O lenei pou o le a faʻamatalaina le faʻatulagaina o ata o ELK ma SIEM dashboards i ELK
Ua vaevaeina le tusiga i vaega nei:
1- Iloiloga ELK SIEM
2- Dashboards masani
3- Fausia lau lisi muamua
Lisi o anotusi o pou uma.
- Fa'atasi ma WAZUH
- Fa'ailoa
- Lipoti
- Faʻataʻitaʻiga o Tulaga
1-ELK SIEM Iloiloga
ELK SIEM na faʻaopoopo talu ai nei i le elk stack i le version 7.2 ia Iuni 25, 2019.
Ole vaifofo lea a le SIEM na faia e le elastic.co e fa'afaigofie ai le olaga ole tagata su'esu'e saogalemu ma fa'aitiitia le fiu.
I la matou lomiga o le galuega, na matou filifili e fai a matou lava SIEM ma filifili la matou lava vaega e pulea.
Ae matou te manatu e taua le suʻesuʻeina muamua o le ELK SIEM.
1.1- Vaega e talimalo i mea fai
O le a tatou vaʻavaʻai i le vaega talimalo muamua. O le vaega talimalo o le a faʻatagaina oe e vaʻai i mea na tutupu e faʻatupuina i le pito lava ia.
A maeʻa ona kiliki ile vaʻaiga talimalo e tatau ona e maua se mea faʻapenei. E pei ona e vaʻaia, e tolu 'au e fesoʻotaʻi i lenei komepiuta:
1 Pupuni 10.
2 Ubuntu Server 18.04.
E tele a matou fa'aaliga fa'aalia, o lo'o fa'atusalia ituaiga eseese o mea na tutupu.
Mo se faʻataʻitaʻiga, o le tasi o loʻo i le ogatotonu o loʻo faʻaalia faʻamatalaga saini i luga o masini uma e tolu.
O le aofa'i o fa'amatalaga e te va'ai i'i na aoina i le lima aso. O lo'o fa'amatalaina ai le tele o fa'ailoga ua le manuia ma manuia. Atonu o le a iai sau numera itiiti o ogalaau, aua le popole
1.2- Vaega o mea fai feso'ota'iga
O le agai atu i le vaega o fesoʻotaʻiga, e tatau ona e mauaina se mea faʻapenei. O lenei vaega o le a faʻatagaina oe e vaʻavaʻai totoʻa i mea uma e tutupu i luga o lau fesoʻotaʻiga, mai le HTTP / TLS fefaʻatauaʻiga i le DNS fefaʻatauaiga ma faʻasalalauga fafo.
2- Dashboards masani
Ina ia faʻafaigofie le olaga mo tagata faʻaoga, elastic.co developers ua fatuina se meafaigaluega faʻaletonu e lagolagoina aloaia e ELK. O a matou pa'u sa le'i tu'ua'i i lea tulafono. O iinei o le a ou faʻaogaina ai lisi faʻaletonu a le Packetbeat e fai ma faʻataʻitaʻiga.
Afai na e mulimulitaia sa'o le laasaga lona lua o le tusiga. E tatau ona iai sau mea faigaluega e fa'atali mo oe. Ia tatou amata la.
Mai le itu tauagavale o Kibana, filifili le fa'ailoga dashboard. O le lona tolu lea, pe a e faitau mai luga.
Ulufale le igoa fa'asoa i le lisi su'esu'e
Afai e tele modules i totonu o le bit. O le a faia se vaega e pulea mo i latou taitoatasi. Ae na'o le tasi o lo'o fa'agaoioia le module o le a fa'aalia fa'amaumauga e le o gaogao.
Filifili le tasi ma lou igoa module.
O le mamanu autu lea PacketBeat.
O le vaega lea e pulea le tafega o feso'otaiga. O le a taʻu mai ia i matou e uiga i le ulufale mai ma le alu ese, o punaoa ma taunuuga o tuatusi IP, ma maua ai foi le tele o faʻamatalaga aoga mo se tagata suʻesuʻe nofoaga tutotonu.
3 — Fausia lau lisi muamua
3–1- Manatu Autu
A- Ituaiga o dashboards:
O ituaiga eseese ia o faʻaaliga e mafai ona e faʻaogaina e vaʻaia ai au faʻamatalaga.
mo se faʻataʻitaʻiga ua tatou maua:
- kalafi kalafi
- faafanua
- Fa'ailoga widget
- Siata pai
B- KQL (Kibana Query Language):
Ole gagana lea e fa'aoga ile Kibana mo le su'esu'eina faigofie o fa'amaumauga. E fa'atagaina oe e siaki pe iai ni fa'amatalaga patino ma le tele o isi mea aoga. Mo nisi fa'amatalaga, e mafai ona e su'esu'eina fa'amatalaga i lenei so'oga
Ole fa'ata'ita'iga lea ole fa'ata'ita'iga e su'e ai se tagata talimalo e tamo'e Windows 10 pro.
