I det hÀr inlÀgget kommer vi att beskriva instÀllningen av visualisering av informationspaneler för ELK och SIEM i ELK
Artikeln Àr indelad i följande avsnitt:
1- Ăversikt av ELK SIEM
2- Standarddashboards
3- Skapa dina första dashboards
InnehÄllsförteckning för alla inlÀgg.
- Integration med WAZUH
- Avisering (Alerting)
- Rapportering
- Ărendehantering
1- Ăversikt av ELK SIEM
ELK SIEM lades nyligen till i elk-stacken i version 7.2 den 25 juni 2019.
Detta SIEM-lösning skapades av elastic.co för att göra livet för sÀkerhetsanalytikern mycket enklare och mindre tröttsamt.
I vÄr version av arbetet beslutade vi att skapa vÄrt eget SIEM och vÀlja vÄr egen instrumentpanel.
Men vi anser att det Àr viktigt att först studera ELK SIEM.
1.1- Avsnitt för host-event
Först kommer vi att titta pÄ host-avsnittet. Host-avsnittet lÄter dig se hÀndelser som genereras pÄ sjÀlva Àndpunkten.
Efter att ha klickat pÄ 'Visa hosts' bör du fÄ nÄgot som detta. Som du kan se Àr tre hosts anslutna till denna dator:
1 Windows 10.
2 Ubuntu 18.04-server.
Vi har flera visualiseringar som visas, var och en visar olika typer av hÀndelser.
Till exempel, den som Àr i mitten visar inloggningsdata för alla tre maskiner.
Den mÀngd data du ser hÀr har samlats in under fem dagar. Detta förklarar det stora antalet misslyckade och lyckade inloggningar. Du kommer förmodligen ha ett litet antal loggar, sÄ oroa dig inte.
1.2- Avsnitt för nÀtverkshÀndelser
NÀr du gÄr till nÀtverksavsnittet bör du fÄ nÄgot som detta. Detta avsnitt lÄter dig noggrant övervaka allt som hÀnder i ditt nÀtverk, frÄn HTTP / TLS-trafik till DNS-trafik och externa hÀndelsevarningar.
2- Standarddashboards
För att underlÀtta livet för anvÀndarna har utvecklarna pÄ elastic.co skapat en standardinstrumentpanel som officiellt stöds av ELK. VÄra bitar var inget undantag frÄn denna regel. HÀr kommer jag att ta Packetbeat-standardinstrumentpanelen som exempel.
Om du har genomfört steg tvÄ i artikeln korrekt, bör du ha en instrumentpanel som vÀntar pÄ dig. LÄt oss börja.
I vÀnstra fliken i Kibana vÀljer du panelens symbol. Det Àr den tredje nedifrÄn.
Ange namnet pÄ andelen i sökfliken.
Om det finns flera moduler i biten, kommer en kontrollpanel att skapas för var och en av dem. Men endast den som har modulen aktiv kommer att visa nÄgra data.
VÀlj den som har namnet pÄ din modul.
Detta Àr huvudmallen. PacketBeat.
Detta Àr kontrollpanelen för nÀtverksflöden. Den kommer att informera oss om inkommande och utgÄende paket, kÀllor och destinationer för IP-adresser, samt ge mycket anvÀndbar information för analytikern i sÀkerhetscentret.
3 â Skapa dina första instrumentpaneler.
3â1- GrundlĂ€ggande begrepp
A- Typer av instrumentpaneler:
Detta Àr olika typer av visualiseringar som du kan anvÀnda för att visa dina data.
Till exempel har vi:
- Histogram
- Karta
- Markdown-widget
- Cirkeldiagram
B- KQL (Kibana Query Language):
Detta Àr sprÄket som anvÀnds i Kibana för enkel sökning i data. Det lÄter dig kontrollera om specifik data finns och mÄnga andra anvÀndbara funktioner. För att lÀra dig mer kan du studera informationen via denna lÀnk.
Detta Àr ett exempel pÄ en sökfrÄga för en vÀrd med Windows 10 Pro.
C- Filter:
Denna funktion lÄter dig filtrera specifika parametrar, till exempel vÀrdnamn, kod eller hÀndelse-ID, etc. Filter förbÀttrar betydligt undersökningsfasen nÀr det gÀller tid och insats som lÀggs pÄ att hitta bevis.
D- Första visualiseringen:
LÄt oss skapa en visualisering för MITER ATT & CK.
Först mĂ„ste vi gĂ„ till Dashboard â Skapa ny instrumentpanel â skapa ny â Cirkeldiagram
StÀll in typ för indexmönstret och tryck sedan pÄ namnet pÄ din bit.
Tryck Enter. Vid detta skede bör du se en grön donut.
I fliken Buckets till vÀnster hittar du:
â Split slices delar donutdiagrammet i olika delar baserat pĂ„ dataskillnader.
â Split Chart kommer att skapa en annan donut bredvid den hĂ€r.
Vi kommer att anvÀnda delade skivor.
Vi kommer att visualisera vÄra data baserat pÄ den term vi har valt. I detta fall kommer termen att hÀnvisa till MITER ATT & CK.
I Winlogbeat Àr fÀltet som ger oss denna information kallat:
winlog.event_data.RuleNameVi kommer att stÀlla in en rÀknefunktion för att ordna hÀndelser beroende pÄ antalet gÄnger de förekommer.
Aktivera funktionen "Gruppera andra vÀrden i ett eget segment".
Detta kommer att vara anvÀndbart om termerna du valt har mÄnga olika betydelser som kommer frÄn rytmen. Det hjÀlper till att visualisera övriga data som en helhet. Detta ger dig en uppfattning om procenten av övriga hÀndelser.
Nu nÀr vi har avslutat instÀllningarna för databladen, lÄt oss gÄ vidare till instÀllningsfliken.
Du mÄste göra följande:
** Ta bort donut-formen sÄ att den fulla cirkeln visas i visualiseringen.
** VÀlj en position för legenden som du gillar. I det hÀr fallet kommer vi att visa dem till höger.
** StÀll in visningsvÀrden sÄ att de visas bredvid sin del för enkel lÀsning, och lÄt resten vara som standard.
AvtrÀngning definierar hur mycket du vill visa av hÀndelsens namn.
StÀll in tiden dÄ visualiseringen ska börja och klicka sedan pÄ den blÄ fyrkanten.
Du bör fÄ nÄgot som liknar detta:
Du kan ocksÄ lÀgga till ett filter till din visualisering för att filtrera en viss vÀrd som du vill kontrollera, eller andra parametrar som du tror Àr anvÀndbara för ditt syfte. Visualiseringen kommer endast att visa data som matchar regeln som placerats i filtret. I det hÀr fallet kommer vi att visa data för MITER ATT&CK som kommer endast frÄn vÀrden med namnet win10.
3â2- Skapa din första instrumentpanel:
En instrumentpanel Àr en samling av mÄnga visualiseringar. Ditt instrumentpanel bör vara klart, begripligt och innehÄlla anvÀndbara och deterministiska data. HÀr Àr ett exempel pÄ instrumentpaneler som vi skapade frÄn grunden för winlogbeat.
Tack för din tid. Jag hoppas att denna artikel har varit till hjÀlp för dig. Om du vill ha mer information i Àmnet rekommenderar vi att du besöker .
Telegramchatten om Elasticsearch:
KĂ€lla: habr.com
