ืืขืจ ืคึผืึธืกืื ืืืขื ืืึทืฉืจืืึทืื ืืึทืฉืืขืืืงื ืื ืืืืืฉืืืึทืืึทืืืืฉืึทื ืคืื ELK ืืื SIEM ืืึทืฉืืึธืจืื ืืื ELK
ืืขืจ ืึทืจืืืงื ืืื ืฆืขืืืืื ืืื ืื ืคืืืืขื ืืข ืกืขืงืฉืึทื ื:
1- ELK SIEM ืืืืขืจืืืืง
2- ืคืขืืืงืืึทื ืืึทืฉืืึธืจืื
3- ืงืจืืืืืื ื ืืืื ืขืจืฉืืขืจ ืืึทืฉืืึธืจืื
ืืื ืืึทืื ืคืื ืึทืืข ืึทืจืืืงืืขื.
- ืื ืึทืืจืืืฉืึทื ืืื WAZUH
- ืึทืืขืจืืื ื
- ืจืขืคึผืึธืจืืื ื
- ืงืึทืกืข ืคืึทืจืืืึทืืืื ื
1-ELK SIEM ืืืืขืจืืืืง
ELK SIEM ืืื ืืขืฆืื ืก ืฆืืืขืืขืื ืฆื ืื ืขืืง ืกืืึทืง ืืื ืืืขืจืกืืข 7.2 ืืืืฃ ืืื ื 25, 2019.
ืืึธืก ืืื ืึท SIEM ืืืืืื ื ืืืฉืืคื ืืืจื elastic.co ืฆื ืืึทืื ืื ืืขืื ืคืื ืึท ืืืืขืจืืืื ืึทื ืึทืืืกื ืคืื ืืจืื ืืขืจ ืืื ืืืืื ืืงืขืจ ืืืืืึทืก.
ืืื ืืื ืืืขืจ ืืืขืจืกืืข ืคืื โโโโืื ืึทืจืืขื, ืืืจ ืืึทืฉืืึธืกื ืฆื ืฉืึทืคึฟื ืืื ืืืขืจ ืืืืืขื ืข SIEM ืืื ืงืืืึทืื ืืื ืืืขืจ ืืืืืขื ืข ืงืึธื ืืจืึธื ืืึทืคืืืข.
ืึธืืขืจ ืืืจ ืืจืึทืืื ืขืก ืืื ืืืืืืืง ืฆื ืืืกืคืึธืจืฉื ELK SIEM ืขืจืฉืืขืจ.
1.1- ืืึธืกื events ืึธืคึผืืืืืื ื
ืืืจ ืืืขืื ืขืจืฉืืขืจ ืงืืง ืืื ืื ืืึทืืขืืึธืก ืึธืคึผืืืืืื ื. ืืขืจ ืืึทืืขืืึธืก ืึธืคึผืืืืืื ื ืืืขื ืืึธืื ืืืจ ืฆื ืืขื ืื ืืขืฉืขืขื ืืฉื ืืืึธืก ืืขื ืขื ืืืฉืขื ืขืจืืืืึทื ืืื ืื ืขื ืืคึผืืื ื ืืื.
ื ืึธื ืืขืื ืึท ืงืืืง ืืืืฃ ืงืืง ืืื ืืช, ืืืจ ืืึธื ืืึทืงืืืขื ืขืคึผืขืก ืืื ืืึธืก. ืืื ืืืจ ืงืขื ืขื ืืขื, ืขืก ืืขื ืขื ืืจืื ืืื ืืช ืงืึธื ื ืขืงืืขื ืฆื ืืขื ืงืึธืืคึผืืืืขืจ:
1 Windows 10.
2 Ubuntu Server 18.04.
ืืืจ ืืึธืื ืขืืืขืืข ืืืืืฉืืืึทืืึทืืืืฉืึทื ื ืืขืืืืื, ืืขืืขืจ ืจืขืคึผืจืืืขื ืืื ื ืคืึทืจืฉืืืขื ืข ืืืืคึผืก ืคืื ืืขืฉืขืขื ืืฉื.
ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืขืจ ืืืื ืขืจ ืืื ืื ืืืื ืืืืืื ืืึธืืื ืืึทืื ืืืืฃ ืึทืืข ืืจืื ืืืฉืื ืขื.
