Быстро обнаруживайте вредоносные IP-адреса, наблюдаемые вашим брандмауэром

ЧАСТЬ ПЕРВАЯ : Серверное хранилище

ЧАСТЬ ВТОРАЯ : Прием журналов

ЧАСТЬ ТРЕТЬЯ: Анализ журнала

ЧАСТЬ ЧЕТВЕРТАЯ: Установка агента Wazuh

ЧАСТЬ ПЯТАЯ: Интеллектуальное ведение журнала SIEM

ЧАСТЬ ШЕСТАЯ: Лучшие инструментальные панели SIEM с открытым исходным кодом

ЧАСТЬ СЕДЬМАЯ: Сбор журналов брандмауэра стал проще

вступление

В части 7. Упрощенный сбор журналов брандмауэра мы настроили Graylog для получения, анализа и записи собранных журналов брандмауэра в серверную часть SIEM. Хотя это отлично подходит для визуализации наших данных, давайте сделаем еще один шаг и обогатим наши собранные журналы брандмауэра данными об угрозах, предоставленными GREYNOISE .

Угрожайте Intel с помощью GreyNoise

Давайте добавим некоторую информацию об угрозах, используя API GreyNoise, которую Graylog будет использовать для обогащения наших подключенных к IP-адресам интеллектом GreyNoise. Это позволяет нам быстро обнаруживать вредоносные IP-адреса, чей трафик наблюдался в наших журналах pfSense.

СОЗДАЙТЕ СВОЙ БЕСПЛАТНЫЙ КЛЮЧ API С GREYNOISE ПЕРЕД ПРОГРЕССОМ

Поток данных

Сначала нам нужно понять полный маршрут, по которому пойдут наши данные в процессе обогащения.

1. Журналы пересылаются из брандмауэра в Graylog ( ПРОЧИТАЙТЕ ЧАСТЬ СЕДЬМАЯ )
2. Graylog проверяет, содержит ли полученный журнал имя поляDestIP

4. Graylog дополняет исходный журнал ответом GREYNOISE.

5. Graylog записывает журнал в серверную часть SIEM (Wazuh-Indexer).

Создать адаптер данных

В Graylog нам сначала нужно создать файл Data Adapter. Здесь Data Adapterмы настраиваем запрос API, который будет сделан, например URL-адрес, ключи аутентификации, заголовки и т. д.

1. Перейдите в System -> Lookup Tables и выберите Data Adapters.

3. Проверьте правильность ключа API, выполнив поиск45.83.66.207

Создать кэш данных

Еще одним преимуществом использования Graylog является встроенный Data Caching. Большинство служб API ограничивают количество запросов API, которые конечные пользователи могут делать в течение определенного периода времени. Это ограничение приводит к тому, что наша автоматизированная информация об угрозах не предоставляет никакой ценности после достижения предела нашего API.

Чтобы решить эту проблему, мы внедряем кэширование данных Graylog. Кэши отвечают за кэширование результатов поиска, чтобы повысить производительность поиска и/или избежать перегрузки баз данных и API. Прежде чем вызывать API-вызов Greynoise, Graylog сначала проверит внутренний кеш. Если DestIPранее он был дополнен результатами Greynoise API, эти записи сохраняются в кэше данных Graylog, и Graylog не нужно снова вызывать Greynoise API. Тем самым экономя нашу квоту API.

1. Перейдите в System -> Lookup Tables и выберите Caches.

Уведомление Expire after accessможно настроить по своему вкусу. Имейте в виду, что более высокие сроки действия будут потреблять больше памяти вашего узла Graylog.

Создать таблицу поиска

Компонент таблицы поиска связывает вместе экземпляр адаптера данных и экземпляр кэша. Это необходимо для фактического включения использования таблицы поиска в экстракторах, преобразователях, конвейерных функциях и декораторах.

1. Перейдите в System -> Lookup Tables и выберите Lookup Tables.

Создание конвейерного правила

С настроенной таблицей поиска нам нужно сообщить Graylog, когда мы хотим вызвать Greynoise API. Это достигается путем создания файла Pipeline Rule.

1. Перейдите в System -> Pipelines и выберите Manage rules.

rule "GreyNoise Lookup on DestIP"
when
    has_field("DestIP")
then
    let ldata = lookup(
        lookup_table: "greynoise",
        key: to_string($message.DestIP)
    );
    set_fields(
        fields: ldata,
        prefix: "greynoise_"
        );
end

3. Создайте Greynoiseконвейер и добавьте свой поток брандмауэра, который мы настроили в седьмой части .

4. Внутри Stage 0добавьте GreyNoise Lookup on DestIPправило конвейера.

Результаты

Зайдите на свой поток брандмауэра и наблюдайте за происходящим обогащением!

Теперь вы можете начать создавать информационные панели, как мы это делали в части 6 , и оповещения для уведомления команды SOC, когда Greynoise обнаруживает вредоносный IP-адрес, содержащийся в журналах вашего брандмауэра!

Заключение

В этом сообщении блога мы настроили Graylog для обогащения принимаемых нами журналов брандмауэра с помощью API Greynoise. Этот пост затрагивает лишь поверхностную часть автоматизации и обогащения данных, которые возможны с помощью Graylog! Так чего же ты ждешь? Начните обогащать свои данные с помощью Threat Intel прямо сейчас! Удачной защиты .

Нужна помощь?

Функциональность, обсуждаемая в этом посте, и многое другое доступно через профессиональные услуги SOCFortress. Позвольте SOCFortress помочь вам и вашей команде защитить вашу инфраструктуру.

Интернет сайт:https://www.socfortress.co/

Профессиональные услуги:https://www.socfortress.co/ps.html