Monitoring Serwerów - Forum o monitoringu infrastruktury IT - Splunk

Splunk App for Enterprise Security

Tue, 30 Jul 2019 09:32:24 +0000

Chyba nie wszyscy znają jedną z najbardziej zaawansowanych aplikacji działających w środowisku Splunk. Mam na myśli oczywiście Enterprise Security. Jest to moduł płatny. Jego uruchomienie zmienia rozszerza lubianego Splunka o funkcjonalność systemu SIEM połączonego z nieograniczonymi możliwościami pod kątem tworzenia własnych korelacji oraz wizualizacji i reguł raportowych.

Splunk App for Enterprise Security 3.0 Threat Lists
Zobaczcie jak za pomocą tej aplikacji można przeanalizować listę wykrytych podatności w naszej infrastrukturze. W prosty sposób możemy odszukać adresy komputerów powodujących naruszenie zasad bezpieczeństwa i tak samo prosto możemy sięgnąć do danych źródłowych z zebranych, oryginalnych komunikatów.
Na filmie demo widać również wizualizację danych w trybie real-time.
http://www.splunk.com/view/SP-CAAAJHB

Splunk App for Enterprise Security 3.0 Security Indicators
Załączam również film, gdzie zobaczymy jak w aplikacji przejrzeć listę obiektów generujących zdarzenia obszaru bezpieczeństwa. Zobaczymy również jak pracować z elementami ekranu użytkownika oraz raportami.
http://www.splunk.com/view/SP-CAAAJG9

Splunk przeciwko SQL Injection

Tue, 30 Jul 2019 09:30:42 +0000

Wykorzystanie Splunk przeciwko SQL Injection

Splunk w wielu obszarach przetwarzania danych IT ma duże zastosowanie. Typowe wyszukiwanie tekstu w zdarzeniach to dziś stanowczo za mało to prowadzenia skutecznej analizy bezpieczeństwa. Splunk pozwala na śledzenie skomplikowanych wzorców, które mogą pojawić się w naszych logach. Jednym z takich zastosowani jest analiza bezpieczeństwa portali WWW.
Zobaczmy, jak na przykładzie wpisów z Apacha, sprawdzi się aplikacja Splunk SQL Injection.
Wymagane parametry aplikacji to rodzaj źródła oraz analizowane pole. W naszych przypadku będą to wyrażenia odpowiednio: access* oraz uri_query.

Silnikiem tej aplikacji jest rozbudowane zapytanie pozwalające na detekcję wstrzykiwanego kodu w polu url. Po wypełnieniu danych oraz wybraniu okresu analizy system prezentuje nam kilka tabeli z wynikami. Na wykresie kołowym widzimy statystkę najczęstszych wzorców, które są wykorzystywane w atakach.

Pozwala to na szybką ocenę skali ataku i charakteru atakującego. Sam fakt pojawienia się wyrażenia Union Select w adresie URL budzi duże wątpliwości.
Kolejny diagram, to umiejscowienie wzorców ataków w czasie. Widzimy tu częstotliwość z jaką atakujący wykonuje wstrzyknięcie kodu.

Zdecydowanie najciekawszym zestawieniem, jest tabela pokazująca adres IP klienta, typ ataku oraz pełen adres URL, który zawiera niebezpieczny fragment kodu SQL.

Wybierając dowolne pole, możemy przenieść się w Splunk z okna naszej aplikacji do paska wyszukiwania. Podążając zatem za adresem 109.62.240.186 zobaczymy wszystkie ataki SQL Injection, które próbował wykonać atakujący.

Analizując te zdarzenia dochodzimy do wniosku, że atak nie był przypadkiem i dotyczył konkretnych czterech domen WWW naszego serwera. Splunk jest zasilany danymi z tak zwanych źródeł i dzięki takiemu podejściu od razu wiemy skąd pochodzą nasze logi, z jakiego źródła i jakiego systemu CMS dotyczą. Posiadając już taką wiedzę, możemy przyjrzeć się samemu systemowi CMS, w jakiej pracuje wersji, jaka jest jako podatność na takie ataki i jak się zabezpieczyć na przyszłość.
Jeżeli wiemy już, że atak był skierowany na obszar WEB powstaje pytanie, jak wyglądała cała komunikacja z tym adresem IP. Wpiszmy zatem 109.62.240.186 w pole wyszukiwania Splunka.

Analizując ten fragment, również widzimy ważne dane. Poza samym atakiem, widzimy reakcję jednego z naszych systemów CMS’a poprzez wbudowany moduł bezpieczeństwa. Można mieć zatem nadzieję, że ta witryna obroniła się sama, ale co z resztą ?
Widok ataków SQL Injection w kierunku własnych systemów elektryzuje prawdopodobnie każdego administratora, dlatego trudno kwestionować przydatność Splunka do takiej analizy. Skoro już ujrzeliśmy ten niemiły widok w tabeli, postarajmy się na przyszłość o to, aby fakt takiego włamania został nam zakomunikowany, gdy tylko się wydarzy. Ustawmy powiadomienia email o zajściu co najmniej jednego przypadku ataku.

Wybieramy tryb pracy w trybie rzeczywistym. Gdy zdarzenia pojawi się chociaż raz, operator zostanie natychmiast poinformowany.

Czym są raporty w Splunku?

Tue, 30 Jul 2019 09:21:23 +0000

Definicja raportu w Splunku jest stosunkowo prosta - jest to po prostu zapisane wyszukanie, np.

Monitoring Serwerów - Forum o monitoringu infrastruktury IT - Splunk

Splunk App for Enterprise Security

Splunk przeciwko SQL Injection

Czym są raporty w Splunku?

Lookups - nowe pola do zdarzeń

Zaawansowane wyszukiwanie w Splunku

SNMP w Splunku

Wyszukiwanie w Splunku

Splunk - aplikacje

Splunk Universal Forwader - Linux, Unix

Splunk Universal Forwarder - Windows

NTP

Tworzenie alertu w Splunk Enterprise

Splunk - wykrywanie włamiań