Маркази дифоъи киберии мо барои амнияти инфрасохтори веби муштариён масъул аст ва ҳамлаҳоро ба сайтҳои муштарӣ дафъ мекунад. Мо барои муҳофизат аз ҳамлаҳо деворҳои веб-барномаҳои FortiWeb (WAF) -ро истифода мебарем. Аммо ҳатто олитарин WAF як панацея нест ва аз ҳамлаҳои мақсаднок муҳофизат намекунад.
Аз ин рӯ, мо ба ғайр аз WAF истифода мебарем . Он барои ҷамъ овардани ҳама рӯйдодҳо дар як ҷо кӯмак мекунад, оморҳоро ҷамъ мекунад, онҳоро визуалӣ мекунад ва ба мо имкон медиҳад, ки ҳамлаи мақсаднокро сари вақт бубинем.
Имрӯз ман ба шумо муфассалтар нақл мекунам, ки чӣ гуна мо "арчаи солинавӣ"-ро бо WAF убур кардем ва аз он чӣ баромад.
Ҳикояи як ҳамла: чӣ гуна ҳама чиз пеш аз гузариш ба ELK кор мекард
Муштарӣ дар абри мо барномае дорад, ки дар паси WAF мо ҷойгир аст. Аз 10 000 то 100 000 корбар дар як рӯз ба сайт пайвастанд, шумораи пайвастҳо дар як рӯз ба 20 миллион мерасад. Аз ин миён 3-5 корбар ҳамлагар буда, кӯшиши рахна кардани сайтро доштанд.
FortiWeb шакли муқаррарии қувваи бераҳмонаро аз як суроғаи IP ба осонӣ маҳкам кард. Шумораи боздидҳо дар як дақиқа ба сайт аз шумораи корбарони қонунӣ зиёдтар буд. Мо танҳо аз як суроға ҳадди фаъолиятро муқаррар кардем ва ҳамларо дафъ кардем.
Мубориза бо "ҳамлаҳои суст", вақте ки ҳамлагарон оҳиста амал мекунанд ва худро ҳамчун мизоҷони оддӣ пинҳон мекунанд, хеле душвортар аст. Онҳо бисёр суроғаҳои IP-и беназирро истифода мебаранд. Чунин фаъолият барои WAF ба як қувваи азими бераҳмона монанд набуд; пайгирӣ кардани он ба таври худкор мушкилтар буд. Инчунин хатари бастани корбарони муқаррарӣ вуҷуд дошт. Мо аломатҳои дигари ҳамларо ҷустуҷӯ кардем ва сиёсатеро танзим кардем, ки суроғаҳои IP-ро дар асоси ин аломат ба таври худкор маҳкам кунад. Масалан, бисёр ҷаласаҳои ғайриқонунӣ дар сарлавҳаҳои дархости HTTP майдонҳои умумӣ доштанд. Аксар вақт ин майдонҳоро дар гузоришҳои рӯйдодҳои FortiWeb дастӣ ҷустуҷӯ мекарданд.
Он дароз ва нороҳат шуд. Дар функсияи стандартии FortiWeb, рӯйдодҳо дар матн дар 3 гузоришҳои гуногун сабт карда мешаванд: ҳамлаҳои ошкоршуда, иттилооти дархост ва паёмҳои система дар бораи амалиёти WAF. Даҳҳо ва ҳатто садҳо ҳодисаҳои ҳамла метавонанд дар як дақиқа ворид шаванд.
На он қадар зиёд, аммо шумо бояд ба таври дастӣ аз якчанд гузоришҳо гузаред ва хатҳои зиёдеро такрор кунед:
Дар гузориши ҳамла мо суроғаҳои корбар ва хусусияти фаъолиятро мебинем.
Фақат скан кардани ҷадвали сабт кофӣ нест. Барои пайдо кардани маълумоти ҷолибтарин ва муфид дар бораи хусусияти ҳамла, шумо бояд дар дохили як ҳодисаи мушаххас назар кунед:
Майдонҳои қайдшуда барои ошкор кардани "ҳамлаи суст" кӯмак мекунанд. Манбаъ: скриншот аз .
