Nhanh chóng phát hiện các IP độc hại được quan sát bởi tường lửa của bạn

PHẦN MỘT : Lưu trữ phụ trợ

PHẦN HAI : Nhập nhật ký

PHẦN BA: Phân tích Nhật ký

PHẦN BỐN: Cài đặt Đại lý Wazuh

PHẦN NĂM: Ghi nhật ký SIEM thông minh

PHẦN SÁU: Bảng điều khiển SIEM mã nguồn mở tốt nhất

PHẦN BẢY: Dễ dàng thu thập nhật ký tường lửa

giới thiệu

Trong Phần 7 - Dễ dàng thu thập nhật ký tường lửa, chúng tôi đã định cấu hình Graylog để nhận, phân tích cú pháp và ghi các nhật ký tường lửa đã thu thập vào phần phụ trợ SIEM của chúng tôi. Mặc dù điều này là tuyệt vời để trực quan hóa dữ liệu của chúng tôi, nhưng hãy tiến thêm một bước nữa và làm phong phú nhật ký tường lửa đã thu thập của chúng tôi với thông tin tình báo về mối đe dọa do GREYNOISE cung cấp .

Đe dọa Intel với GreyNoise

Hãy thêm một số Mối đe dọa Intel bằng cách sử dụng API của GreyNoise mà Graylog sẽ sử dụng để làm phong phú thêm các địa chỉ IP được kết nối với trí thông minh của GreyNoise. Điều này cho phép chúng tôi nhanh chóng phát hiện các IP độc hại có lưu lượng truy cập được quan sát thông qua nhật ký pfSense của chúng tôi.

TẠO KHÓA API MIỄN PHÍ CỦA BẠN BẰNG GREYNOISE TRƯỚC KHI TIẾP TỤC

Dòng dữ liệu

Trước tiên, chúng tôi cần hiểu toàn bộ lộ trình mà dữ liệu của chúng tôi sẽ thực hiện trong quá trình làm giàu.

1. Nhật ký được chuyển tiếp từ Tường lửa sang Graylog ( ĐỌC PHẦN BẢY )
2. Graylog kiểm tra xem nhật ký nhận được có chứa tên trường khôngDestIP

4. Graylog làm phong phú nhật ký gốc bằng phản hồi GREYNOISE

5. Graylog ghi nhật ký vào SIEM Backend (Wazuh-Indexer)

Tạo bộ điều hợp dữ liệu

Trong Graylog, trước tiên chúng ta cần tạo một tệp Data Adapter. Đây Data Adapterlà nơi chúng tôi định cấu hình yêu cầu API sẽ được thực hiện, chẳng hạn như URL, Khóa xác thực, Tiêu đề, v.v.

1. Điều hướng đến Hệ thống -> Bảng tra cứu và chọn Data Adapters.

3. Xác minh khóa API của bạn là chính xác bằng cách kiểm tra tra cứu cho45.83.66.207

Tạo bộ đệm dữ liệu

Một lợi ích khác khi sử dụng Graylog là Data Caching. Hầu hết các dịch vụ API đều giới hạn số lượng yêu cầu API mà người dùng cuối được phép thực hiện trong một khung thời gian nhất định. Giới hạn này dẫn đến việc Threat Intel tự động của chúng tôi không cung cấp giá trị nào sau khi đạt đến giới hạn API của chúng tôi.

Để giải quyết vấn đề này, chúng tôi triển khai Bộ nhớ đệm dữ liệu Graylog. Các bộ đệm chịu trách nhiệm lưu các kết quả tra cứu vào bộ nhớ đệm để cải thiện hiệu suất tra cứu và/hoặc để tránh làm quá tải cơ sở dữ liệu và API. Trước khi gọi một lệnh gọi API tới Greynoise, trước tiên Graylog sẽ kiểm tra bộ nhớ cache bên trong. Nếu DestIPtrước đó đã được làm phong phú với các kết quả API Greynoise, thì các mục nhập đó được lưu trữ trong Bộ đệm dữ liệu Graylog và Graylog không cần phải gọi lại API Greynoise. Do đó tiết kiệm hạn ngạch API của chúng tôi.

1. Điều hướng đến Hệ thống -> Bảng tra cứu và chọn Caches.

Thông báo Expire after accesscó thể được tinh chỉnh theo ý thích của bạn. Hãy nhớ rằng thời gian hết hạn cao hơn sẽ tiêu tốn nhiều bộ nhớ hơn của nút Graylog của bạn

Tạo bảng tra cứu

Thành phần bảng tra cứu liên kết phiên bản bộ điều hợp dữ liệu và phiên bản bộ đệm với nhau. Nó là cần thiết để thực sự cho phép sử dụng bảng tra cứu trong bộ trích xuất, bộ chuyển đổi, chức năng đường ống và bộ trang trí.

1. Điều hướng đến Hệ thống -> Bảng tra cứu và chọn Lookup Tables.

Tạo quy tắc đường ống

Với Bảng tra cứu của chúng tôi được định cấu hình, chúng tôi cần thông báo cho Graylog khi chúng tôi muốn gọi API Greynoise. Điều này đạt được bằng cách tạo một tệp Pipeline Rule.

1. Điều hướng đến Hệ thống -> Đường ống và chọn Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Tạo GreynoiseĐường ống và thêm luồng tường lửa của bạn mà chúng tôi đã định cấu hình trong Phần Bảy .

4. Trong vòng Stage 0thêm GreyNoise Lookup on DestIPquy tắc đường ống dẫn.

Kết quả

Truy cập Luồng tường lửa của bạn và quan sát quá trình làm giàu đang diễn ra!

Giờ đây, bạn có thể bắt đầu xây dựng bảng điều khiển, chẳng hạn như chúng ta đã làm trong Phần 6 và cảnh báo để thông báo cho nhóm SOC khi Greynoise phát hiện địa chỉ IP độc hại có trong nhật ký Tường lửa của bạn!

Phần kết luận

Trong suốt bài đăng trên blog này, chúng tôi đã định cấu hình Graylog để làm phong phú nhật ký Tường lửa đã nhập của chúng tôi bằng API của Greynoise. Bài đăng này chỉ đề cập đến bề mặt tự động hóa và làm giàu dữ liệu có thể thực hiện được với Graylog! Bạn đang chờ đợi điều gì? Bắt đầu làm giàu dữ liệu của bạn với Threat Intel ngay bây giờ! Chúc mừng phòng thủ .

Cần giúp đỡ?

Chức năng được thảo luận trong bài đăng này, v.v., có sẵn thông qua Dịch vụ Chuyên nghiệp của SOCFortress. Hãy để SOCFortress giúp bạn và nhóm của bạn giữ an toàn cho cơ sở hạ tầng của bạn.

Trang mạng:https://www.socfortress.co/

Những dịch vụ chuyên nghiệp:https://www.socfortress.co/ps.html