ELK ، SIEM من OpenSource ، Open Distro: ELK stack - التثبيت والتكوين

ELK SIEM Open Distro: ELK stack - التثبيت والتكوين.

سيصف هذا الفصل تثبيت وتكوين مكدس ELK. كان من الممكن تخطي هذا الفصل وعدم ترجمته ، ولكن بعد ذلك سيضيع الخيط بين الفصول الأصلية.

جدول محتويات لجميع الوظائف.

• المقدمة. نشر البنية التحتية والتكنولوجيا لشركة SOC كخدمة (SOCasS)
• ELK Stack - التثبيت والتكوين
• المشي من خلال Distro المفتوح
• لوحات القيادة وتصور ELK SIEM
• التكامل مع WAZUH
• تنبيه
• عمل تقرير
• إدارة حالة

1- تركيب وتكوين ELK STACK

1.1- مقدمة في ELK

أ- ما هو ELK؟

ب- الفرق بين ELK Basic و ELK Oss؟

1.2- تثبيت ELK

في مشروعنا ، بدأنا في تكوين ELK Stack Basic (7.6.1) وقمنا بالرجوع إلى الدليل الرسمي المقدم من موقع elastic.co:

https://www.elastic.co/guide/en/elastic-stack/current/installing-elastic-stack.html

1.3- تكوين ELK

في هذا القسم ، سنزودك بالتهيئة التي أجريناها لمكدس ELK.

أ- تكوين Elasticsearch

تم إجراء جميع الإعدادات في ملف elasticsearch.yml الموجود في /etc/elasticsearch/elasticsearch.yml

لفتحه ، استخدم الأمر التالي: sudo nano /etc/elasticsearch/elasticsearch.yml

elasticsearch.

. , , . http.port . .

network.bind_host: 0.0.0.0 Elasticsearch, ELK.

, ElasticSearch :

sudo systemctl restart elasticsearch

: network.bind_host to 0.0.0.0 - . .

B-Kibana:

kibana.yml, /etc/kibana/kibana.yml. , :

sudo nano /etc/kibana/kibana.yml

Kibana , server.host: "0.0.0.0". , , . , , 5601. Kibana: sudo systemctl restart kibana

Kibana . Http://your_Server_IP: 5601

, , , .

: server.host 0.0.0.0 - . .

C-Logstash:

logstash:

sudo cat /etc/logstash/logstash-sample.conf

Logstash. , /etc/logstash/conf.d/ logstash.conf

: sudo systemctl restart logstash

D- :**

logstash, kibana elasticsearch. :

, . , tcp6 tcp.

Kibana: 5601

Elasticsearch: 9200

Logstash: 5044

2-Beats :

A- Winlogbeat:

URL:

https://www.elastic.co/fr/downloads/beats/winlogbeat

:

https://www.elastic.co/guide/en/beats/winlogbeat/current/winlogbeat-installation.html

B- Winlogbeat:

winlogbeat.yml:

winlogbeat.event_logs:

winlogbeat winlogbeat.yml , Winlogbeat. , , . , Sysmon .

, .

:

— index.number_of_shards:

, . , Elasticsearch , , .

— index.number_of_replicas:

, Elasticsearch . , , Elasticsearch. , .

:

Elasticsearch Logstash .

:

, winlogbeat, :

(ILM):

, ILM. ILM Index Lifecycle Manager — x-pack, ELK, ELK oss. ILM , . : , , , , , .

ILM ELK, , Elasticsearch. ILM , .

Sysmon MITER ATT & CK:

Sysmon , , sysmon ELK.

(Sysmon) — Windows , , , Windows. , . , Windows Event Collection SIEM, , , .

MITER ATT & CK — , . ATT & CK , , .

I. Sysmon:

https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon

II. xml- sysmon, MITER ATT CK: https://raw.githubusercontent.com/ion-storm/sysmon-config/master/sysmonconfig-export.xml

III. Sysmon :

sysmon64 -accepteula -i sysmonconfig-export.xml

IV. :

sysmon64 –c

, :

I. :

, . , , , , .

Elasticsearch. Elasticsearch, . winlogbeat Elasticsearch, .

Logstash Elasticsearch.

II. :

https://www.elastic.co/guide/en/beats/winlogbeat/current/load-kibana-dashboards.html

:

, Kibana.

:

, . Elasticsearch, , Logstash, .

ELK:

winlogbeat sysmon PowerShell services.msc, Kibana.

winlogbeat. ELK STACK Logstash , .

winlogbeat:

Discover sysmon ( MITER):

winlogbeat , .

, :

Winlogbeat

Filebeat

Packetbeat

Metricbeat

, , metricbeat filebeat, , .

, filebeat ssh, sudo ubuntu Suricata Suricata IDS.

Suricata:

Suricata filebeat:

sudo filebeat modules enable Suricata

, filebeat, /etc/filebeat/modules.d/

, :

filebeat modules list

هذا هو الرابط الذي استخدمناه لتثبيت Suricata على أجهزتنا: https://www.alibabacloud.com/blog/594941

يجب أن تحصل على شريط أدوات مشابه لهذا الشريط. لا تقلق إذا لم تحصل على هذه النتيجة بالضبط ، فسنعمل مع لوحة القيادة في المقالات التالية.

من الممكن أيضًا دمج واجهة Suricata في ELK stack ، حيث يمكنك التحقق من هذا الرابط .

دردشة Telegram على Elasticsearch