Identifique rapidamente IPs maliciosos observados pelo seu firewall

PARTE UM : Armazenamento de back -end

PARTE DOIS : Log Ingestão

PARTE TRÊS: Análise de Log

PARTE QUATRO: Instalação do Wazuh Agent

PARTE CINCO: Log SIEM Inteligente

PARTE SEIS: Melhores painéis SIEM de código aberto

PARTE SETE: Coleta de logs de firewall facilitada

Introdução

Na Parte 7 — Coleta de logs de firewall facilitada , configuramos o Graylog para receber, analisar e gravar nossos logs de firewall coletados em nosso back-end SIEM. Embora isso seja ótimo para visualizar nossos dados, vamos dar um passo adiante e enriquecer nossos logs de firewall coletados com inteligência de ameaças fornecida pelo GREYNOISE .

Ameaça Intel com GreyNoise

Vamos adicionar um pouco de Threat Intel usando a API do GreyNoise que o Graylog usará para enriquecer nossos endereços IP conectados com a inteligência do GreyNoise. Isso nos permite detectar rapidamente IPs maliciosos cujo tráfego foi observado por meio de nossos logs do pfSense.

CRIE SUA CHAVE DE API GRATUITA COM GREYNOISE ANTES DE PROGREDIR

Fluxo de dados

Primeiro, precisamos entender a rota completa que nossos dados seguirão durante o processo de enriquecimento.

1. Logs encaminhados do Firewall para o Graylog ( LEIA A PARTE SETE )
2. Graylog verifica se o log recebido contém o nome do campoDestIP

4. Graylog enriquece o log original com a resposta GREYNOISE

5. Graylog grava o log no SIEM Backend (Wazuh-Indexer)

Criar adaptador de dados

Dentro do Graylog, primeiro precisamos criar um arquivo Data Adapter. É Data Adapteronde configuramos a requisição da API que será feita, como URL, Auth keys, Headers, etc.

1. Navegue até Sistema -> Tabelas de pesquisa e selecione Data Adapters.

3. Verifique se sua chave de API está correta testando uma pesquisa para45.83.66.207

Criar cache de dados

Outro benefício do uso do Graylog é o arquivo Data Caching. A maioria dos serviços de API limita a quantidade de solicitações de API que os usuários finais podem fazer em um determinado período de tempo. Essa limitação faz com que nossa Intel de ameaça automatizada não forneça nenhum valor quando nosso limite de API for atingido.

Para combater esse problema, implementamos o cache de dados Graylog. Os caches são responsáveis ​​por armazenar em cache os resultados da pesquisa para melhorar o desempenho da pesquisa e/ou evitar a sobrecarga de bancos de dados e APIs. Antes de invocar uma chamada de API para Greynoise, Graylog primeiro verificará o cache interno. Se o DestIPfoi enriquecido anteriormente com os resultados da API Greynoise, essas entradas são armazenadas no cache de dados Graylog e não há necessidade de Graylog chamar a API Greynoise novamente. Economizando assim nossa cota de API.

1. Navegue até Sistema -> Tabelas de pesquisa e selecione Caches.

Aviso Expire after accesspode ser ajustado ao seu gosto. Lembre-se de que tempos de expiração mais altos consumirão mais memória do seu nó Graylog

Criar tabela de pesquisa

O componente da tabela de consulta une uma instância do adaptador de dados e uma instância de cache. É necessário para realmente habilitar o uso da tabela de consulta em extratores, conversores, funções de pipeline e decoradores.

1. Navegue até Sistema -> Tabelas de pesquisa e selecione Lookup Tables.

Criando regra de pipeline

Com nossa Lookup Table configurada, precisamos informar ao Graylog quando queremos invocar a API Greynoise. Isso é obtido criando um arquivo Pipeline Rule.

1. Navegue até Sistema -> Pipelines e selecione Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Crie o GreynoisePipeline e adicione seu fluxo de firewall que configuramos na Parte Sete .

4. Stage 0Adicione a GreyNoise Lookup on DestIPregra de pipeline.

Resultados

Dirija-se ao seu fluxo de firewall e observe o enriquecimento acontecendo!

Agora você pode começar a criar painéis, como fizemos na Parte 6 , e alertas para notificar a equipe SOC quando o Greynoise detectar um endereço IP malicioso contido nos logs do seu firewall!

Conclusão

Ao longo desta postagem do blog, configuramos o Graylog para enriquecer nossos logs de firewall ingeridos com a API do Greynoise. Este post toca apenas na superfície da automação e enriquecimento de dados que é possível com o Graylog! Então, o que você está esperando? Comece a enriquecer seus dados com Threat Intel agora! Boa defesa .

Preciso de ajuda?

A funcionalidade discutida neste post, e muito mais, está disponível através dos Serviços Profissionais do SOCFortress. Deixe o SOCFortress ajudar você e sua equipe a manter sua infraestrutura segura.

Local na rede Internet:https://www.socfortress.co/

Serviços profissionais:https://www.socfortress.co/ps.html