੈ। ਪ੍ਰੋਗਰਾਮਿੰਗ ਹੁਨਰ ਦੇ ਬਿਨਾਂ, ਤੁਸੀਂ ਘੱਟੋ-ਘੱਟ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਸੈੱਟ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਉਤਪਾਦਕਤਾ ਵਿੱਚ ਵਰਤੋਂ ਲਈ ਕਾਫ਼ੀ ਹੋ ਸਕਦੀ ਹੈ। ਪਰ ਜੇ ਤੁਸੀਂ ਸਾਰੀਆਂ ਕਾਰਜਕੁਸ਼ਲਤਾਵਾਂ ਵਿੱਚ ਦਿਲਚਸਪੀ ਰੱਖਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ TS ਕੁੱਲ ਦ੍ਰਿਸ਼ਟੀ ਵੱਲ ਧਿਆਨ ਦੇ ਸਕਦੇ ਹੋ. ਤੁਸੀਂ ਸਾਡੇ 'ਤੇ ਹੋਰ ਵੇਰਵੇ ਲੱਭ ਸਕਦੇ ਹੋ ਸਾਈਟ. ਨਤੀਜੇ ਵਜੋਂ, ਕੰਮ ਅਤੇ ਆਰਕੀਟੈਕਚਰ ਦੀ ਪੂਰੀ ਯੋਜਨਾ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦੇਵੇਗੀ:

ਸਿੱਟਾ

ਅਸੀਂ ਦੇਖਿਆ ਕਿ ELK ਸਟੈਕ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਅਗਲੇ ਲੇਖਾਂ ਵਿੱਚ, ਅਸੀਂ ਵੱਖਰੇ ਤੌਰ 'ਤੇ TS ਕੁੱਲ ਦ੍ਰਿਸ਼ਟੀ ਦੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਬਾਰੇ ਹੋਰ ਵਿਸਥਾਰ ਵਿੱਚ ਵਿਚਾਰ ਕਰਾਂਗੇ!

ਇਸ ਲਈ ਜੁੜੇ ਰਹੋਤਾਰ, ਫੇਸਬੁੱਕ, VK, TS ਹੱਲ ਬਲੌਗ), Yandex.Zen.

ਸਰੋਤ: www.habr.com