ืื ืกืืืข ืคืื โโืืึทืื ืืืจ ืืขื ืืึธ ืืื ืืขืืืืื ืืืืขืจ ืคืื ืฃ ืืขื. ืืึธืก ืืขืจืงืืขืจื ืื ืืจืืืก ื ืืืขืจ ืคืื ืืืจืืคืึทื ืืื ืืขืจืึธืื ืืึธืืื ืก. ืืืจ ืืืขื ืืืกืืึธืืข ืืึธืื ืึท ืงืืืื ื ืืืขืจ ืคืื ืืึธืืก, ืึทืืื ืืึธื ื ืื ืืึธืจื
1.2- ื ืขืืืืึธืจืง events ืึธืคึผืืืืืื ื
ืืืื ืืืจ ืืึทื ืืืืฃ ืฆื ืื ื ืขืฅ ืึธืคึผืืืืืื ื, ืืืจ ืืึธื ืืึทืงืืืขื ืขืคึผืขืก ืืื ืืึธืก. ืืขืจ ืึธืคึผืืืืืื ื ืืืขื ืืึธืื ืืืจ ืฆื ืืึทืืื ืึท ื ืึธืขื ื ืืืื ืืืืฃ ืึทืืฅ ืืืึธืก ืืึทืคึผืึทื ื ืืืืฃ ืืืื ื ืขืฅ, ืคึฟืื HTTP / TLS ืคืึทืจืงืขืจ ืฆื ืื ืก ืคืึทืจืงืขืจ ืืื ืคืื ืืจืืืกื ืืืง ืืขืฉืขืขื ืืฉ ืึทืืขืจืฅ.
2- ืคืขืืืงืืึทื ืืึทืฉืืึธืจืื
ืฆื ืืึทืื ืืขืื ืืจืื ืืขืจ ืคึฟืึทืจ ืืืืขืจื, elastic.co ืืขืืืขืืึธืคึผืขืจืก ืืึธืื ืืืฉืืคื ืึท ืคืขืืืงืืึทื ืืืฉืืจ ืึทืคืืฉืึทืื ืืขืฉืืืฆื ืืืจื ELK. ืืื ืืืขืจ ืืืฅ ืืขื ืขื ืงืืื ืืืกื ืขื ืฆื ืืขื ืืขืจืฉื. ืืึธ ืืื ืืืขื ื ืืฆื Packetbeat ืก ืคืขืืืงืืึทื ืืึทืฉืืึธืจืื ืืื ืึท ืืืึทืฉืคึผืื.
ืืืื ืืืจ ื ืึธืืคืึธืืื ืฉืจืื ืฆืืืื ืคืื ืืขื ืึทืจืืืงื ืจืืืืืง. ืืืจ ืืึธื ืืึธืื ืึท Toolbar ืฉืืขืื ืึทืจืืืฃ ืืืืจืื ืคึฟืึทืจ ืืืจ. ืึทืืื ืืึธืื ืก ืืึทืงืืืขื ืกืืึทืจืืขื.
ืคืื ืื ืืื ืงืก ืงืืืืื ืคืื Kibana, ืืืืกืงืืืึทืื ืื ืืึทืฉืืึธืจื ืกืืืืึธื. ืืืก ืืื ืื ืืจืื ืืืื ืขืจ, ืืืื ืืืจ ืฆืืืื ืคืื ืื ืฉืคึผืืฅ.
ืึทืจืืึทื ืื ืืืืื ื ืึธืืขื ืืื ืื ืืืื ืงืืืืื
ืืืื ืขืก ืืขื ืขื ืขืืืขืืข ืืึทืืืฉืืื ืืื ืื ืืืกื. ื ืงืึธื ืืจืึธื ืืึทืคืืืข ืืืขื ืืืื ืืืฉืืคื ืคึฟืึทืจ ืืขืืขืจ ืคืื ืืื. ืึธืืขืจ ืืืืื ืืขืจ ืืื ืื ืึทืงืืืื ืืึธืืืืข ืืืขื ืืืืึทืื ื ืื-ืืืืืืง ืืึทืื.
ืกืขืืขืงืืืจื ืืขื ืืื ืืืื ืืึธืืืืข ื ืึธืืขื.