Хуб, мушкилоти асосӣ дар он аст, ки танҳо мутахассиси FortiWeb метавонад онро муайян кунад. Агар дар давоми соатҳои корӣ мо то ҳол метавонистем фаъолияти шубҳанокро дар вақти воқеӣ пайгирӣ кунем, тафтишоти ҳодисаҳои шабона метавонад ба таъхир афтод. Вақте ки сиёсатҳои FortiWeb бо ягон сабаб кор намекарданд, муҳандисони навбатдории шабона бе дастрасӣ ба WAF вазъро арзёбӣ карда натавонистанд ва мутахассиси FortiWeb-ро бедор карданд. Мо якчанд соат журналҳоро аз назар гузаронидем ва лаҳзаи ҳамларо ёфтем.
Бо чунин ҳаҷми иттилоот дар назари аввал манзараи бузургро фаҳмидан ва фаъолона амал кардан душвор аст. Сипас мо тасмим гирифтем, ки маълумотро дар як ҷо ҷамъоварӣ кунем, то ҳама чизро дар шакли визуалӣ таҳлил кунем, оғози ҳамларо пайдо кунем, самт ва усули бастани онро муайян кунем.
Шумо аз чӣ интихоб кардед?
Пеш аз ҳама, мо ба қарорҳое, ки аллакай истифода мешаванд, дида баромадем, то объектҳоро безарур зиёд накунем.
Яке аз аввалин вариантҳо буд Нагосияки мо барои назорат истифода мебарем , , огоҳӣ дар бораи ҳолатҳои фавқулодда. Кормандони амният низ аз он истифода мекунанд, ки дар мавриди ҳаракати шубҳанок ба навбатдорон хабар медиҳанд, аммо он чӣ гуна ҷамъоварии чӯбҳои парокандаро намедонад ва аз ин рӯ дигар лозим нест.
Имконияти ҷамъ кардани ҳама чиз бо истифода вуҷуд дошт MySQL ва PostgreSQL ё дигар махзани реляционӣ. Аммо барои гирифтани маълумот, шумо бояд барномаи шахсии худро эҷод кунед.
Ширкати мо низ истифода мебарад FortiAnalyzer аз Fortinet. Аммо дар ин ҳолат низ мувофиқ набуд. Аввалан, он барои кор бо брандмауэр бештар мутобиқ карда шудааст FortiGate. Сониян, танзимоти зиёде мавҷуд набуданд ва ҳамкорӣ бо он дониши аълои дархостҳои SQL-ро талаб мекард. Ва сеюм, истифодаи он арзиши хизматрасониро барои муштарӣ зиёд мекунад.
Ин аст, ки мо ба шакли кушодаасос омадем ELK.
Чаро ELK-ро интихоб кунед?
ELK маҷмӯи барномаҳои кушодаасос аст:
- Ҷустуҷӯи Elastics - базаи силсилаи вақт, ки нав барои кор бо ҳаҷми калони матн сохта шудааст;
- Logstash – механизми ҷамъоварии маълумот, ки метавонад гузоришҳоро ба формати дилхоҳ табдил диҳад;
- Кибана - визуализатори хуб, инчунин интерфейси хеле дӯстона барои идоракунии Elasticsearch. Шумо метавонед онро барои сохтани графикҳо истифода баред, ки муҳандисони навбатдор метавонанд шабона назорат кунанд.
Ҳадди дохилшавӣ ба ELK паст аст. Ҳама хусусиятҳои асосӣ ройгонанд. Барои хушбахтӣ боз чӣ лозим аст?
Чӣ тавр мо ҳама чизро дар як системаи ягона ҷамъ кардем?
Мо индексҳоро эҷод кардем ва танҳо маълумоти заруриро боқӣ гузоштем. Мо ҳар се гузориши FortiWEB-ро ба ELK бор кардем - натиҷа индексҳо буд. Инҳо файлҳое мебошанд, ки ҳама гузоришҳои ҷамъовардашуда барои як давра, масалан, як рӯз мебошанд. Агар мо онҳоро фавран тасаввур кунем, мо танҳо динамикаи ҳамлаҳоро мебинем. Барои тафсилот, шумо бояд ба ҳар як ҳамла "афтед" ва ба соҳаҳои мушаххас назар кунед.
