Erkennen Sie schnell bösartige IPs, die von Ihrer Firewall beobachtet wurden

TEIL EINS : Backend-Speicher

TEIL ZWEI : Protokollaufnahme

TEIL DREI: Protokollanalyse

TEIL VIER: Installation des Wazuh-Agenten

TEIL FÜNF: Intelligente SIEM-Protokollierung

TEIL 6: Die besten Open-Source-SIEM-Dashboards

TEIL SIEBEN: Sammlung von Firewall-Protokollen leicht gemacht

Einleitung

In Teil 7 – Sammlung von Firewall-Protokollen leicht gemacht haben wir Graylog so konfiguriert, dass es unsere gesammelten Firewall-Protokolle empfängt, analysiert und in unser SIEM-Backend schreibt. Während dies großartig ist, um unsere Daten zu visualisieren, gehen wir noch einen Schritt weiter und reichern unsere gesammelten Firewall-Protokolle mit Bedrohungsinformationen an, die von GREYNOISE bereitgestellt werden .

Drohen Sie Intel mit GreyNoise

Lassen Sie uns einige Bedrohungsinformationen hinzufügen, die die API von GreyNoise verwenden, die Graylog verwenden wird, um unsere verbundenen IP-Adressen mit der Intelligenz von GreyNoise anzureichern. Dadurch können wir schnell bösartige IPs erkennen, deren Datenverkehr durch unsere pfSense-Protokolle beobachtet wurde.

ERSTELLEN SIE IHREN KOSTENLOSEN API-SCHLÜSSEL MIT GREYNOISE, BEVOR SIE FORTFAHREN

Datenfluss

Wir müssen zuerst den vollständigen Weg verstehen, den unsere Daten während des Anreicherungsprozesses nehmen werden.

1. Von der Firewall an Graylog weitergeleitete Protokolle ( TEIL 7 LESEN )
2. Graylog prüft, ob das empfangene Protokoll den Feldnamen enthältDestIP

4. Graylog reichert das Originalprotokoll mit der GREYNOISE-Antwort an

5. Graylog schreibt das Log in das SIEM Backend (Wazuh-Indexer)

Datenadapter erstellen

Innerhalb von Graylog müssen wir zuerst eine Data Adapter. Hier Data Adapterkonfigurieren wir die API-Anforderung, die gestellt wird, wie z. B. die URL, Auth-Schlüssel, Header usw.

1. Navigieren Sie zu System -> Nachschlagetabellen und wählen Sie Data Adapters.

3. Überprüfen Sie, ob Ihr API-Schlüssel korrekt ist, indem Sie eine Suche nach testen45.83.66.207

Datencache erstellen

Ein weiterer Vorteil bei der Verwendung von Graylog ist die eingebaute Data Caching. Die meisten API-Dienste begrenzen die Anzahl der API-Anforderungen, die Endbenutzer über einen bestimmten Zeitraum stellen dürfen. Diese Einschränkung führt dazu, dass unser automatisiertes Threat Intel keinen Wert mehr liefert, sobald unser API-Limit erreicht ist.

Um dieses Problem zu bekämpfen, implementieren wir Graylog Data Caching. Die Caches sind für das Zwischenspeichern der Suchergebnisse verantwortlich, um die Suchleistung zu verbessern und/oder eine Überlastung von Datenbanken und APIs zu vermeiden. Vor dem Aufrufen eines API-Aufrufs an Greynoise überprüft Graylog zunächst den internen Cache. Wenn DestIPzuvor mit Greynoise-API-Ergebnissen angereichert wurde, werden diese Einträge im Graylog-Datencache gespeichert, und Graylog muss die Greynoise-API nicht erneut aufrufen. So sparen wir unser API-Kontingent.

1. Navigieren Sie zu System -> Nachschlagetabellen und wählen Sie Caches.

Der Hinweis Expire after accesskann nach Belieben angepasst werden. Beachten Sie, dass höhere Ablaufzeiten mehr Speicher Ihres Graylog-Knotens verbrauchen

Nachschlagetabelle erstellen

Die Lookup-Table-Komponente verbindet eine Datenadapterinstanz und eine Cache-Instanz. Es wird benötigt, um die Verwendung der Nachschlagetabelle in Extraktoren, Konvertern, Pipelinefunktionen und Dekorierern tatsächlich zu ermöglichen.

1. Navigieren Sie zu System -> Nachschlagetabellen und wählen Sie Lookup Tables.

Pipeline-Regel erstellen

Wenn unsere Nachschlagetabelle konfiguriert ist, müssen wir Graylog mitteilen, wann wir die Greynoise-API aufrufen möchten. Dies wird durch die Erstellung einer Pipeline Rule.

1. Navigieren Sie zu System -> Pipelines und wählen Sie Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Erstellen Sie die GreynoisePipeline und fügen Sie Ihren Firewall-Stream hinzu, den wir in Teil Sieben konfiguriert haben .

4. Fügen Sie innerhalb Stage 0die GreyNoise Lookup on DestIPPipeline-Regel hinzu.

Ergebnisse

Gehen Sie zu Ihrem Firewall-Stream und beobachten Sie, wie die Anreicherung stattfindet!

Sie können jetzt damit beginnen, Dashboards zu erstellen, wie wir es in Teil 6 getan haben , und Warnungen, um das SOC-Team zu benachrichtigen, wenn Greynoise eine bösartige IP-Adresse entdeckt, die in Ihren Firewall-Protokollen enthalten ist!

Fazit

In diesem Blogbeitrag haben wir Graylog so konfiguriert, dass unsere aufgenommenen Firewall-Protokolle mit der API von Greynoise angereichert werden. Dieser Beitrag berührt nur die Oberfläche der Automatisierung und Datenanreicherung, die mit Graylog möglich ist! Also, worauf wartest Du? Fangen Sie jetzt an, Ihre Daten mit Threat Intel anzureichern! Viel Spaß beim Verteidigen .

Brauchen Sie Hilfe?

Die in diesem Beitrag besprochenen Funktionen und vieles mehr sind über die Professional Services von SOCFortress verfügbar. Lassen Sie SOCFortress Ihnen und Ihrem Team helfen, Ihre Infrastruktur sicher zu halten.

Webseite:https://www.socfortress.co/

Professionelle Dienstleistungen:https://www.socfortress.co/ps.html