ืืึธืก ืืื ืืขืจ ืืืืคึผื ืืืกืืขืจ ืคึผืึทืงืึทืืืขืึทื.
ืืึธืก ืืื ืื ื ืขืฅ ืืืืคื ืงืึธื ืืจืึธื ืืึทืคืืืข. ืขืก ืืืขื ืืึธืื ืืื ืื ืืืขืื ืื ืื ืงืึทืืื ื ืืื ืึทืืืืึธืืื ื ืคึผืึทืงืึทื, ืื ืงืืืืื ืืื ืืขืกืืึทื ืืืฉืึทื ื ืคืื IP ืึทืืจืขืกืขืก, ืืื ืืืื ืืื ืึท ืคึผืืึทืฅ ืคืื ื ืืฆืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืคึฟืึทืจ ืึท ืืืืขืจืืืื ืฆืขื ืืขืจ ืึทื ืึทืืืกื.
3 - ืงืจืืืืืื ื ืืืื ืขืจืฉืืขืจ ืืึทืฉืืึธืจืื
3-1- ืืงืขืจืืืง ืงืึทื ืกืขืคึผืก
ื - ืืืืคึผืก ืคืื ืืึทืฉืืึธืจืื:
ืืึธืก ืืขื ืขื ืื ืคืึทืจืฉืืืขื ืข ืืืืคึผืก ืคืื ืืืืืฉืืืึทืืึทืืืืฉืึทื ื ืืืจ ืงืขื ืขื ื ืืฆื ืฆื ืืืืืฉืืืึทืืืื ืืืื ืืึทืื.
ืคึฟืึทืจ ืืืึทืฉืคึผืื ืืืจ ืืึธืื:
- ืืึทืจ ืืฉืึทืจื
- ืืึทืคึผืข
- ืืึทืจืงืืึทืื ืืืืืืฉืื
- ืคึผืืจืึธื ืืฉืึทืจื
B-KQL (Kibana Query Language):
ืืึธืก ืืื ืื ืฉืคึผืจืึทื ืืขื ืืฆื ืืื ืงืืืึทื ืึท ืคึฟืึทืจ ืืจืื ื ืืืื ืคืื ืืึทืื. ืขืก ืึทืืึทืื ืืืจ ืฆื ืงืึธื ืืจืึธืืืจื ืืืื ืืืืขืจ ืืึทืื ืืืืืกืฅ ืืื ืคืืืข ืื ืืขืจืข ื ืืฆืืง ืคึฟืขืึดืงืืืื. ืฆื ืืขืคึฟืื ืขื ืืขืจ ืืื ืคึฟืึธืจืืึทืฆืืข, ืืืจ ืงืขื ืขื ืืืกืคืึธืจืฉื ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืฃ ืืขื ืืื ืง
ืืึธืก ืืื ืึท ืืืืฉืคึผืื ืึธื ืคึฟืจืขื ืฆื ืืขืคึฟืื ืขื ืึท ืืึทืืขืืึธืก ืคืืืกื ืืืง Windows 10 ืคึผืจืึธ.
C- ืคืืืืขืจืก:
ืืขืจ ืฉืืจืื ืืืขื ืืึธืื ืืืจ ืฆื ืคืืืืขืจ ืืืืขืจ ืคึผืึทืจืึทืืขืืขืจืก ืึทืืึท ืืื ืืึธืกืื ืึทืืข, ืืขืฉืขืขื ืืฉ ืงืึธื ืึธืืขืจ ืฉืืึทื, ืืื"ื ื. ืคืืืืขืจืก ืืืขื ืฉืืืจืง ืคึฟืึทืจืืขืกืขืจื ืื ืืืกืคืึธืจืฉืื ื ืคืึทืกืข ืืื ืืขืจืืื ืขื ืคืื ืฆืืื ืืื ืื ืคืืจืืจืืื ืืืื ืคึฟืึทืจ ืืึธืื.
ื - ืขืจืฉืืขืจ ืืืืืฉืืืึทืืึทืืืืฉืึทื:
ืืึธืืืจ ืืึทืื ืึท ืืืืืฉืืืึทืืึทืืืืฉืึทื ืคึฟืึทืจ MITER ATT & CK.
