Esta postagem descreverá como personalizar a visualização dos painéis ELK e SIEM no ELK. O
artigo está dividido nas seguintes seções:
1- Visão geral do ELK SIEM
2- Painéis padrão
3- Crie seus primeiros painéis
Índice de todas as postagens.
- Introdução. Implantação de infraestrutura e tecnologia para SOC as a Service (SOCasS)
- Pilha ELK - instalação e configuração
- Caminhando pela Distro aberta
- Painéis e visualização ELK SIEM
- Integração com WAZUH
- Alerta
- Fazendo relatório
- Gestão de caso
Visão geral do 1-ELK SIEM
ELK SIEM foi adicionado recentemente ao elk stack na versão 7.2 de 25 de junho de 2019.
Esta é uma solução SIEM criada por elastic.co para tornar a vida de um analista de segurança muito mais fácil e menos tediosa.
Em nossa versão do trabalho, decidimos criar nosso próprio SIEM e escolher nosso próprio painel de controle.
Mas achamos que é importante aprender o ELK SIEM primeiro.
1.1- Seção de eventos anfitriões
Primeiro, veremos a seção de host. A seção do host permitirá que você veja os eventos que são gerados no próprio terminal.
- . , :
1 Windows 10.
2 Ubuntu 18.04.
, .
, , , .
, , . . , , ,
1.2-
, - . , , HTTP / TLS DNS .
2-
, elastic.co , ELK. . Packetbeat .
. , . , .
Kibana . , .
. . , , .
, .
PacketBeat.
. , IP-, .
3 —
3–1-
A- :
, .
:
- Markdown
B- KQL ( Kibana):
, . , , . ,
https://www.elastic.co/guide/en/kibana/current/kuery-query.html
Windows 10 pro.
C- :
, , , . . , .
D- :
MITER ATT & CK.
Dashboard → Create new dashboard→create new →Pie dashboard
, .
. .
Buckets :
— Split slices .
— Split Chart .
.
. MITER ATT & CK.
Winlogbeat , , :
winlog.event_data.RuleName, .
“ ”.
, , , , . . .
, ,
:
** , .
** , . .
** , ,
, .
, , .
:
, , , , , , . , , . MITER ATT & CK, win10.
3-2- Crie seu primeiro painel:
Um painel é uma coleção de muitas visualizações. Seus painéis devem ser claros, compreensíveis e conter dados úteis e determinísticos. Aqui está um exemplo de painéis que criamos do zero para o winlogbeat.
Obrigado pelo seu tempo. Espero que este artigo tenha sido útil para você. Se quiser mais informações sobre o assunto, recomendamos que visite o site oficial .
Bate-papo por telegrama no Elasticsearch: https://t.me/elasticsearch_ru