🤕 💪🏼 🔅 टीएस कुल दृष्टि। घटना संग्रह, घटना विश्लेषण और खतरे की प्रतिक्रिया स्वचालन उपकरण 🎦 🦋 👩🏿‍🤝‍👩🏻

शुभ दोपहर, पिछले लेखों में हमने ईएलके स्टैक के काम को जाना। और अब हम उन संभावनाओं पर चर्चा करेंगे जिन्हें इन प्रणालियों का उपयोग करने में एक सूचना सुरक्षा विशेषज्ञ द्वारा महसूस किया जा सकता है। क्या लॉग और इलास्टिक्स खोज में बनाया जा सकता है। आइए विचार करें कि डैशबोर्ड स्थापित करके क्या आंकड़े प्राप्त किए जा सकते हैं और क्या इसमें कोई लाभ है। ईएलके स्टैक का उपयोग करके सूचना सुरक्षा प्रक्रियाओं के स्वचालन को लागू करना कैसे संभव है। हम सिस्टम की वास्तुकला की रचना करते हैं। संक्षेप में, सभी कार्यक्षमता का कार्यान्वयन एक बहुत बड़ा और कठिन काम है, इसलिए समाधान को एक अलग नाम - टीएस कुल ऊंचाई में विलोपित किया गया था।

वर्तमान में, एक तार्किक स्थान पर सूचना सुरक्षा घटनाओं को समेकित और विश्लेषण करने वाले समाधान लोकप्रियता प्राप्त कर रहे हैं। नतीजतन, एक विशेषज्ञ एक संगठन की सुरक्षा स्थिति में सुधार के लिए आंकड़े और कार्यों की एक अग्रिम पंक्ति प्राप्त करता है। हमने ELK स्टैक का उपयोग करते हुए अपने लिए यह कार्य निर्धारित किया, जिसके परिणामस्वरूप हमने 4 वर्गों में मुख्य कार्यक्षमता को आवंटित किया:

सांख्यिकी और दृश्य;
आईएस की घटना का पता लगाने;
घटनाओं का प्राथमिकताकरण;
सूचना सुरक्षा प्रक्रियाओं का स्वचालन।

अगला, हम अलग से अधिक विस्तार से विचार करते हैं।

सुरक्षा घटना का पता लगाना

हमारे मामले में elasticsearch का उपयोग करने का मुख्य कार्य केवल सूचना सुरक्षा घटनाओं को इकट्ठा करना है। सुरक्षा के किसी भी माध्यम से सूचना सुरक्षा घटनाओं को इकट्ठा करना संभव है यदि वे लॉग फ़ॉरवर्डिंग के कम से कम कुछ तरीकों का समर्थन करते हैं, तो मानक एक फ़ाइल में syslog या scp सेविंग है।

आप सुरक्षा सुविधाओं के मानक उदाहरण दे सकते हैं और न केवल जहां लॉग अग्रेषण को कॉन्फ़िगर करने के लिए:

NGFW (चेक प्वाइंट, फोर्टिनेट) का कोई भी साधन;
किसी भी भेद्यता स्कैनर (पीटी स्कैनर, ओपनवीएएस);
वेब अनुप्रयोग फ़ायरवॉल (पीटी एएफ);
नेटफ्लो एनालाइज़र (फ्लोअमोन, सिस्को स्टील्थवॉच);
AD सर्वर।

लॉगस्टैश में लॉग फ़ॉरवर्डिंग और कॉन्फ़िगरेशन फ़ाइलों को सेट करने के बाद, आप विभिन्न सुरक्षा उपकरणों से आने वाली घटनाओं के साथ सहसंबंधी और तुलना कर सकते हैं। ऐसा करने के लिए, अनुक्रमित का उपयोग करना सुविधाजनक है जिसमें हम एक विशिष्ट डिवाइस से संबंधित सभी घटनाओं को संग्रहीत करेंगे। दूसरे शब्दों में, एक सूचकांक एक डिवाइस के लिए सभी घटनाएं हैं। इस तरह के वितरण को लागू करने के 2 तरीके हैं।

