Ifiweranṣẹ yii yoo ṣe apejuwe siseto iworan ti ELK ati awọn dasibodu SIEM ni ELK
A pin nkan naa si awọn apakan wọnyi:
1- ELK SIEM Atunwo
2- Dashboards aiyipada
3- Ṣiṣẹda awọn dasibodu akọkọ rẹ
Tabili ti awọn akoonu ti gbogbo posts.
- Integration pẹlu WAZUH
- Gbigbọn
- Iroyin
- Isakoso iṣoro
1-ELK SIEM Atunwo
Laipẹ ELK SIEM ni a ṣafikun si akopọ elk ni ẹya 7.2 ni Oṣu Karun ọjọ 25, Ọdun 2019.
Eyi jẹ ojutu SIEM ti a ṣẹda nipasẹ elastic.co lati jẹ ki igbesi aye oluyanju aabo rọrun pupọ ati pe o kere si.
Ninu ẹya wa ti iṣẹ naa, a pinnu lati ṣẹda SIEM tiwa ati yan igbimọ iṣakoso ti ara wa.
Ṣugbọn a ro pe o ṣe pataki lati ṣawari ELK SIEM ni akọkọ.
1.1- Ogun iṣẹlẹ apakan
A yoo wo apakan ogun ni akọkọ. Abala ogun yoo gba ọ laaye lati wo awọn iṣẹlẹ ti o ti ipilẹṣẹ ni aaye ipari funrararẹ.
Lẹhin tite lori wiwo awọn ogun o yẹ ki o gba nkan bii eyi. Bi o ti le rii, awọn ogun mẹta lo wa ti a ti sopọ si kọnputa yii:
1 Windows 10.
2 Ubuntu Server 18.04.
A ni ọpọlọpọ awọn iworan ti o han, ọkọọkan jẹ aṣoju awọn iru iṣẹlẹ.
Fun apẹẹrẹ, ọkan ti o wa ni aarin fihan data wiwọle lori gbogbo awọn ẹrọ mẹta.
Iye data ti o rii nibi ni a gba fun ọjọ marun. Eyi n ṣalaye nọmba nla ti awọn iwọle ti kuna ati aṣeyọri. Iwọ yoo ni nọmba kekere ti awọn akọọlẹ, nitorinaa maṣe yọ ara rẹ lẹnu
1.2- Network iṣẹlẹ apakan
Gbigbe lọ si apakan nẹtiwọki, o yẹ ki o gba nkan bi eyi. Abala yii yoo gba ọ laaye lati tọju oju isunmọ lori ohun gbogbo ti o ṣẹlẹ lori nẹtiwọọki rẹ, lati ijabọ HTTP/TLS si ijabọ DNS ati awọn itaniji iṣẹlẹ ita.
2- Dashboards aiyipada
Lati jẹ ki igbesi aye rọrun fun awọn olumulo, awọn olupilẹṣẹ elastic.co ti ṣẹda ọpa irinṣẹ aiyipada ni ifowosi atilẹyin nipasẹ ELK. Awọn lilu wa ko ṣe iyatọ si ofin yii. Nibi Emi yoo lo awọn dasibodu aiyipada Packetbeat bi apẹẹrẹ.
Ti o ba tẹle igbesẹ meji ti nkan naa ni deede. O yẹ ki o ṣeto ọpa irinṣẹ ti nduro fun ọ. Nitorinaa jẹ ki a bẹrẹ.
Lati taabu osi ti Kibana, yan aami dasibodu naa. Eyi ni ẹkẹta, ti o ba ka lati oke.
Tẹ orukọ ipin sii ninu taabu wiwa
Ti o ba ti nibẹ ni o wa ni ọpọlọpọ awọn modulu ni bit. Igbimọ iṣakoso yoo ṣẹda fun ọkọọkan wọn. Sugbon nikan ni ọkan pẹlu awọn module ti nṣiṣe lọwọ yoo han ti kii-sofo data.
Yan eyi ti o ni orukọ module rẹ.
Eyi ni apẹrẹ akọkọ PacketBeat.
Eyi ni nronu iṣakoso ṣiṣan nẹtiwọọki. Yoo sọ fun wa nipa apo ti nwọle ati ti njade, awọn orisun ati awọn ibi ti awọn adirẹsi IP, ati tun pese alaye pupọ ti o wulo fun oluyanju ile-iṣẹ aabo.
