Setsi sa rona sa ts'ireletso ea marang-rang se ikarabella bakeng sa ts'ireletso ea lisebelisoa tsa marang-rang tsa bareki mme se leleka litlhaselo libakeng tsa bareki. Ho itšireletsa khahlanong le litlhaselo, re sebelisa FortiWeb Web Application Firewalls (WAFs). Empa esita le WAF e pholileng ka ho fetisisa hase panacea ebile ha e sireletse "ntle ho lebokose" litlhaselong tse lebisitsoeng.
Ka hona, ho phaella ho WAF, re sebelisa . E thusa ho bokella liketsahalo tsohle sebakeng se le seng, ho bokella lipalo-palo, ho e bona ka mahlo a kelello le ho re lumella ho bona tlhaselo e lebisitsoeng ka nako.
Kajeno ke tla u bolella ka ho qaqileng haholoanyane kamoo re ileng ra tšela sefate sa Keresemese le WAF le hore na ho tlile joang.
Pale ea tlhaselo e le 'ngoe: hore na ntho e' ngoe le e 'ngoe e sebelitse joang pele e fetohela ho ELK
Lerung la rona, moreki o kentse kopo ka morao ho WAF ea rona. Ho tloha ho basebelisi ba 10 ho isa ho 000 ba hokahaneng le sebaka sa marang-rang ka letsatsi, palo ea likhokahano e fihlile ho limilione tse 100 ka letsatsi. Ho tsena, basebelisi ba 000-20 e ne e le bahlaseli 'me ba leka ho senya sebaka sa marang-rang.
Mokhoa o tloaelehileng oa brute force o tsoang atereseng e le 'ngoe ea IP o ne o thibetsoe ke FortiWeb habonolo. Palo ea batho ba otlang sebaka ka motsotso e ne e phahame ho feta ea basebelisi ba molaong. Re ile ra theha menyako ea ts'ebetso ho tsoa atereseng e le 'ngoe mme ra leleka tlhaselo.
Ho thata le ho feta ho sebetsana le "litlhaselo tse liehang", ha bahlaseli ba sebetsa butle mme ba iketsa eka ke bareki ba tloaelehileng. Ba sebelisa liaterese tse ngata tse ikhethang tsa IP. Ts'ebetso e joalo e ne e sa shebahale joalo ka matla a maholo ho WAF, ho ne ho le thata ho e latela ka bo eona. Hape ho ne ho e-na le kotsi ea ho thibela basebelisi ba tloaelehileng. Re ile ra batla matšoao a mang a tlhaselo mme ra theha leano la ho thibela liaterese tsa IP ho latela letšoao lena. Ka mohlala, linako tse ngata tse seng molaong li ne li e-na le masimo a tloaelehileng ho lihlooho tsa kopo ea http. Hangata o ne o tlameha ho batla masimo a joalo ka letsoho ho li-log tsa liketsahalo tsa FortiWeb.
E ile ea nka nako e telele ebile e sa phutholoha. Ts'ebetsong e tloaelehileng ea FortiWeb, liketsahalo li ngotsoe ka mongolo ho li-log tse 3 tse fapaneng: litlhaselo tse fumanoeng, tlhahisoleseling mabapi le likopo, le melaetsa ea sistimi mabapi le ts'ebetso ea WAF. Litlhaselo tse ngata kapa tse makholo li ka tla ka motsotso.
Ha ho joalo, empa u tlameha ho hloa ka letsoho ka har'a lifate tse ngata 'me u phete mela e mengata:
Lenaneong la tlhaselo, re bona liaterese tsa basebelisi le mofuta oa ts'ebetso.
Ha hoa lekana ho skena tafole ea log. Ho fumana tse thahasellisang le tse molemo ka ho fetisisa mabapi le mofuta oa tlhaselo, u lokela ho sheba ka hare ho ketsahalo e itseng:
Libaka tse totobalitsoeng li thusa ho lemoha "tlhaselo e liehang". Mohloli: skrini se tsoang ho .
