방화벽에서 관찰되는 악성 IP를 빠르게 찾아냅니다.

파트 1 : 백엔드 스토리지

파트 2 : 로그 수집

파트 3: 로그 분석

파트 4: Wazuh 에이전트 설치

파트 5: 지능형 SIEM 로깅

파트 6: 최고의 오픈 소스 SIEM 대시보드

7부: 간편한 방화벽 로그 수집

소개

7 부 - 간편한 방화벽 로그 수집에서는 수집된 방화벽 로그를 수신, 구문 분석 및 SIEM 백엔드에 기록하도록 Graylog를 구성했습니다. 이는 데이터를 시각화하는 데 유용하지만 한 단계 더 나아가 수집된 방화벽 로그를 GREYNOISE 에서 제공하는 위협 인텔리전스로 보강해 보겠습니다 .

GreyNoise로 인텔 위협

Graylog가 GreyNoise의 인텔리전스로 연결된 IP 주소를 강화하는 데 사용할 GreyNoise의 API를 사용하여 Threat Intel을 추가해 보겠습니다 . 이를 통해 pfSense 로그를 통해 트래픽이 관찰된 악성 IP를 신속하게 발견할 수 있습니다.

진행하기 전에 GREYNOISE로 무료 API 키 생성

데이터 흐름

먼저 보강 프로세스 중에 데이터가 이동하는 전체 경로를 이해해야 합니다.

1. 방화벽에서 Graylog로 전달된 로그( 7부 읽기 )
2. Graylog는 수신된 로그에 필드 이름이 포함되어 있는지 확인합니다.DestIP

4. Graylog는 GREYNOISE 응답으로 원래 로그를 보강합니다.

5. Graylog는 SIEM 백엔드(Wazuh-Indexer)에 로그를 씁니다.

데이터 어댑터 만들기

Graylog 내에서 먼저 Data Adapter. Data AdapterURL, 인증 키, 헤더 등과 같이 수행될 API 요청을 구성하는 곳입니다 .

1. 시스템 -> 조회 테이블로 이동하여 를 선택 Data Adapters합니다.

3. 조회를 테스트하여 API 키가 올바른지 확인합니다.45.83.66.207

데이터 캐시 생성

Graylog를 사용하는 또 다른 이점은 내장된 Data Caching. 대부분의 API 서비스는 최종 사용자가 주어진 시간 동안 만들 수 있는 API 요청의 양을 제한합니다. 이 제한으로 인해 API 제한에 도달하면 자동화된 Threat Intel이 가치를 제공하지 않습니다.

이 문제를 해결하기 위해 Graylog 데이터 캐싱을 구현합니다. 캐시는 조회 성능을 개선하거나 데이터베이스 및 API의 과부하를 방지하기 위해 조회 결과를 캐싱하는 역할을 합니다. Greynoise에 대한 API 호출을 호출하기 전에 Graylog는 먼저 내부 캐시를 확인합니다. 가 이전에 Greynoise API 결과로 보강된 경우 DestIP해당 항목은 Graylog 데이터 캐시 내에 저장되며 Graylog가 Greynoise API를 다시 호출할 필요가 없습니다. 따라서 API 할당량을 절약할 수 있습니다.

1. 시스템 -> 조회 테이블로 이동하여 를 선택 Caches합니다.

알림 Expire after access은 원하는대로 조정할 수 있습니다. 만료 시간이 길수록 Graylog 노드의 메모리를 더 많이 사용한다는 점에 유의하십시오.

조회 테이블 만들기

조회 테이블 구성 요소는 데이터 어댑터 인스턴스와 캐시 인스턴스를 함께 연결합니다. 추출기, 변환기, 파이프라인 기능 및 데코레이터에서 조회 테이블을 실제로 사용할 수 있도록 하는 데 필요합니다.

1. 시스템 -> 조회 테이블로 이동하여 를 선택 Lookup Tables합니다.

파이프라인 규칙 생성

조회 테이블이 구성되면 Greynoise API를 호출하려는 경우 Graylog에 알려야 합니다. 이것은 Pipeline Rule.

1. 시스템 -> 파이프라인으로 이동하여 를 선택 Manage rules합니다.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. 파이프라인을 생성하고 7부Greynoise 에서 구성한 방화벽 스트림을 추가합니다 .

4. 내 에서 파이프라인 규칙을 Stage 0추가합니다 .GreyNoise Lookup on DestIP

결과

방화벽 스트림으로 이동하여 강화가 진행되는 것을 관찰하십시오!

이제 6부 에서 했던 것처럼 대시보드를 구축 하고 Greynoise가 방화벽 로그에 포함된 악성 IP 주소를 감지하면 SOC 팀에 알리도록 경고할 수 있습니다!

결론

이 블로그 게시물 전체에서 우리는 Greynoise의 API로 수집된 방화벽 로그를 보강하도록 Graylog를 구성했습니다. 이 게시물은 Graylog로 가능한 자동화 및 데이터 강화의 표면만을 다룹니다! 그래서 당신은 무엇을 기다리고 있습니까? 지금 Threat Intel로 데이터 강화를 시작하십시오! 즐거운 수비 .

도움이 필요하다?

이 게시물에서 논의한 기능 등은 SOCFortress의 전문 서비스를 통해 사용할 수 있습니다. SOCFortress가 귀하와 귀하의 팀이 인프라를 안전하게 유지할 수 있도록 도와드립니다.

웹사이트:https://www.socfortress.co/

전문적인 서비스:https://www.socfortress.co/ps.html