Individua rapidamente gli IP dannosi osservati dal tuo firewall

PARTE UNO : Archiviazione back -end

PARTE SECONDA : Log Ingestion

PARTE TERZA: Log Analysis

PARTE QUARTA: Installazione dell'agente Wazuh

PARTE CINQUE: Registrazione SIEM intelligente

PARTE SESTA: Migliori Dashboard SIEM Open Source

PARTE SETTIMA: Raccolta dei log del firewall semplificata

Introduzione

Nella parte 7 - Raccolta dei registri del firewall semplificata , abbiamo configurato Graylog per ricevere, analizzare e scrivere i registri del firewall raccolti nel nostro back-end SIEM. Anche se questo è ottimo per visualizzare i nostri dati, facciamo un ulteriore passo avanti e arricchiamo i registri del firewall raccolti con l'intelligence sulle minacce fornita da GREYNOISE .

Minaccia Intel con GreyNoise

Aggiungiamo un po' di Threat Intel utilizzando l' API di GreyNoise che Graylog utilizzerà per arricchire i nostri indirizzi IP connessi con l'intelligence di GreyNoise. Questo ci consente di individuare rapidamente IP dannosi il cui traffico è stato osservato attraverso i nostri registri pfSense.

CREA LA TUA API KEY GRATUITA CON GREYNOISE PRIMA DI AVANZARE

Flusso di dati

Per prima cosa dobbiamo capire il percorso completo che i nostri dati seguiranno durante il processo di arricchimento.

1. Log inoltrati da Firewall a Graylog ( LEGGI PARTE SETTIMA )
2. Graylog verifica se il registro ricevuto contiene il nome del campoDestIP

4. Graylog arricchisce il registro originale con la risposta GREYNOISE

5. Graylog scrive il registro nel backend SIEM (Wazuh-Indexer)

Crea adattatore dati

All'interno di Graylog, dobbiamo prima creare un file Data Adapter. È Data Adapterqui che configuriamo la richiesta API che verrà effettuata, come l'URL, le chiavi di autenticazione, le intestazioni, ecc.

1. Passare a Sistema -> Tabelle di ricerca e selezionare Data Adapters.

3. Verifica che la tua chiave API sia corretta testando una ricerca per45.83.66.207

Crea cache dati

Un altro vantaggio dell'utilizzo di Graylog è il formato Data Caching. La maggior parte dei servizi API limita la quantità di richieste API che gli utenti finali possono effettuare in un determinato periodo di tempo. Questa limitazione fa sì che il nostro Threat Intel automatizzato non fornisca alcun valore una volta raggiunto il nostro limite API.

Per combattere questo problema, implementiamo Graylog Data Caching. Le cache sono responsabili della memorizzazione nella cache dei risultati della ricerca per migliorare le prestazioni della ricerca e/o per evitare il sovraccarico di database e API. Prima di richiamare una chiamata API a Greynoise, Graylog controllerà innanzitutto la cache interna. Se DestIPè stato precedentemente arricchito con i risultati dell'API Greynoise, tali voci vengono memorizzate all'interno della cache dei dati Graylog e non è necessario che Graylog richiami nuovamente l'API Greynoise. Risparmiando così la nostra quota API.

1. Passare a Sistema -> Tabelle di ricerca e selezionare Caches.

L'avviso Expire after accesspuò essere modificato a proprio piacimento. Tieni presente che tempi di scadenza più elevati consumeranno più memoria del tuo nodo Graylog

Crea tabella di ricerca

Il componente della tabella di ricerca collega un'istanza dell'adattatore dati e un'istanza della cache. È necessario per abilitare effettivamente l'utilizzo della tabella di ricerca in estrattori, convertitori, funzioni pipeline e decoratori.

1. Passare a Sistema -> Tabelle di ricerca e selezionare Lookup Tables.

Creazione della regola della pipeline

Con la nostra tabella di ricerca configurata, dobbiamo dire a Graylog quando vogliamo richiamare l'API Greynoise. Ciò si ottiene creando un file Pipeline Rule.

1. Passare a Sistema -> Pipeline e selezionare Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Crea la GreynoisePipeline e aggiungi il flusso del tuo firewall che abbiamo configurato nella Parte Sette .

4. All'interno Stage 0aggiungere la GreyNoise Lookup on DestIPregola della pipeline.

Risultati

Vai al tuo Firewall Stream e osserva l'arricchimento in atto!

Ora puoi iniziare a creare dashboard, come abbiamo fatto nella Parte 6 , e avvisi per notificare il team SOC quando Greynoise rileva un indirizzo IP dannoso contenuto nei registri del firewall!

Conclusione

In questo post del blog abbiamo configurato Graylog per arricchire i nostri registri del firewall importati con l'API di Greynoise. Questo post tocca solo la superficie dell'automazione e dell'arricchimento dei dati che è possibile con Graylog! Allora, cosa stai aspettando? Inizia subito ad arricchire i tuoi dati con Threat Intel! Buona difesa .

Ho bisogno di aiuto?

Le funzionalità discusse in questo post, e molto altro ancora, sono disponibili tramite i servizi professionali di SOCFortress. Lascia che SOCFortress aiuti te e il tuo team a proteggere la vostra infrastruttura.

Sito web:https://www.socfortress.co/

Servizi professionali:https://www.socfortress.co/ps.html