Detecte rápidamente IP maliciosas observadas por su firewall

PRIMERA PARTE : Almacenamiento backend

SEGUNDA PARTE : Ingestión de registros

PARTE TRES: Análisis de registro

CUARTA PARTE: Instalación del agente de Wazuh

PARTE CINCO: Registro SIEM inteligente

SEXTA PARTE: Los mejores paneles SIEM de código abierto

SÉPTIMA PARTE: Recopilación de registros de cortafuegos simplificada

Introducción

En la Parte 7: Recopilación de registros de firewall simplificada, configuramos Graylog para recibir, analizar y escribir nuestros registros de firewall recopilados en nuestro backend SIEM. Si bien esto es excelente para visualizar nuestros datos, demos un paso más y enriquezcamos nuestros registros de firewall recopilados con inteligencia de amenazas proporcionada por GREYNOISE .

Amenaza a Intel con GreyNoise

Agreguemos Threat Intel usando la API de GreyNoise que Graylog usará para enriquecer nuestras direcciones IP conectadas con la inteligencia de GreyNoise. Esto nos permite detectar rápidamente direcciones IP maliciosas cuyo tráfico se observó a través de nuestros registros de pfSense.

CREA TU CLAVE DE API GRATUITA CON GREYNOISE ANTES DE PROGRESAR

Flujo de datos

Primero debemos comprender la ruta completa que tomarán nuestros datos durante el proceso de enriquecimiento.

1. Registros reenviados desde Firewall a Graylog ( LEA LA SIETE PARTE )
2. Graylog comprueba si el registro recibido contiene el nombre del campoDestIP

4. Graylog enriquece el registro original con la respuesta GREYNOISE

5. Graylog escribe el registro en el SIEM Backend (Wazuh-Indexer)

Crear adaptador de datos

Dentro de Graylog, primero debemos crear un archivo Data Adapter. Allí es donde configuramos la Data Adaptersolicitud de API que se realizará, como la URL, las claves de autenticación, los encabezados, etc.

1. Vaya a Sistema -> Tablas de búsqueda y seleccione Data Adapters.

3. Verifique que su clave de API sea correcta probando una búsqueda de45.83.66.207

Crear caché de datos

Otro beneficio de usar Graylog es el Data Caching. La mayoría de los servicios de API limitan la cantidad de solicitudes de API que los usuarios finales pueden realizar durante un período de tiempo determinado. Esta limitación da como resultado que nuestro Threat Intel automatizado no proporcione ningún valor una vez que se ha alcanzado nuestro límite de API.

Para combatir este problema, implementamos el almacenamiento en caché de datos de Graylog. Los cachés son responsables de almacenar en caché los resultados de la búsqueda para mejorar el rendimiento de la búsqueda y/o evitar sobrecargar las bases de datos y las API. Antes de invocar una llamada API a Greynoise, Graylog primero verificará el caché interno. Si DestIPse enriqueció previamente con los resultados de la API de Greynoise, esas entradas se almacenan en la caché de datos de Graylog y no es necesario que Graylog invoque la API de Greynoise nuevamente. Ahorrando así nuestra cuota de API.

1. Vaya a Sistema -> Tablas de búsqueda y seleccione Caches.

El aviso Expire after accessse puede ajustar a tu gusto. Tenga en cuenta que los tiempos de caducidad más altos consumirán más memoria de su nodo Graylog

Crear tabla de búsqueda

El componente de tabla de búsqueda une una instancia de adaptador de datos y una instancia de caché. Es necesario para habilitar realmente el uso de la tabla de búsqueda en extractores, convertidores, funciones de canalización y decoradores.

1. Vaya a Sistema -> Tablas de búsqueda y seleccione Lookup Tables.

Creación de regla de canalización

Con nuestra tabla de búsqueda configurada, debemos decirle a Graylog cuándo queremos invocar la API de Greynoise. Esto se logra creando un Pipeline Rule.

1. Vaya a Sistema -> Tuberías y seleccione Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Cree la Greynoisetubería y agregue su flujo de firewall que configuramos en la séptima parte .

4. Dentro Stage 0de agregar la GreyNoise Lookup on DestIPregla de canalización.

Resultados

Dirígete a tu Firewall Stream y observa el enriquecimiento que tiene lugar.

¡Ahora puede comenzar a crear paneles, como lo hicimos en la Parte 6 , y alertas para notificar al equipo SOC cuando Greynoise detecta una dirección IP maliciosa contenida en sus registros de Firewall!

Conclusión

A lo largo de esta publicación de blog, configuramos Graylog para enriquecer nuestros registros de Firewall ingeridos con la API de Greynoise. ¡Esta publicación solo toca la superficie de la automatización y el enriquecimiento de datos que es posible con Graylog! ¿Entonces, Qué esperas? ¡Comience a enriquecer sus datos con Threat Intel ahora! Feliz defendiendo .

¿Necesitas ayuda?

La funcionalidad discutida en esta publicación, y mucho más, está disponible a través de los Servicios Profesionales de SOCFortress. Deje que SOCFortress lo ayude a usted y a su equipo a mantener su infraestructura segura.

Sitio web:https://www.socfortress.co/

Servicios profesionales:https://www.socfortress.co/ps.html