Repérez rapidement les adresses IP malveillantes observées par votre pare-feu

PREMIÈRE PARTIE : Stockage backend

DEUXIÈME PARTIE : Ingestion de journaux

TROISIÈME PARTIE : Analyse des journaux

PARTIE QUATRE : Installation de l'agent Wazuh

CINQUIÈME PARTIE : Journalisation SIEM intelligente

PARTIE SIX : Meilleurs tableaux de bord SIEM open source

SEPTIÈME PARTIE : La collecte de journaux de pare-feu simplifiée

Introduction

Dans la partie 7 - La collecte de journaux de pare-feu simplifiée , nous avons configuré Graylog pour recevoir, analyser et écrire nos journaux de pare-feu collectés dans notre backend SIEM. Bien que cela soit idéal pour visualiser nos données, allons un peu plus loin et enrichissons nos journaux de pare-feu collectés avec des informations sur les menaces fournies par GREYNOISE .

Menace Intel avec GreyNoise

Ajoutons quelques Threat Intel en utilisant l' API de GreyNoise que Graylog utilisera pour enrichir nos adresses IP connectées avec l'intelligence de GreyNoise. Cela nous permet de repérer rapidement les adresses IP malveillantes dont le trafic a été observé via nos journaux pfSense.

CRÉEZ VOTRE CLÉ API GRATUITE AVEC GREYNOISE AVANT DE PROGRESSER

Flux de données

Nous devons d'abord comprendre le parcours complet de nos données pendant le processus d'enrichissement.

1. Journaux transférés du pare-feu à Graylog ( LIRE LA SEPT PARTIE )
2. Graylog vérifie si le journal reçu contient le nom du champDestIP

4. Graylog enrichit le journal d'origine avec la réponse GREYNOISE

5. Graylog écrit le journal dans le backend SIEM (Wazuh-Indexer)

Créer un adaptateur de données

Dans Graylog, nous devons d'abord créer un fichier Data Adapter. C'est Data Adapterlà que nous configurons la requête API qui sera effectuée, telle que l'URL, les clés d'authentification, les en-têtes, etc.

1. Accédez à Système -> Tables de recherche et sélectionnez Data Adapters.

3. Vérifiez que votre clé API est correcte en testant une recherche pour45.83.66.207

Créer un cache de données

Un autre avantage de l'utilisation de Graylog est le fichier Data Caching. La plupart des services d'API limitent le nombre de demandes d'API que les utilisateurs finaux sont autorisés à effectuer sur une période donnée. Cette limitation fait que notre Threat Intel automatisé ne fournit aucune valeur une fois que notre limite d'API a été atteinte.

Pour lutter contre ce problème, nous mettons en œuvre la mise en cache des données Graylog. Les caches sont responsables de la mise en cache des résultats de recherche pour améliorer les performances de recherche et/ou pour éviter de surcharger les bases de données et les API. Avant d'invoquer un appel API à Greynoise, Graylog vérifiera d'abord le cache interne. Si le DestIPa été précédemment enrichi avec les résultats de l'API Greynoise, ces entrées sont stockées dans le cache de données Graylog, et il n'est pas nécessaire que Graylog invoque à nouveau l'API Greynoise. Économisant ainsi notre quota d'API.

1. Accédez à Système -> Tables de recherche et sélectionnez Caches.

L'avis Expire after accesspeut être modifié à votre guise. Gardez à l'esprit que des délais d'expiration plus élevés consommeront plus de mémoire de votre nœud Graylog

Créer une table de recherche

Le composant de table de recherche relie une instance d'adaptateur de données et une instance de cache. Il est nécessaire pour permettre l'utilisation de la table de recherche dans les extracteurs, les convertisseurs, les fonctions de pipeline et les décorateurs.

1. Accédez à Système -> Tables de recherche et sélectionnez Lookup Tables.

Création d'une règle de pipeline

Avec notre table de consultation configurée, nous devons indiquer à Graylog quand nous voulons invoquer l'API Greynoise. Ceci est réalisé en créant un fichier Pipeline Rule.

1. Accédez à Système -> Pipelines et sélectionnez Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Créez le Greynoisepipeline et ajoutez votre flux de pare-feu que nous avons configuré dans la septième partie .

4. À l'intérieur , Stage 0ajoutez la GreyNoise Lookup on DestIPrègle de pipeline.

Résultats

Rendez-vous sur votre Firewall Stream et observez l'enrichissement en cours !

Vous pouvez maintenant commencer à créer des tableaux de bord, comme nous l'avons fait dans la partie 6 , et des alertes pour avertir l'équipe SOC lorsque Greynoise détecte une adresse IP malveillante contenue dans vos journaux de pare-feu !

Conclusion

Tout au long de cet article de blog, nous avons configuré Graylog pour enrichir nos journaux de pare-feu ingérés avec l'API de Greynoise. Cet article ne touche qu'à la surface de l'automatisation et de l'enrichissement des données qui est possible avec Graylog ! Alors qu'est-ce que tu attends? Commencez à enrichir vos données avec Threat Intel dès maintenant ! Bonne défense .

Besoin d'aide?

Les fonctionnalités décrites dans cet article, et bien plus encore, sont disponibles via les services professionnels de SOCFortress. Laissez SOCFortress vous aider, vous et votre équipe, à sécuriser votre infrastructure.

Site Internet:https://www.socfortress.co/

Services professionnels:https://www.socfortress.co/ps.html