ืขืจืฉืืขืจ ืืืจ ืืึทืจืคึฟื ืฆื ืืืื ืฆื ืืึทืฉืืึธืจื โ ืฉืึทืคึฟื ื ืืึท ืืึทืฉืืึธืจื โ ืฉืึทืคึฟื ื ืืึท โ ืคึผืืจืึธื ืืึทืฉืืึธืจื
ืืึทืฉืืขืืืง ืืขื ืืืคึผ ืคึฟืึทืจ ืื ืืื ืืขืงืก ืืืกืืขืจ, ืืื ืฆืึทืคึผื ืืืืฃ ืื ื ืึธืืขื ืคืื ืืืื ืฉืืึธืื.
ืืจืืง ืึทืจืืึทื. ืืืฆื ืืืจ ืืึธื ืืขื ืึท ืืจืื ืคึผืขืืคึผืืงื.
ืืื ืื ืืึทืงืึทืฅ ืงืืืืื ืืืืฃ ืื ืืื ืงืก ืืืจ ืืืขื ืืขืคึฟืื ืขื:
- ืฉืคึผืึทืืื ืกืืืืกืื ืืืขื ืืืืื ืื ืคึผืขืืคึผืืงื ืืื ืคืึทืจืฉืืืขื ืข ืืืืื ืืืคึผืขื ืืื ื ืืืืฃ ืื ืคืึทืจืฉืคึผืจืืืื ืคืื ืื ืืึทืื.
- ืกืคึผืืื ืืฉืึทืจื ืืืขื ืืึทืื ืื ืื ืืขืจ ืคึผืขืืคึผืืงื ืืืืึทืืขืจ ืฆื ืืขื ืืืื ืขืจ.
ืืืจ ืืืขืื ื ืืฆื ืฉืคึผืึทืืื ืกืืืืกืื.
ืืืจ ืืืขืื ืืืืืฉืืืึทืืืื ืืื ืืืขืจ ืืึทืื ืืืคึผืขื ืืื ื ืืืืฃ ืื ืืขืจืืื ืืืจ ืงืืืึทืื. ืืื ืืขื ืคืึทื, ืืขืจ ืืขืจืืื ืืืขื ืึธืคึผืฉืืงื ืฆื MITER ATT & CK.
ืืื Winlogbeat, ืื ืคืขืื ืืืึธืก ืืืขื ืฆืืฉืืขืื ืืื ืื ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืืขืจืืคื:
winlog.event_data.RuleNameืืืจ ืืืขืื ืฉืืขืื ืึท ืฆืืืื ืืขืืจืืง ืฆื ืกืืจ events ืืืืืจื ืืืืฃ ืื ื ืืืขืจ ืคืื ืืื ืืื ืคืึทืื.
ืืขืื ืื "ืืจืืคึผืข ืื ืืขืจืข ืืืึทืืืขืก ืืื ืึท ืืึทืืื ืืขืจ ืึธืคึผืฉื ืื" ืฉืืจืื.
ืืึธืก ืืืขื ืืืื ื ืืฆืืง ืืืื ืื ืืขืจืืื ืขื ืืืจ ืงืืืึทืื ืืึธืื ืคืืืข ืคืึทืจืฉืืืขื ืข ืืื ืื ืื ืืืืืจื ืืืืฃ ืจืืื. ืืึธืก ืืขืืคึผืก ืืืืืฉืืืึทืืืื ืื ืจืขืฉื ืคืื ืื ืืึทืื ืืื ืึท ืืึทื ืฅ. ืืึธืก ืืืขื ืืขืื ืืืจ ืึท ืืขืืึทื ืง ืคืื ืื ืคึผืจืึธืฆืขื ื ืคืื ืื ืจืืขื ืืขืฉืขืขื ืืฉื.