Мо фаҳмидем, ки аввал мо бояд таҳлили иттилооти сохторнашударо ба роҳ монем. Мо майдонҳои дарозро дар шакли сатрҳо, аз қабили "Паём" ва "URL" гирифтем ва онҳоро таҳлил кардем, то барои қабули қарор маълумоти бештар ба даст орем.
Масалан, бо истифода аз таҳлил, мо ҷойгиршавии корбарро алоҳида муайян кардем. Ин кӯмак кард, ки ҳамлаҳо аз хориҷа ба сайтҳо барои корбарони рус фавран нишон дода шаванд. Бо бастани ҳама робитаҳо аз кишварҳои дигар, мо шумораи ҳамлаҳоро ду баробар кам кардем ва метавонистем оромона бо ҳамлаҳо дар дохили Русия мубориза барем.
Пас аз таҳлил, мо ба ҷустуҷӯи он шурӯъ кардем, ки кадом маълумотро нигоҳ доштан ва тасаввур кардан лозим аст. Ҳама чизро дар маҷалла гузоштан ғайриимкон буд: андозаи як индекс калон буд - 7 ГБ. ELK барои коркарди файл вақти зиёд гирифт. Бо вуҷуди ин, на ҳама маълумот муфид буд. Чизе такрор шуд ва фазои иловагӣ гирифт - онро оптимизатсия кардан лозим буд.
Дар аввал мо танҳо индексро скан кардем ва рӯйдодҳои нолозимро хориҷ кардем. Ин назар ба кор бо гузоришҳо дар худи FortiWeb боз ҳам ногувортар ва дарозтар буд. Ягона бартарии «Арчаи солинавӣ» дар ин марҳила дар он аст, ки мо тавонистем дар як экран давраи зиёди вақтро тасаввур кунем.
Мо ноумед нашудем, хӯрдани кактусро идома додем, ELK-ро омӯзем ва боварӣ доштем, ки мо метавонем маълумоти заруриро ба даст орем. Пас аз тоза кардани нишондиҳандаҳо, мо ба тасаввур кардани он чизе, ки мо дорем, оғоз кардем. Ҳамин тавр мо ба панелҳои калон расидем. Мо якчанд виджетҳоро санҷидем - ба таври визуалӣ ва шево, дарахти воқеии Мавлуди Исо!
Лаҳзаи ҳамла сабт шудааст. Акнун мо бояд фаҳмем, ки оғози ҳамла дар график чӣ гуна аст. Барои ошкор кардани он, мо ба посухҳои сервер ба корбар назар кардем (кодҳои бозгашт). Мо ба посухҳои сервер бо рамзҳои зерин таваҷҷӯҳ доштем (rc):
Рамз (rc)
Title
Шарҳи
0
Партофтан
Дархост ба сервер баста шудааст
200
Ok
Дархост бомуваффақият коркард карда шуд
400
Дархости ганда
Дархости беэътибор
403
Бистарӣ
Иҷозатнома рад карда шуд
500
Хатои Дохилии Сервер
Хизматрасонӣ дастрас нест
Агар касе ба сайт ҳамла кунад, таносуби рамзҳо тағир ёфт:
- Агар дархостҳои хато бо рамзи 400 вуҷуд дошта бошанд, аммо ҳамон миқдори дархостҳои муқаррарӣ бо рамзи 200 боқӣ мондаанд, ин маънои онро дорад, ки касе кӯшиши вайрон кардани сайтро дорад.
- Агар дар айни замон дархостҳо бо рамзи 0 низ зиёд мешуданд, сиёсатмадорони FortiWeb низ ҳамларо "диданд" ва ба он блокҳо татбиқ карданд.
- Агар шумораи паёмҳо бо рамзи 500 зиёд шавад, ин маънои онро дорад, ки сайт барои ин суроғаҳои IP дастнорас аст - инчунин як навъ басташавӣ.
Дар моҳи сеюм, мо барои пайгирии чунин фаъолият панели идоракунӣ таъсис додем.