पहला विकल्प लॉगस्टैश कॉन्फिगर को कॉन्फ़िगर करना है। ऐसा करने के लिए, कुछ क्षेत्रों के लिए लॉग को किसी अन्य प्रकार के साथ एक अलग इकाई में डुप्लिकेट करना आवश्यक है। और फिर बाद में इस प्रकार का उपयोग करें। उदाहरण में, लॉग को चेक प्वाइंट IPS फ़ायरवॉल ब्लेड का उपयोग करके क्लोन किया जाता है।

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

लॉग फ़ील्ड के आधार पर, एक अलग इंडेक्स में इस तरह की घटनाओं को बचाने के लिए, उदाहरण के लिए, जैसे कि डेस्टिनेशन आईपी हमला हस्ताक्षर। आप एक समान निर्माण का उपयोग कर सकते हैं:

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

और इस तरह, आप सभी घटनाओं को सूचकांक में सहेज सकते हैं, उदाहरण के लिए, आईपी पते से, या मशीन के डोमेन नाम से। इस मामले में, हम हस्ताक्षर के आईपी पते पर "स्मार्टडेफ़ेंस -% {dst}" सूचकांक में सहेजते हैं ।

हालांकि, विभिन्न उत्पादों में लॉग के लिए अलग-अलग क्षेत्र होंगे, जिससे अराजकता और अनावश्यक स्मृति की खपत होगी। और यहाँ यह पहले से कल्पना की गई क्षेत्रों के साथ खेतों को बदलने के लिए लॉगस्टैश कॉन्फ़िगरेशन सेटिंग्स में या तो सावधानी से आवश्यक होगा, जो सभी प्रकार की घटनाओं के लिए समान होगा, जो कि एक मुश्किल काम भी है।

दूसरा कार्यान्वयन विकल्प- यह एक स्क्रिप्ट या प्रक्रिया लिख रहा है जो वास्तविक समय में लोचदार डेटाबेस तक पहुंच जाएगा, आवश्यक घटनाओं को बाहर निकालेगा, और इसे एक नए सूचकांक में बचाएगा, यह एक मुश्किल काम है, लेकिन यह आपको लॉग के साथ काम करने की अनुमति देता है, जैसा कि आप कृपया, और दूसरों से घटनाओं के साथ सीधे संबंध स्थापित करें। सुरक्षा विशेषताएं। यह विकल्प आपको अधिकतम लचीलेपन के साथ आपके मामले के लिए लॉग के साथ काम को कॉन्फ़िगर करने की अनुमति देता है, लेकिन यहां एक विशेषज्ञ को खोजने में समस्या है जो इसे लागू कर सकते हैं।

और निश्चित रूप से, सबसे महत्वपूर्ण सवाल, लेकिन क्या आम तौर पर पता लगाया जा सकता है और पता लगाया जा सकता है ?

कई विकल्प हो सकते हैं, और आपके आधारभूत ढांचे में किन सुरक्षा सुविधाओं का उपयोग किया जाता है, इस पर निर्भर करता है, कुछ उदाहरण:

NGFW . IPS . ( ) IPS, — , .
, .
.

सबसे स्पष्ट और समझने योग्य कारण जिसके लिए ELK Stack की आवश्यकता है, लॉग्स का संग्रहण और विज़ुअलाइज़ेशन है, पिछले लेखों में यह दिखाया गया था कि लॉगस्टैश का उपयोग करके विभिन्न उपकरणों से फ़ाइलों को कैसे लॉग किया जाए। लॉग के बाद एलिस्टिक्स खोज में, आप डैशबोर्ड सेट कर सकते हैं, जिसका उल्लेख पिछले लेखों में भी किया गया था , विज़ुअलाइज़ेशन के माध्यम से आपके लिए आवश्यक जानकारी और आंकड़े।

उदाहरण:

सबसे महत्वपूर्ण घटनाओं के साथ खतरा निवारण डैशबोर्ड। यहां आप प्रतिबिंबित कर सकते हैं कि कौन से आईपीएस हस्ताक्षर का पता लगाया गया था, जहां वे भौगोलिक रूप से आते हैं।
सबसे महत्वपूर्ण अनुप्रयोगों के उपयोग पर डैशबोर्ड जिसके लिए जानकारी विलय हो सकती है।
किसी भी सुरक्षा स्कैनर से स्कैन परिणाम।
उपयोगकर्ता द्वारा सक्रिय निर्देशिका के साथ लॉग।
वीपीएन कनेक्शन डैशबोर्ड।

इस स्थिति में, यदि आप हर कुछ सेकंड में अपडेट करने के लिए डैशबोर्ड्स को कॉन्फ़िगर करते हैं, तो आप वास्तविक समय में घटनाओं की निगरानी के लिए एक काफी सुविधाजनक प्रणाली प्राप्त कर सकते हैं, जो तब अलग-अलग स्क्रीन पर डैशबोर्ड्स डालने पर आईएस की घटनाओं का तुरंत जवाब देने के लिए उपयोग किया जा सकता है।

घटना की प्राथमिकता

बड़े बुनियादी ढांचे की स्थितियों में, घटनाओं की संख्या चार्ट से दूर हो सकती है, और विशेषज्ञ समय पर सभी घटनाओं का प्रबंधन करने में सक्षम नहीं होंगे। इस मामले में, उन घटनाओं को बाहर करने के लिए सबसे पहले आवश्यक है जो एक बड़ा खतरा पैदा करते हैं। इसलिए, सिस्टम को आपके बुनियादी ढांचे के संबंध में उनके खतरे के अनुसार घटनाओं को प्राथमिकता देना चाहिए। ईवेंट डेटा के मेल या टेलीग्राम में अलर्ट सेट करना उचित है। विज़ुअलाइज़ेशन सेट करके नियमित किबाना टूल्स का उपयोग करके प्राथमिकता को लागू किया जा सकता है। लेकिन एक अधिसूचना के साथ यह कठिन है, डिफ़ॉल्ट रूप से यह कार्यक्षमता केवल एक भुगतान वाले में, एलेस्टिक्स के आधार संस्करण में शामिल नहीं है। इसलिए, या तो एक भुगतान किया संस्करण खरीदें, या फिर से, प्रक्रिया को स्वयं लिखें जो मेल या टेलीग्राम द्वारा वास्तविक समय में विशेषज्ञों को सूचित करेगा।

सूचना सुरक्षा प्रक्रियाओं का स्वचालन

और सबसे दिलचस्प भागों में से एक सूचना सुरक्षा घटनाओं पर कार्रवाई का स्वचालन है। पहले, हमने स्प्लंक के लिए इस कार्यक्षमता को लागू किया, थोड़ा और विस्तार, आप इस लेख में पढ़ सकते हैं । मूल विचार यह है कि IPS नीति का कभी परीक्षण या अनुकूलन नहीं किया जाता है, हालांकि कुछ मामलों में यह सूचना सुरक्षा प्रक्रियाओं का एक अनिवार्य हिस्सा है। उदाहरण के लिए, एनजीएफडब्ल्यू के कार्यान्वयन और आईपीएस को अनुकूलित करने के लिए कार्यों की अनुपस्थिति के एक साल बाद, आप डिटेक्ट कार्रवाई के साथ बड़ी संख्या में हस्ताक्षर जमा करेंगे, जिसे अवरुद्ध नहीं किया जाएगा, जो संगठन में सूचना सुरक्षा की स्थिति को काफी कम कर देता है। निम्नलिखित कुछ उदाहरण हैं जो स्वचालित हो सकते हैं:

IPS Detect Prevent. Prevent, , . . , NGFW REST API. , Elastcisearch API NGFW.
IP , IP Firewall. REST API.
एक भेद्यता स्कैनर के साथ एक मेजबान स्कैन चलाएं, यदि इस मेजबान के पास आईपीएस या अन्य सुरक्षा उपकरणों के माध्यम से बड़ी संख्या में हस्ताक्षर हैं, अगर यह ओपनवस है, तो आप एक स्क्रिप्ट लिख सकते हैं जो ssh के माध्यम से सुरक्षा स्कैनर से कनेक्ट होगी और एक स्कैन चलाएगा।