Che, bothata bo boholo ke hore ke setsebi sa FortiWeb feela se ka e utloisisang. Haeba nakong ea lihora tsa khoebo re ntse re ka latela ts'ebetso e belaetsang ka nako ea nnete, lipatlisiso tsa liketsahalo tsa bosiu li ka lieha. Ha maano a FortiWeb a ne a sa sebetse ka lebaka le itseng, baenjiniere ba bosiu ba mosebetsing ba ne ba sitoa ho lekola boemo ntle le ho fihlella WAF mme ba tsosa setsebi sa FortiWeb. Re ile ra sheba ka har'a lifate ka lihora tse 'maloa' me ra fumana nako ea tlhaselo.
Ka boitsebiso bo bongata joalo, ho thata ho utloisisa setšoantšo se seholo ha u habanya feela le ho nka khato ka matla. Eaba re etsa qeto ea ho bokella lintlha sebakeng se le seng e le hore re hlahlobe ntho e 'ngoe le e' ngoe ka mokhoa o bonahalang, ho fumana tšimoloho ea tlhaselo, ho khetholla tataiso ea eona le mokhoa oa ho thibela.
U khethile ho eng
Pele ho tsohle, re ile ra sheba litharollo tse seng li ntse li sebelisoa, e le hore re se ke ra atisa mekhatlo ho sa hlokahale.
E 'ngoe ea likhetho tsa pele e ne e le Nagioseo re e sebelisang ho beha leihlo , , ditemoso tsa tshohanyetso. Balebeli ba boetse ba e sebelisa ho tsebisa bahlokomeli haeba ho e-na le sephethe-phethe se belaetsang, empa ha e tsebe ho bokella lifate tse hasaneng, kahoo ea nyamela.
Ho ne ho e-na le khetho ea ho kopanya ntho e 'ngoe le e' ngoe ka eona MySQL le PostgreSQL kapa database e 'ngoe ea likamano. Empa e le ho ntša data, ho ne ho hlokahala ho betla kopo ea hau.
Joaloka 'mokelli oa li-log k'hamphaning ea rona ba boetse ba sebelisa FortiAnalyzer ho tsoa Fortinet. Empa tabeng ena, le eena o ne a sa tšoanelehe. Taba ea pele, e matlafatsoa le ho feta ho sebetsa ka firewall FortiGate. Taba ea bobeli, litlhophiso tse ngata li ne li le sieo, 'me tšebelisano le eona e hloka tsebo e ntle haholo ea lipotso tsa SQL. 'Me ea boraro, tšebeliso ea eona e ne e tla eketsa litšenyehelo tsa tšebeletso bakeng sa moreki.
Ke kamoo re tlileng ho bula mohloli sefahlehong Elk.
Ke hobane'ng ha u khetha ELK
ELK ke lenane la mananeo a bulehileng a mohloli:
- Elasticsearch - database ea letoto la nako, le neng le sa tsoa etsoa ho sebetsa ka meqolo e mengata ea mongolo;
- Logstash - mokhoa oa ho bokella lintlha o ka fetolelang li-log hore e be sebopeho se lakatsehang;
- Kibana - sebali se setle, hammoho le sebopeho se nang le botsoalle bakeng sa ho tsamaisa Elasticsearch. U ka e sebelisa ho aha mananeo a ka beoang leihlo ke lienjineri tsa mosebetsi bosiu.
Moeli oa ho kena oa ELK o tlase. Likarolo tsohle tsa mantlha li lokolohile. Ke eng hape e hlokahalang bakeng sa thabo.
U li kopanya joang tsamaisong e le 'ngoe?
O thehile li-index mme a siea feela tlhahisoleseling e hlokahalang. Re kentse lits'oants'o tse tharo tsa FortiWEB ho ELK - tlhahiso e ne e le li-index. Tsena ke lifaele tse nang le lits'oants'o tsohle tse bokelletsoeng ka nako, mohlala, letsatsi. Haeba re ne re li bona ka mahlo a kelello hang-hang, re ne re tla bona feela matla a litlhaselo. Bakeng sa lintlha, o hloka "ho oela" tlhaselong e 'ngoe le e' ngoe 'me u shebe masimo a itseng.