ืืืฆื ืึทื ืืืจ ืืขื ืขื ืคืึทืจืืืง ืืื ืืึทืฉืืขืืืงื ืื ืืึทืื ืงืืืืื, ืืึธืื ืืื ืื ืืืื ืฆื ืื ืึธืคึผืฆืืขืก ืงืืืืื
ืืืจ ืืืื ืืึธื ืื ืคืืืืขื ืืข:
** ืึทืจืึธืคึผื ืขืืขื ืื ืคึผืขืืคึผืืงื ืคืึธืจืขื ืึทืืื ืื ืจืขื ืืขืจืื ื ืืืืืื ืึท ืคืื ืงืจืืึทื.
** ืงืืืึทืื ืื ืืขืืขื ืืข ืฉืืขืืข ืืืจ ืืื. ืืื ืืขื ืคืึทื, ืืืจ ืืืขืื ืืืืึทืื ืืื ืืืืฃ ืื ืจืขืื.
** ืฉืืขืื ืื ืึทืจืืืกืืืืึทืื ืืืึทืืืขืก ืฆื ืืืืึทืื ืืขืื ืืืืขืจ ืกื ืืคึผืึทื ืคึฟืึทืจ ืืจืื ืืขืจ ืืืืขื ืขื ืืื ืืึธืื ืื ืื ืืื ืืื ืคืขืืืงืืึทื
ืืจืื ืงืึทืืืึธื ืืืืขืจืืึทื ื ืืื ืคืื ืืืจ ืืืืื ืฆื ืืืืึทืื ืคึฟืื ืื ืืขืฉืขืขื ืืฉ ื ืึธืืขื.
ืฉืืขืื ืื ืฆืืื ืืื ืืืึธืก ืืืจ ืืืืื ืื ืจืขื ืืขืจืื ื ืฆื ืึธื ืืืืื, ืืื ืืื ืื ืืืื ืงืืืึทืืจืึทื.
ืืืจ ืืึธื ืกืืฃ ืึทืจืืืฃ ืืื ืขืคึผืขืก ืืื ืืึธืก:
ืืืจ ืงืขื ื ืืืื ืืืืื ืึท ืคืืืืขืจ ืฆื ืืืื ืืืืืฉืืืึทืืึทืืืืฉืึทื ืฆื ืคืืืืขืจ ืืืืก ืื ืกืคึผืขืฆืืคืืฉ ืืึทืืขืืึธืก ืืืจ ืืืืื ืฆื ืงืึธื ืืจืึธืืืจื ืึธืืขืจ ืคึผืึทืจืึทืืขืืขืจืก ืืืึธืก ืืืจ ืืจืึทืืื ืืขื ืขื ื ืืฆืืง ืคึฟืึทืจ ืืืื ืฆืื. ืื ืืืืืฉืืืึทืืึทืืืืฉืึทื ืืืขื ืืืืื ืืืืึทืื ืืึทืื ืืืึธืก ืืืืึทืื ืื ืืขืจืฉื ืืขืฉืืขืื ืืื ืื ืคืืืืขืจ. ืืื ืืขื ืคืึทื, ืืืจ ืืืขืื ืืืืื ืืืืึทืื MITER ATT&CK ืืึทืื ืคึฟืื ืืขืจ ืืึทืืขืืึธืก ืืืื ื ืึธืืขื win10.
3-2- ืงืจืืืืืื ื ืืืื ืขืจืฉืืขืจ ืืึทืฉืืึธืจื:
ื ืืึทืฉืืึธืจื ืืื ืึท ืืึทืืืื ื ืคืื ืคืืืข ืืืืืฉืืืึทืืึทืืืืฉืึทื ื. ืืืื ืืึทืฉืืึธืจืื ืืึธื ืืืื ืงืืึธืจ, ืคืึทืจืฉืืืืืง ืืื ืึทื ืืืึทืืื ื ืืฆืืง, ืืืืขืจืืึทื ืืกืืืง ืืึทืื. ืืึธ ืืื ืึท ืืืืฉืคึผืื ืคืื ืื ืืึทืฉืืึธืจืื ืืืึธืก ืืืจ ืืึธืื ืืืฉืืคื ืคึฟืื ืงืจืึทืฆื ืคึฟืึทืจ winlogbeat.
ืืื ืง ืืืจ ืคึฟืึทืจ ืืืื ืฆืืื. ืืื ืืึธืคึฟื ืืืจ ืืขืคึฟืื ืขื ืืขื ืึทืจืืืงื ื ืืฆืืง. ืืืื ืืืจ ืืืืื ืืขืจ ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืืขืืข, ืืืจ ืจืขืงืึธืืขื ืืืจื ืืืจ ืืึทืืืื .
ืืขืืขืืจืึทื ืฉืืืขืกื ืืืืฃ Elasticsearch:
ืืงืืจ: www.habr.com