Барои он ки ҳама чизро дастӣ назорат накунем, мо бо Nagios ҳамгироӣ таъсис додем, ки ELK-ро дар фосилаҳои муайян пурсиш кардааст. Агар ман муайян кардам, ки ҳадди ниҳоии рамзҳо расидаанд, ман ба навбатдорон дар бораи фаъолияти шубҳанок огоҳинома фиристодам.
Якҷоя 4 графика дар системаи мониторинг. Ҳоло дар графикҳо дидан муҳим буд, ки лаҳзаи ҳамла баста нашуда буд ва дахолати муҳандис лозим буд. Дар 4 диаграммаҳои гуногун чашмони мо хира шуданд. Аз ин рӯ, мо диаграммаҳоро якҷоя кардем ва ҳама чизро дар як экран мушоҳида кардем.
Ҳангоми мониторинг, мо мушоҳида кардем, ки чӣ гуна графикҳои рангҳои гуногун тағир меёбанд. Лаппошии сурх нишон дод, ки ҳамла оғоз шудааст, дар ҳоле ки графикҳои норанҷӣ ва кабуд посухи FortiWeb-ро нишон доданд:
Дар ин ҷо ҳама чиз хуб аст: афзоиши фаъолияти "сурх" вуҷуд дошт, аммо FortiWeb бо он мубориза бурд ва ҷадвали ҳамла бефоида шуд.
Мо инчунин барои худ як мисоли графикеро кашидем, ки дахолатро талаб мекунад:
Дар ин ҷо мо мебинем, ки FortiWeb фаъолиятро афзоиш додааст, аммо графики ҳамлаи сурх кам нашудааст. Шумо бояд танзимоти WAF-и худро тағир диҳед.
Тафтиши ҳодисаҳои шабона низ осонтар шудааст. График фавран лаҳзаеро нишон медиҳад, ки вақти он расидааст, ки сайтро муҳофизат кунед.
Ин аст он чизе ки баъзан шабона рӯй медиҳад. Графикаи сурх - ҳамла оғоз шуд. Blue - Фаъолияти FortiWeb. Ба хучум пурра монеъ нашуда буд, бинобар ин ман лозим омад, ки дахолат кунам.
Мо ба куҷо меравем?
Ҳоло мо маъмурони навбатдорро барои кор бо ELK таълим медиҳем. Навбатдорон арзёбӣ кардани вазъро дар панели асбобҳо меомӯзанд ва қарор қабул мекунанд: вақти он расидааст, ки ба мутахассиси FortiWeb муроҷиат кунед, ё сиёсатҳои WAF барои ба таври худкор ҳамларо дафъ кардан кофӣ аст. Ҳамин тариқ, мо сарбории муҳандисони амнияти иттилоотиро шабона кам мекунем ва нақшҳои дастгирӣро дар сатҳи система тақсим мекунем. Дастрасӣ ба FortiWeb танҳо дар маркази дифоъи киберӣ боқӣ мемонад ва танҳо онҳо ҳангоми зарурат ба танзимоти WAF тағирот ворид мекунанд.
Мо инчунин оид ба гузоришдиҳӣ барои муштариён кор карда истодаем. Мо нақша дорем, ки маълумот дар бораи динамикаи амалиёти WAF дар ҳисоби шахсии муштарӣ мавҷуд бошад. ELK вазъиятро бидуни тамос бо худи WAF шаффофтар мекунад.
Агар муштарӣ мехоҳад муҳофизати худро дар вақти воқеӣ назорат кунад, ELK низ муфид хоҳад буд. Мо наметавонем дастрасӣ ба WAF-ро бидиҳем, зеро дахолати муштарӣ ба кор метавонад ба дигарон таъсир расонад. Аммо шумо метавонед як ELK-и алоҳида гиред ва онро барои "бозӣ кардан" диҳед.
Инҳо сенарияҳои истифодаи "арчаи солинавӣ" мебошанд, ки мо ба наздикӣ ҷамъ кардаем. Дар ин бора андешаҳои худро мубодила кунед ва фаромӯш накунед барои пешгирӣ кардани ихроҷи пойгоҳи додаҳо.
Манбаъ: will.com