ProHoster > Blog > Administrim > ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

Ky këtij postimi do të përshkruhet konfigurimi i vizualizimit të paneleve informative ELK dhe SIEM në ELK
Artikulli është i ndarë në seksionet e mëposhtme:

1- Pasqyrë mbi ELK SIEM
2- Panelet e paracaktuara
3- Krijimi i paneleve tuaja të para

Përmbajtja e të gjitha postimeve.

1- Pasqyrë mbi ELK SIEM

ELK SIEM u shtua rishtazi në stek ELK në versionin 7.2 më 25 qershor 2019.

Ky është një zgjidhje SIEM, krijuar nga elastic.co, për të bërë jetën e analistit të sigurisë shumë më të lehtë dhe më pak lodhshme.

Në versionin tonë të punës, ne vendosëm të krijojmë një SIEM të vetin dhe të zgjidhim një panel menaxhimi të vetin.

Por ne e konsiderojmë të rëndësishme fillimisht të studiojmë ELK SIEM.

1.1- Seksioni i ngjarjeve të hostit

Së pari do të shqyrtojmë seksionin e hostit. Seksioni i hostit do t'ju lejojë të shihni ngjarjet që gjenerohen në pikën përfundimtare vetë.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

Pasi të klikoni për të parë hostet, duhet të merrni diçka të tillë. Siç e shihni, ky kompjuter ka tre hoste të lidhur:

1 Windows 10.

2 Server Ubuntu 18.04.

Ne kemi disa vizualizime të shfaqura, secila prej të cilave paraqet lloje të ndryshme ngjarjesh.

Për shembull, ajo që është në mes tregon të dhënat e identifikimit në të tre makinat.

Ky volum të dhënash që shihni këtu është mbledhur për pesë ditë. Kjo shpjegon numrin e madh të hyrjeve të pasuksesshme dhe të suksesshme. Ju ndoshta do të keni një numër të vogël të regjistrimeve, kështu që mos u shqetësoni

1.2- Seksioni i ngjarjeve rrjet

Duke kaluar në seksionin e rrjetit, duhet të merrni diçka të tillë. Ky seksion do t'ju lejojë të monitoroni me kujdes gjithçka që ndodh në rrjetin tuaj, nga trafiku HTTP / TLS deri te trafiku DNS dhe njoftimet e jashtme për ngjarje.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

2- Panelet e paracaktuara

Për të lehtësuar jetën e përdoruesve, zhvilluesit e elastic.co krijuan një panel të paracaktuar, të mbështetur zyrtarisht nga ELK. Bitët tanë nuk ishin përjashtim nga ky rregull. Këtu do të marr si shembull panelin e monitorimit Packetbeat të paracaktuar.

Nëse keni përfunduar siç duhet hapat e disertacionit të dytë. Duhet të keni një panel që ju pret. Le të fillojmë.

Në skedarin e majtë të Kibana, zgjidhni simbolin e panelit. Ky është i treti, nëse i numëroni nga lart.

Shkruani emrin e pjesës në tabin e kërkimit

Nëse ka disa module në bit, do të krijohet një panel kontrolli për çdo një prej tyre. Por vetëm ai, ku moduli është i aktivizuar, do të shfaqë të dhëna të plota.

Zgjidhni atë, që ka emrin e modulit tuaj.

Ky është modeli kryesor PacketBeat.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

Ky është paneli i menaxhimit të trafikjeve rrjetësh. Ai do të na informojë për paketat hyrese dhe dalëse, burimet dhe destinacionet e adresave IP, si dhe do të ofrojë shumë informacione të dobishme për analistin e qendrës së sigurisë.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

3 — Krijimi i paneleve tuaja tĂ« para

3–1- Konceptet kryesore

A- Llojet e paneleve:

Këto janë lloje të ndryshme vizualizimesh që mund të përdorni për të vizualizuar të dhënat tuaja.

për shembull, ne kemi:

  • Histogrami
  • Harta
  • Widget Markdown
  • Grafiku me rreth

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

B- KQL (Gjuha e KĂ«rkesave Kibana):

Kjo është gjuha e përdorur në Kibana për kërkimin e lehtë në të dhëna. Ajo ju lejon të kontrolloni nëse ekzistojnë të dhëna të caktuara dhe shumë funksione të tjera të dobishme. Për të mësuar më shumë, mund të studioni informacionin në këtë lidhje

https://www.elastic.co/guide/en/kibana/current/kuery-query.html

Ky është një shembull i një kërkese për të kërkuar një host me sistemin Windows 10 pro.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

C- Filtrat:

Kjo funksion do t'ju lejojë të filtroni disa parametra të caktuar, si emrin e hostit, kodin ose identifikuesin e ngjarjes etj. Filtrat do ta përmirësojnë ndjeshëm fazën e hetimit në aspektin e kohës dhe përpjekjeve që shpenzohen për të kërkuar prova.

