Temukan IP berbahaya dengan cepat yang diamati oleh firewall Anda

BAGIAN SATU : Penyimpanan Backend

BAGIAN DUA : Mencatat Penyerapan

BAGIAN KETIGA: Analisis Log

BAGIAN KEEMPAT: Instal Agen Wazuh

BAGIAN LIMA: Pencatatan SIEM Cerdas

BAGIAN ENAM: Dasbor SIEM Sumber Terbuka Terbaik

BAGIAN TUJUH: Pengumpulan Log Firewall Menjadi Mudah

Pendahuluan

Di Bagian 7 — Pengumpulan Log Firewall Menjadi Mudah , kami mengonfigurasi Graylog untuk menerima, mengurai, dan menulis log firewall yang kami kumpulkan ke backend SIEM kami. Meskipun ini bagus untuk memvisualisasikan data kita, mari melangkah lebih jauh dan memperkaya log firewall yang kita kumpulkan dengan kecerdasan ancaman yang disediakan oleh GREYNOISE .

Ancam Intel Dengan GreyNoise

Mari tambahkan beberapa Ancaman Intel menggunakan API GreyNoise yang akan digunakan Graylog untuk memperkaya alamat IP kita yang terhubung dengan kecerdasan GreyNoise. Ini memungkinkan kami menemukan IP jahat dengan cepat yang lalu lintasnya diamati melalui log pfSense kami.

BUAT KUNCI API GRATIS ANDA DENGAN GREYNOISE SEBELUM BERKEMBANG

Aliran data

Pertama-tama kita perlu memahami rute lengkap yang akan diambil data kita selama proses pengayaan.

1. Log diteruskan dari Firewall ke Graylog ( BACA BAGIAN TUJUH )
2. Graylog memeriksa apakah log yang diterima berisi nama fieldDestIP

4. Graylog memperkaya log asli dengan respons GREYNOISE

5. Graylog menulis log ke SIEM Backend (Wazuh-Indexer)

Buat Adaptor Data

Di dalam Graylog, pertama-tama kita perlu membuat file Data Adapter. Disinilah kita melakukan konfigurasi API request yang Data Adapterakan dibuat, seperti URL, Auth key, Header, dll.

1. Arahkan ke Sistem -> Tabel Pencarian dan pilih Data Adapters.

3. Pastikan kunci API Anda benar dengan menguji pencarian untuk45.83.66.207

Buat Cache Data

Manfaat lain dengan menggunakan Graylog adalah file Data Caching. Sebagian besar layanan API membatasi jumlah permintaan API yang boleh dibuat oleh pengguna akhir selama jangka waktu tertentu. Keterbatasan ini menyebabkan Ancaman Intel otomatis kami tidak memberikan nilai setelah batas API kami tercapai.

Untuk mengatasi masalah ini, kami menerapkan Caching Data Graylog. Cache bertanggung jawab untuk meng-cache hasil pencarian untuk meningkatkan kinerja pencarian dan/atau untuk menghindari kelebihan beban database dan API. Sebelum memanggil panggilan API ke Greynoise, Graylog akan terlebih dahulu memeriksa cache internal. Jika DestIPsebelumnya diperkaya dengan hasil API Greynoise, entri tersebut disimpan dalam Cache Data Graylog, dan Graylog tidak perlu memanggil API Greynoise lagi. Sehingga menghemat kuota API kita.

1. Arahkan ke Sistem -> Tabel Pencarian dan pilih Caches.

Pemberitahuan Expire after accessdapat di-tweak sesuai keinginan Anda. Ingatlah bahwa waktu kedaluwarsa yang lebih tinggi akan menghabiskan lebih banyak memori node Graylog Anda

Buat Tabel Pencarian

Komponen tabel pemeta menyatukan instans adaptor data dan instans cache. Hal ini diperlukan untuk benar-benar mengaktifkan penggunaan tabel pencarian di ekstraktor, konverter, fungsi pipa, dan dekorator.

1. Arahkan ke Sistem -> Tabel Pencarian dan pilih Lookup Tables.

Membuat Aturan Pipeline

Dengan Tabel Pencarian kami dikonfigurasi, kami perlu memberi tahu Graylog saat kami ingin menjalankan API Greynoise. Ini dicapai dengan membuat file Pipeline Rule.

1. Arahkan ke System -> Pipelines dan pilih Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Buat GreynoisePipeline dan tambahkan aliran firewall Anda yang telah kami konfigurasikan di Bagian Tujuh .

4. Di dalam Stage 0tambahkan GreyNoise Lookup on DestIPaturan pipa.

Hasil

Buka Aliran Firewall Anda dan amati pengayaan yang terjadi!

Sekarang Anda dapat mulai membuat dasbor, seperti yang kami lakukan di Bagian 6 , dan peringatan untuk memberi tahu tim SOC saat Greynoise mendeteksi alamat IP berbahaya yang terdapat dalam log Firewall Anda!

Kesimpulan

Sepanjang posting blog ini kami mengonfigurasi Graylog untuk memperkaya log Firewall kami yang diserap dengan API Greynoise. Posting ini hanya menyentuh permukaan otomatisasi dan pengayaan data yang dimungkinkan dengan Graylog! Jadi tunggu apa lagi? Mulai perkaya data Anda dengan Threat Intel sekarang! Selamat Bertahan .

Butuh bantuan?

Fungsionalitas yang dibahas dalam posting ini, dan banyak lagi, tersedia melalui Layanan Profesional SOCFortress. Biarkan SOCFortress membantu Anda dan tim Anda menjaga keamanan infrastruktur Anda.

Situs web:https://www.socfortress.co/

Layanan profesional:https://www.socfortress.co/ps.html