3 - Ṣiṣẹda awọn dasibodu akọkọ rẹ
3–1- Awọn imọran ipilẹ
A- Awọn oriṣi ti dasibodu:
Iwọnyi jẹ awọn oriṣiriṣi awọn iworan ti o le lo lati fojuwo data rẹ.
fun apẹẹrẹ a ni:
- igi awonya
- map
- Markdown ailorukọ
- Paii apẹrẹ
B- KQL (Ede ibeere Kibana):
Eyi ni ede ti a lo ni Kibana fun wiwa data ni irọrun. O gba ọ laaye lati ṣayẹwo boya data kan wa ati ọpọlọpọ awọn ẹya to wulo miiran. Lati wa diẹ sii, o le ṣawari alaye naa ni ọna asopọ yii
Eyi jẹ ibeere apẹẹrẹ lati wa agbalejo nṣiṣẹ Windows 10 pro.
C- Ajọ:
Ẹya yii yoo gba ọ laaye lati ṣe àlẹmọ awọn paramita kan gẹgẹbi orukọ olupin, koodu iṣẹlẹ tabi ID, bbl Awọn Ajọ yoo mu ilọsiwaju ipele iwadii pọ si ni awọn ofin ti akoko ati igbiyanju ti o lo wiwa ẹri.
D- Iwoye akọkọ:
Jẹ ki a ṣẹda iworan fun MITER ATT & CK.
Ni akọkọ a nilo lati lọ si Dasibodu → Ṣẹda dasibodu tuntun → ṣẹda tuntun → Dasibodu Pie
Ṣeto iru fun apẹrẹ atọka, lẹhinna tẹ orukọ lilu rẹ ni kia kia.
Tẹ Tẹ. Ni bayi o yẹ ki o wo donut alawọ kan.
Ninu taabu Buckets ni apa osi iwọ yoo wa:
- Awọn ege pipin yoo pin donut si awọn ẹya oriṣiriṣi da lori itankale data naa.
- Pipin Chart yoo ṣẹda donut miiran lẹgbẹẹ eyi.
A yoo lo awọn ege pipin.
A yoo foju inu wo data wa da lori ọrọ ti a yan. Ni idi eyi ọrọ naa yoo tọka si MITER ATT & CK.
Ni Winlogbeat, aaye ti yoo fun wa ni alaye yii ni a npe ni:
winlog.event_data.RuleNameA yoo ṣeto metiriki kika lati paṣẹ awọn iṣẹlẹ da lori iye awọn akoko ti wọn waye.
Mu “Ẹgbẹ awọn iye miiran ṣiṣẹ ni apakan lọtọ” ẹya.
Eyi yoo wulo ti awọn ofin ti o yan ba ni ọpọlọpọ awọn itumọ oriṣiriṣi ti o da lori ilu. Eyi ṣe iranlọwọ fun wiwo iyoku data naa lapapọ. Eyi yoo fun ọ ni imọran ti ipin ogorun awọn iṣẹlẹ to ku.
Ni bayi ti a ti pari eto taabu data, jẹ ki a lọ si taabu awọn aṣayan
O gbọdọ ṣe awọn wọnyi:
**Yọ apẹrẹ donut kuro ki o ṣe afihan iyika ni kikun.
** Yan ipo arosọ ti o fẹ. Ni idi eyi, a yoo han wọn lori ọtun.
** Ṣeto awọn iye ifihan lati ṣafihan lẹgbẹẹ snippet wọn fun kika rọrun ki o fi iyokù silẹ bi aiyipada
Truncation pinnu iye ti o fẹ ṣafihan lati orukọ iṣẹlẹ naa.
Ṣeto akoko ni eyiti o fẹ ki iṣafihan bẹrẹ, lẹhinna tẹ onigun buluu naa.
O yẹ ki o pari pẹlu nkan bii eyi:
O tun le ṣafikun àlẹmọ si iworan rẹ lati ṣe àlẹmọ jade ogun kan pato ti o fẹ ṣayẹwo tabi eyikeyi awọn aye ti o ro pe o wulo fun idi rẹ. Iworan yoo ṣe afihan data nikan ti o baamu ofin ti a gbe sinu àlẹmọ. Ni ọran yii, a yoo ṣafihan data MITER ATT&CK nikan ti o nbọ lati ọdọ agbalejo ti a npè ni win10.
3-2- Ṣiṣẹda dasibodu akọkọ rẹ:
Dasibodu jẹ ikojọpọ ti ọpọlọpọ awọn iworan. Awọn dasibodu rẹ yẹ ki o han, oye, ati iwulo, data ipinnu ipinnu. Eyi jẹ apẹẹrẹ ti awọn dasibodu ti a ṣẹda lati ibere fun winlogbeat.
O ṣeun fun akoko rẹ. Mo nireti pe o rii pe nkan yii ṣe iranlọwọ. Ti o ba fẹ alaye diẹ sii lori koko, a ṣeduro pe ki o ṣabẹwo .
Iwiregbe Telegram lori Elasticsearch:
orisun: www.habr.com