Re ile ra hlokomela hore re lokela ho qala ka ho hlophisa boitsebiso bo sa hlophisoang. Re nkile likarolo tse telele joalo ka likhoele, joalo ka "Message" le "URL", 'me ra li arola ho fumana lintlha tse ling tsa ho etsa liqeto.
Ka mohlala, re sebelisa ho arola, re ile ra ntša sebaka sa mosebedisi ka thoko. Sena se thusitse hang-hang ho totobatsa litlhaselo tse tsoang kantle ho naha libakeng tsa basebelisi ba Russia. Ka ho thibela likhokahano tsohle tse tsoang linaheng tse ling, re ile ra fokotsa palo ea litlhaselo ka makhetlo a 2 mme ra khona ho sebetsana le litlhaselo habonolo ka hare ho Russia.
Ka mor'a ho arola, ba ile ba qala ho batla boitsebiso boo ba ka bo bolokang le ho bo bona ka mahlo a kelello. Ho tlohela ntho e 'ngoe le e' ngoe ho log ho ne ho sa lokela: boholo ba index e le 'ngoe e ne e le khōlō - 7 GB. ELK e nkile nako e telele ho sebetsa faele. Leha ho le joalo, e ne e se boitsebiso bohle bo neng bo le molemo. Ntho e 'ngoe e ile ea kopitsoa' me ea nka sebaka se eketsehileng - ho ne ho hlokahala ho ntlafatsa.
Qalong, re ne re sheba feela ka har'a index mme ra tlosa liketsahalo tse sa hlokahaleng. Sena se ile sa fetoha ntho e sa thabiseng le ho feta hape e telele ho feta ho sebetsa ka li-logs ho FortiWeb ka boeona. Ntho e le 'ngoe feela e tsoang "sefate sa Keresemese" sethaleng sena ke hore re khonne ho bona nako e kholo skrineng se le seng.
Ha rea ka ra nyahama, re ile ra tsoela pele ho ja cactus le ho ithuta ELK mme re lumela hore re tla khona ho ntša boitsebiso bo hlokahalang. Ka mor'a ho hloekisa li-index, re ile ra qala ho bona hore na ke eng. Kahoo re ile ra tla ho li-dashboards tse kholo. Re kentse li-widget - ka pono le ka bokhabane, ЁLKa ea 'nete!
E hapile nako ea tlhaselo. Joale ho ne ho hlokahala ho utloisisa hore na qaleho ea tlhaselo e shebahala joang chate. Ho e lemoha, re ile ra sheba likarabo tsa seva ho mosebelisi (likhoutu tsa ho khutlisa). Re khahliloe ke likarabo tsa seva ka likhoutu tse joalo (rc):
Khouto (rc)
Sehlooho
tlhaloso
0
KHOTHA
Kopo e eang ho seva e thibetsoe
200
Ok
Kopo e sebeditswe ka katleho
400
Kopo e mpe
Kopo e mpe
403
E hanetsoe
Ho hana tumello
500
Phoso ea Kahare ea Seva
Ts'ebeletso ha e teng
Haeba motho a qala ho hlasela sebaka sena, karolelano ea likhoutu e fetohile:
- Haeba ho ne ho e-na le likōpo tse fosahetseng tse nang le khoutu ea 400, le palo e tšoanang ea likopo tse tloaelehileng tse nang le khoutu ea 200, joale motho e mong o ne a leka ho senya sebaka seo.
- Haeba, ka nako e ts'oanang, likōpo tse nang le khoutu ea 0 le tsona li ile tsa eketseha, joale bo-ralipolotiki ba FortiWeb le bona ba "bone" tlhaselo eo 'me ba sebelisa li-blocks ho eona.
- Haeba palo ea melaetsa e nang le khoutu ea 500 e eketsehile, joale sebaka sa marang-rang ha se fumanehe bakeng sa liaterese tsena tsa IP - hape ke mofuta oa ho thibela.
