自己动手搭建信息安全可视化平台 – 作者:fish1983

一、平台首页仪表盘

早上到公司,小Z打开自建的安全可视化平台首页仪表盘,观察着内网发生的一切,看是否有需要调查的事件或IP:界面最上方显示某几台服务器群实时外联的火箭图,可以知道实时哪个ip对外产生了连接;核心交换机有arp miss的攻击,看来内网有几台主机发生过扫描的动作,平台记录了发生的IP,时间,扫描次数等信息;蜜罐那个图,也发现了最新的攻击端口,ip等信息;资产数量一看,和上周相比,服务器数量增加了一台,看来运维建了一台服务器还没有报备;今天病毒的数量趋势较前一天增加了几台,发现3台终端有病毒的报警,而且是最新发现的主机,需要去处理一下,查明中毒的原因,还有4台挖矿的主机也需要去排查;vpn接入图上看,子公司有2台主机访问了超过正常阈值限制的服务器数量,是不是需要通知子公司的系统管理员去协助调查原因,哪些员工的工号存在尝试性登陆VPN出错等;同时,一些主机对服务器关键端口3389,22等访问基本处于正常的阈值范围;漏洞分布这块,高危漏洞是否减少了,这个得让运维的小伙伴抓紧修复,等等……把所有问题梳理一遍后,小Z一天的工作开始了。

二、平台的搭建材料说明书

日志收集工具

目前日志收集的工具很多,小Z使用日志收集工具:splunk试用版

数据源

目前数据源主要来自于以下十大部分。

excel资产清单,杀软后台日志,漏扫日志,部分全流量日志,入侵防御ips,vpn接入日志,蜜罐,核心交换机日志,免费在线情报,内部系统登录日志等;

数据输入方式(不同的数据源采用不同日志平台导入方式),主要是以下4种:

1-配置udp或tcp的端口,例如syslog等

2-后台数据库读取 splunk db connect

https://splunkbase.splunk.com/app/2686/

3-xls等文本读取

4-API调用读取

数据存储

Splunk有个索引Indexer的概念,Indexer提供数据的存储,索引,类似Elasticsearch的作用

https://docs.splunk.com/Documentation/Splunk/7.2.3/Indexer/Aboutindexesandindexers

数据处理和展示

数据进来后主要会做一些关键字筛选,统计分析和可视化展示的处理。

规则和可视化参考

https://attack.mitre.org/

https://github.com/topics/threat-hunting

https://github.com/tianyulab/Threat_Hunting_with_ELK

https://www.threathunting.net/

https://www.splunk.com/en_us/products/premium-solutions/splunk-enterprise-security/features.html

三、模块说明

1.资产管理模块

信息安全管理的对象-信息化资产,企业网络里到底有多少服务器,网络设备,安全设备,存储等等,这些设备的IP,跑了哪些应用,属于什么VLAN, 启用了哪些网络安全策略,责任人是谁等信息等必须要一目了然,因为那些被遗忘的角落往往是黑客攻击的突破口 ,所以设计这个模块。主要由两部分数据输入,一是运维管理人员的资产台账,一般就是读取xls文档;二是每周的漏扫结果统计,它会和资产台账比较,统计每周的资产数量变化,找出差异以确保资产统计的实时有效性。资产模块还有服务器IP一键调查功能,后面会讲到。

2.杀毒软件日志

作为信息安全监控,杀毒软件是不能缺席的。这个模块重点关注过去一周中毒主机的数量趋势,过去24小时的病毒种类分布,最近2天新发现的中毒主机IP信息,以及最近5天的病毒种类和中毒主机的分布等。从实际经验看,杀软的日志的及时性非常重要,当然不是说其他的日志及时性不重要,这是小Z从勒索病毒的事件中得到的教训,当时平台报警是在在当天下班时间,杀软是报了查杀勒索病毒tiger444.EXE日志的,但是没有做邮件短信类报警,在第一时间得到信息,分析黑客的攻击意图,所以错过了最早的阻断的时机,导致第二天到公司的被动局面。杀软的日志要做到日清,所谓日清就是当天发现当天处理,查明单台服务器或中断中毒的根本原因,有必要可以扩大排查范围。

来源:freebuf.com 2020-10-07 11:04:03 by: fish1983

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论