GitHub: MaxPatrol Siem में डेटा संग्रह कार्यों की निगरानी के लिए Zabbix टेम्पलेट

आज, सूचना सुरक्षा घटनाओं के विश्लेषण में कोलम्बिया मुख्य सहायक है: यह कल्पना करना मुश्किल है कि कई स्रोतों से लॉग को मैन्युअल रूप से देखने में कितना समय लगेगा। उसी समय, स्रोत से डेटा के संग्रह को रोकना एक काफी सामान्य सीएमजी समस्या है। और यह अंतर्निहित साधनों द्वारा इसे हल करना हमेशा संभव है - लेकिन आखिरकार, गलत समय पर घटनाओं का नुकसान आपदा के लिए खतरनाक हो सकता है। ताकि बहुमूल्य जानकारी गायब न हो, हमने MaxPatrol Siem के संचालन की निगरानी के लिए एक बाहरी समाधान लागू किया: हमने Zabbix निगरानी प्रणाली और एक अजगर स्क्रिप्ट के लिए एक टेम्पलेट विकसित किया जिसे हम आपके साथ साझा करने के लिए तैयार हैं। विवरण और बिल्ली के नीचे लिथुब का लिंक।

सैद्धांतिक रूप से, अतिरिक्त एड-ऑन के बिना इस समस्या को हल किया जा सकता है। उदाहरण के लिए, CRM टूल सहसंबंध नियम बनाकर जो डेटा संग्रह या घटनाओं के आगमन के साथ समस्याओं को ट्रैक करते हैं। पहले मामले में, प्रत्येक कलेक्टर के लॉग को इकट्ठा करना आवश्यक होगा, जिससे घटनाओं का प्रवाह बढ़ेगा, जो हमेशा लाइसेंस के कारणों के लिए स्वीकार्य नहीं है और प्रत्येक प्रकार के कलेक्टर के लिए सामान्यीकरण की आवश्यकता होती है।

दूसरे में, सहसंबंध नियमों को विकसित करने का प्रस्ताव है जो एक विशिष्ट स्रोत से घटनाओं की अनुपस्थिति का जवाब देते हैं। लेकिन भले ही हम सूत्रों द्वारा घटनाओं को अलग करने के तर्क को बनाने में समस्याओं को छोड़ दें (उनके प्रकार और डेटा संग्रह के प्रकार पर निर्भर करते हुए), घटनाओं के पूरे प्रवाह को नहीं-हल्के नियमों के माध्यम से चलाने की आवश्यकता बनी हुई है, जो कई बार हार्डवेयर की आवश्यकताओं को बढ़ाती है। मुख्य बात - दोनों विकल्प केवल एक समस्या का संकेत देंगे, लेकिन आपको अभी भी मैन्युअल रूप से डेटा स्ट्रीम को पुनर्स्थापित करना होगा।

MaxPatrol सिएम कार्यों की स्थिति और डेटा स्रोतों से प्रवाह दोनों की निगरानी के लिए तंत्र प्रदान करता है। लेकिन, यदि स्रोत "गिर गया" और समाप्त हो चुके स्रोत से घटनाओं के प्रवाह को स्वचालित रूप से फिर से जोड़ने या बंद करने के प्रयासों की संख्या, तो डेटा संग्रह कार्य का स्वत: पुनः आरंभ असंभव है।

हमारे द्वारा प्रस्तावित स्क्रिप्ट बाहरी सत्यापन के एक तत्व के रूप में काम करती है और Zabbix सर्वर पर चलती है। यह एक डेटा संग्रह कार्य की स्थिति की निगरानी करने और इसे स्वचालित रूप से पुनरारंभ करने की समस्या को हल करता है (जैसे कि आप इसे इंटरफ़ेस के माध्यम से मैन्युअल रूप से कर रहे थे)।

हमने सुरक्षा के मुद्दे पर विशेष ध्यान दिया - क्योंकि सिएम तक पहुंच के लिए क्रेडेंशियल्स की आवश्यकता है। स्क्रिप्ट Zabbix सर्वर पर कॉन्फ़िगरेशन फ़ाइल में संवेदनशील जानकारी संग्रहीत करती है, और कुंजी को स्क्रिप्ट में ही सीवन किया जाता है, लेकिन इसे बिनार में संकलित किया जाता है। इससे उन लोगों के लिए जीवन कठिन हो जाना चाहिए जो अवैध रूप से इन साख को प्राप्त करना चाहते हैं। और यहाँ बिंदु "बुराई हैकर" के बारे में इतना अधिक नहीं है जो बाइनरी को डिकम्पोज कर सकता है, लेकिन ज़ैबिक्स सर्वर के साथ या उसके साथ काम करने वाले कर्मचारियों के बारे में (यदि सर्वर और सिएम अलग-अलग विभागों द्वारा सेवा की जाती है)।

एक शब्द में, बाहरी एसईएम की जांच का ऐसा तत्व न केवल समस्या को ठीक करने में मदद करेगा, बल्कि इसे स्वचालित रूप से हल भी करेगा।

गिटहब लिंक