Ka khoeli ea boraro, re ne re se re thehile dashboard ho latela tšebetso ena.
E le hore re se ke ra shebella ntho e 'ngoe le e' ngoe ka letsoho, re theha kopano le Nagios, e ileng ea hlahloba ELK ka linako tse itseng. Haeba e tlaleha phihlello ea litekanyetso tsa threshold ka likhoutu, e rometse tsebiso ho liofisiri tsa mosebetsi mabapi le ts'ebetso e belaetsang.
E kopantsoe le lichate tse 4 tsamaisong ea ho beha leihlo. Hona joale e ne e le habohlokoa ho bona lirapeng nako eo tlhaselo e sa thibeloang 'me ho kenella ha moenjiniere ho hlokahala. Lirapeng tse 4 tse fapaneng, mahlo a rona a ne a le lerootho. Ka hona, re ile ra kopanya lichate mme ra qala ho shebella ntho e 'ngoe le e' ngoe skrineng se le seng.
Ha re beha leihlo, re ile ra shebella kamoo li-graph tsa mebala e fapaneng li fetohang kateng. Ho phatloha ho khubelu ho bontšitse hore tlhaselo e qalile, ha lirafshoa tsa lamunu le tse putsoa li bonts'a karabelo ea FortiWeb:
Ntho e ngoe le e ngoe e hantle mona: ho bile le ts'ebetso e "khubelu", empa FortiWeb e ile ea khona ho sebetsana le eona mme kemiso ea tlhaselo ea senyeha.
Re boetse re iketselitse mohlala oa kerafo e hlokang ho kenella:
Mona re ka bona hore FortiWeb e ekelitse ts'ebetso, empa graph e khubelu ea tlhaselo ha ea fokotseha. U hloka ho fetola litlhophiso tsa WAF.
Ho batlisisa liketsahalo tsa bosiu le hona ho se ho le bonolo. graph hang-hang e bontša nako eo e leng nako ea ho tla ho sireletsa sebaka seo.
Ke seo ka linako tse ling se etsahalang bosiu. Kerafo e khubelu - tlhaselo e qalile. Blue - Mosebetsi oa FortiWeb. Tlhaselo ha ea ka ea thijoa ka ho feletseng, re ile ra tlameha ho kenella.
Re ea kae
Hona joale re koetlisa batsamaisi ba mosebetsi ho sebetsa le ELK. Bahlokomeli ba ithuta ho lekola boemo ho dashboard le ho etsa qeto: ke nako ea ho nyolohela ho setsebi sa FortiWeb, kapa maano a WAF a tla lekana ho leleka tlhaselo ka bo eona. Kahoo re fokotsa mojaro ho lienjineri tsa ts'ireletso ea tlhahisoleseling bosiu mme re arola likarolo tsa ts'ehetso maemong a sistimi. Ho fihlella FortiWeb ho sala feela le setsi sa ts'ireletso ea cyber, 'me ke bona feela ba etsang liphetoho ho litlhophiso tsa WAF ha ho hlokahala ka potlako.
Re boetse re sebeletsa ho tlaleha bareki. Re rera hore data e mabapi le matla a mosebetsi oa WAF e tla fumaneha akhaonteng ea motho ea bareki. ELK e tla hlakisa boemo ntle le tlhokahalo ea ho bua ka WAF ka boeona.
Haeba moreki a batla ho beha leihlo tšireletso ea hae ka nako ea nnete, ELK le eona e tla ba molemo. Re ke ke ra fana ka monyetla oa ho fihlella WAF, kaha ho kenella ha moreki mosebetsing ho ka ama ba bang kaofela. Empa u ka nka ELK e arohaneng 'me u fane ka eona ho "bapala hohle".
Tsena ke maemo a ho sebelisa sefate sa Keresemese seo re se bokeletseng morao tjena. Arolelana maikutlo a hau tabeng ena 'me u se ke ua lebala ho qoba ho lutla ha database.
Source: www.habr.com
