Este post descreverá a configuração da visualização de painéis de controle ELK e SIEM no ELK
O artigo está dividido nas seguintes seções:
1- Visão Geral do ELK SIEM
2- Painéis Padrão
3- Criando seus primeiros painéis
Sumário de todas as postagens.
- Integração com WAZUH
- Alertas (Alerting)
- Relatórios
- Gestão de Casos
1- Visão Geral do ELK SIEM
O ELK SIEM foi recentemente adicionado à pilha elk na versão 7.2 de 25 de junho de 2019.
Esta solução SIEM foi criada pela elastic.co para facilitar a vida do analista de segurança, tornando-a muito mais simples e menos cansativa.
Na nossa versão de trabalho, decidimos criar nosso próprio SIEM e escolher nosso próprio painel de controle.
Mas consideramos importante primeiro estudar o ELK SIEM.
1.1- Seção de Eventos do Host
Primeiro, vamos olhar a seção do host. A seção do host permitirá que você veja eventos que estão sendo gerados no próprio endpoint.
Após clicar em visualizar hosts, você deve obter algo como isto. Como você pode ver, três hosts estão conectados a este computador:
1 Windows 10.
2 Servidor Ubuntu 18.04.
Temos várias visualizações exibidas, cada uma mostrando diferentes tipos de eventos.
Por exemplo, a que está no meio mostra dados de logins em todas as três máquinas.
Este volume de dados que você vê aqui foi coletado ao longo de cinco dias. Isso explica o grande número de tentativas de login bem-sucedidas e malsucedidas. Você provavelmente terá um pequeno número de logs, então não se preocupe.
1.2- Seção de Eventos de Rede
Ao passar para a seção de rede, você deve obter algo como isto. Esta seção permitirá monitorar de perto tudo o que acontece na sua rede, desde tráfego HTTP/TLS até tráfego DNS e alertas externos sobre eventos.
2- Painéis Padrão
Para facilitar a vida dos usuários, os desenvolvedores da elastic.co criaram um painel padrão, oficialmente suportado pelo ELK. Nossos bits não foram uma exceção a esta regra. Aqui, eu tomarei o painel de monitoramento Packetbeat como exemplo.
Se você seguiu corretamente a etapa do segundo artigo, deve ter um painel configurado esperando por você. Então, vamos lá.
Na aba esquerda do Kibana, selecione o símbolo do painel. Este é o terceiro, contando de cima.
Insira o nome do fragmento na aba de busca
Se houver vários módulos na versão. Um painel de controle será criado para cada um deles. Mas apenas aquele com o módulo ativo exibirá dados não vazios.
Selecione aquele que possui o nome do seu módulo.
Este é o template principal PacketBeat.
Este é o painel de controle dos fluxos de rede. Ele nos informará sobre pacotes de entrada e saída, fontes e destinos de endereços IP, além de fornecer muitas informações úteis para o analista do centro de segurança.
3 — Criando seus primeiros dashboards
3–1- Conceitos básicos
A- Tipos de dashboards:
São diferentes tipos de visualizações que você pode usar para visualizar seus dados.
por exemplo, temos:
- Histograma
- Mapa
- Widget Markdown
- Gráfico de pizza
B- KQL (Kibana Query Language):
Esta é a linguagem usada no Kibana para facilitara busca em dados. Isso permite que você verifique se certos dados existem e muitas outras funções úteis. Para saber mais, você pode estudar as informações através deste link
Este é um exemplo de consulta para buscar um host com o sistema Windows 10 Pro.
C- Filtros:
Essa função permitirá que você filtre certos parâmetros, como nome do host, código ou identificador de evento, etc. Os filtros melhoram significativamente a fase de investigação em termos de tempo e esforço gastos na busca por evidências.
D- Primeira visualização:
Vamos criar uma visualização para MITER ATT & CK.
Primeiro, precisamos acessar Dashboard → Criar novo dashboard → criar novo → Gráfico de pizza
Defina o tipo para o padrão de índice e, em seguida, toque no nome do seu bit.
Pressione Enter. Neste ponto, você deve ver um donut verde.
Na aba Buckets à esquerda, você encontrará:
— Split slices dividirá o donut em partes diferentes com base na dispersão dos dados.
— Split Chart criará outro donut ao lado deste.
Usaremos slices divididos.
Vamos visualizar nossos dados com base no termo que escolhemos. Neste caso, o termo se referirá a MITER ATT & CK.
No Winlogbeat, o campo que nos fornecerá essa informação é chamado:
winlog.event_data.RuleNameDefiniremos a métrica de contagem para ordenar os eventos com base em quantas vezes eles aparecem.
Ative a função 'Agrupar outros valores em um segmento separado'.
Isso será útil se os termos que você escolher tiverem muitos significados diferentes que derivam do ritmo. Isso ajuda a visualizar os outros dados como um todo. Isso lhe dará uma ideia da porcentagem dos outros eventos.
Agora que terminamos de configurar a guia de dados, vamos para a guia de opções.
Você deve fazer o seguinte:
** Remova a forma de rosquinha para que um círculo completo apareça na visualização.
** Escolha a posição da legenda que você prefere. Neste caso, vamos exibi-las à direita.
** Defina os valores de exibição para que eles sejam exibidos ao lado de seu fragmento para facilitar a leitura, enquanto os outros deixarão como padrão.
O truncamento determina quanto você deseja exibir do nome do evento.
Defina o tempo a partir do qual a visualização deve começar e, em seguida, clique no quadrado azul.
Você deve obter algo assim:
Você também pode adicionar um filtro à sua visualização para filtrar um determinado host que deseja verificar ou quaisquer parâmetros que você achar úteis para seu objetivo. A visualização exibirá apenas os dados que correspondem à regra que foi colocada no filtro. Neste caso, iremos exibir dados do MITER ATT & CK, provenientes apenas do host chamado win10.
3–2- Criando seu primeiro painel:
Um painel é um conjunto de várias visualizações. Seus painéis devem ser claros, compreensíveis e conter dados úteis e determinísticos. Aqui está um exemplo de painéis que criamos do zero para winlogbeat.
Obrigado pelo seu tempo. Espero que este artigo tenha sido útil. Se você quiser mais informações sobre o assunto, recomendamos que visite .
O chat do Telegram sobre Elasticsearch:
Fonte: habr.com