C- Filifiliga:
O lenei vaega o le a faʻatagaina oe e faʻamalo nisi faʻamaufaʻailoga e pei o le igoa talimalo, faʻasologa o mea na tutupu poʻo le ID, ma isi. Filters o le a faʻaleleia atili le vaega o suʻesuʻega e tusa ai ma le taimi ma taumafaiga faʻaalu e suʻe ai faʻamaoniga.
D- Fa'aaliga muamua:
Se'i fai se fa'aaliga mo MITER ATT & CK.
Muamua e tatau ona tatou alu i Dashboard → Fausia dashboard fou → fatu fou → Pie dashboard
Seti le ituaiga mo le mamanu faasino igoa, ona ta'i lea o le igoa o lau pa'o.
Oomi le Ulufale. I le taimi nei e tatau ona e vaʻai i se donut lanu meamata.
I le Buckets tab i le agavale o le ae maua ai:
- Vaelua fasi pepa o le a vaevae le donut i vaega eseese e fuafua i le salalau o faʻamatalaga.
- Split Chart o le a faia ai se isi donut i tafatafa o le tasi.
O le a matou faʻaaogaina fasi pepa vaelua.
O le a matou vaʻaia a matou faʻamatalaga e faʻatatau i le faaupuga matou te filifilia. I lenei tulaga o le faaupuga o le a faasino ile MITER ATT & CK.
I Winlogbeat, o le fanua o le a tuʻuina mai ia i matou lenei faʻamatalaga e taʻua:
winlog.event_data.RuleNameO le a matou fa'atulaga se fua fa'atatau e fa'atonu mea tutupu e fa'atatau i le aofa'i o taimi e tutupu ai.
Faʻaaga le faʻaaliga "Vaega isi tulaga taua i se vaega eseʻese".
O le a aoga pe afai o faaupuga e te filifilia e tele uiga eseese e fa'atatau i le pao. E fesoasoani lea e va'ava'ai i isi fa'amaumauga atoa. O le a avatu ia te oe se manatu i le pasene o mea o totoe.
O lea la ua mae'a ona fa'atulaga le fa'amaumauga o fa'amaumauga, se'i o tatou aga'i atu i le lisi o filifiliga
E tatau ona e faia mea nei:
** Aveese le foliga o le donut ina ia fa'aalia ai le li'o atoa.
** Filifili le tulaga talatuu e te fiafia i ai. I lenei tulaga, o le a matou faʻaalia i latou i le itu taumatau.
** Seti faʻaaliga faʻaalia e faʻaalia i tafatafa o latou snippet mo le faʻafaigofie ona faitau ma tuʻu le isi mea e le mafai
O le fa'aputuga e fuafua le tele e te mana'o e fa'aali mai le igoa o mea na tupu.
Seti le taimi e te manaʻo e amata ai le faʻaliliuga, ona kiliki lea o le sikuea lanumoana.
E tatau ona e fa'ai'u i se mea e pei o lenei:
E mafai fo'i ona e fa'aopoopoina se fa'amama i lau va'aiga e fa'amama ai le 'au fa'apitoa e te mana'o e siaki po'o so'o se mea e te manatu e aoga mo lou fa'amoemoe. O le fa'aaliga o le a fa'aalia na'o fa'amatalaga e fetaui ma le tulafono tu'u i totonu o le faamama. I lenei tulaga, o le a matou faʻaalia naʻo faʻamatalaga MITER ATT&CK e sau mai le talimalo e igoa ia win10.
3-2- Fausia lau lisi muamua:
O le dashboard o se tuufaatasiga o le tele o ata vaaia. E tatau ona manino au lisi, malamalama, ma aofia ai faʻamatalaga aoga, faʻamautinoa. O se faʻataʻitaʻiga lea o dashboards na matou fatuina mai le sasa mo winlogbeat.
Faafetai mo lou taimi. Ou te faʻamoemoe na e maua le fesoasoani lenei tusiga. Afai e te manaʻo i nisi faʻamatalaga e uiga i le autu, matou te fautuaina oe e asiasi .
Telegram talatalanoaga ile Elasticsearch:
puna: www.habr.com