D- Vizualizimi i parë:

Do të krijojmë një vizualizim për MITER ATT & CK.

SĂ« pari, na nevojitet tĂ« shkojmĂ« nĂ« Dashboard → Krijo panel tĂ« ri → krijo tĂ« re → Grafiku me rreth

Caktoni tipin për modelin e indeksit, pastaj prekni emrin e bitit tuaj.

Shtypni Enter. Në këtë moment, duhet të shihni një donut të gjelbër.

Në tabin Buckets në të majtë do të gjeni:

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

— Split slices do tĂ« ndante donut-in nĂ« pjesĂ« tĂ« ndryshme nĂ« varĂ«si tĂ« shpĂ«rndarjes sĂ« tĂ« dhĂ«nave.

— Split Chart do tĂ« krijojĂ« njĂ« donut tjetĂ«r pĂ«rkrah kĂ«tij.

Ne do të përdorim ndarjet e ndara.

Ne do të vizualizojmë të dhënat tona në varësi të termit që kemi zgjedhur. Në këtë rast, termini do të lidhet me MITER ATT & CK.

Në Winlogbeat, fusha që do të na ofrojë këtë informacion quhet:

winlog.event_data.RuleName

Do të caktojmë matjen e numërimit për të renditur ngjarjet në varësi të numrit të shfaqjeve të tyre.

Aktivizoni funksionin "Gruponi vlerat e tjera në një segment të veçantë."

Kjo do të jetë e dobishme nëse termat që keni zgjedhur kanë shumë kuptime të ndryshme që rrjedhin nga ritmi. Kjo ndihmon në vizualizimin e të dhënave të tjera si një e tërë. Kjo do t'ju japë një pasqyrë të përqindjes së ngjarjeve të tjera.

Tani që kemi përfunduar konfigurimin e skedës së të dhënave, le të kalojmë te skeda e parametrave

Duhet të bëni si vijon:

** Shtoni formën e donut-it, që të shfaqet një rreth i plotë në vizualizim.

** Zgjidhni pozicionin e legjendës që ju pëlqen. Në këtë rast, do t'i shfaqim ata në anën e djathtë.

** Rregulloni vlerat e shfaqjes që të shfaqen afër fragmentit të tyre për lehtësi leximi, ndërsa të tjerat lëni nën parametra të paracaktuar

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

Prerja përcakton se sa dëshironi të shfaqni nga emri i ngjarjes.

Vendosni kohën e fillimit të vizualizimit dhe pastaj klikoni në katrorin blu.

Ju duhet të keni diçka të tillë:

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

Ju gjithashtu mund të shtoni një filtrin në vizualizimin tuaj për të filtruar një host të caktuar që dëshironi të kontrolloni, ose çdo parametrash që mendoni se janë të dobishëm për qëllimin tuaj. Vizualizimi do të shfaqë vetëm të dhënat që i përkasin rregullit të futur në filtrin. Në këtë rast, do të shfaqim të dhënat MITER ATT & CK, që vijnë vetëm nga host-i me emrin win10.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

3–2- Krijimi i panelit tuaj tĂ« parĂ«:

Panairi i monitorimit është një grup vizualizimesh të shumta. Paneli juaj duhet të jetë i qartë, i kuptueshëm dhe të përmbajë të dhëna të dobishme dhe të përcaktuara. Ja një shembull i paneleve që krijuam nga zero për winlogbeat.

ELK SIEM Open Distro: Vizualizimi i paneve të informacionit ELK dhe SIEM në ELK

Faleminderit për kohën tuaj. Shpresoj që ky artikull ishte i dobishëm për ju. Nëse dëshironi të merrni më shumë informacion mbi temën, ju rekomandojmë të vizitoni faqja zyrtare.

Biseda në Telegram për Elasticsearch: https://t.me/elasticsearch_ru

Burimi: habr.com

Blini hosting tĂ« besueshĂ«m pĂ«r faqe interneti me mbrojtje nga DDoS, serverĂ« VPS VDS đŸ”„ Blini hosting tĂ« besueshĂ«m pĂ«r faqe interneti me mbrojtje nga DDoS, serverĂ« VPS VDS | ProHoster