Security Data Lake-ийг хэрхэн эхлэн ашиглах вэ?

Энэхүү товч заавар нь Security Data Lake дээр лог өгөгдөл цуглуулах, боловсруулах, шинжлэх үндсэн алхмуудыг танилцуулна.

Security Data Lake-ийг ашиглаж эхлэхийн тулд дараах алхмуудыг дагана.

1. Inputs-ээ тодорхойлох

Эхлэхийн өмнө Security Data Lake руу өгөгдөл илгээх систем, платформоосоо хамааруулан ямар input хэрэгтэйг тодорхойлно.

Input нь Security Data Lake лог мессеж хүлээн авах арга юм. Input нь дараах мэт өөр өөр эх сурвалжийн өгөгдлийг боловсруулж чадна.

• Сүлжээний төхөөрөмжөөс ирэх Syslog
• Төгсгөлийн төхөөрөмжөөс (endpoint) ирэх Beats (жишээ нь Filebeat эсвэл Winlogbeat)
• Cloud эсвэл өөрийн аппликейшнээс ирэх HTTP input

Input бүрийн төрөл нь мессеж Security Data Lake-д ирэхэд ямар форматтай, яаж хүлээн авагдаж, задлагдахыг тодорхойлно.

Input хоёр үндсэн ангилалтай.

• Listener inputs – Эдгээр нь гадны системээс ирэх мессежийг хүлээнэ. Сүлжээний порт эсвэл endpoint нээж, төхөөрөмж, агент, аппликейшнээс илгээсэн өгөгдлийг тасралтгүй сонсоно. Listener input нь TCP, UDP, HTTP, gRPC зэрэг протоколоор бодит цагийн лог дамжуулахад түгээмэл хэрэглэгддэг (жишээ нь Syslog, GELF, OpenTelemetry).

> Тэмдэглэл: Listener input ихэвчлэн forwarder-ээр дамжин ажилладаг бөгөөд forwarder өгөгдлийг аюулгүйгээр авч Security Data Lake руу дамжуулна.

Listener input-аа тохируулахын тулд 2–5-р алхмыг дагана.

• Pull Inputs – Эдгээр нь алсын үйлчилгээ эсвэл API-д тогтмол давтамжтай идэвхтэй холбогдож лог өгөгдлийг татна. Cloud платформ, аюулгүй байдлын хэрэгсэл, SaaS аппликейшнээс өгөгдөл цуглуулахад ихэвчлэн ашиглагдана (жишээ нь AWS CloudTrail, Microsoft 365, CrowdStrike).

> Тэмдэглэл: Pull Inputs-ийг System (Систем) > Inputs цэсэнд шууд үүсгэж болох бөгөөд Forwarder шаардлагагүй.

Pull input-аа тохируулахын тулд 6-р алхмыг дагана.

Боломжит input-ийн бүрэн жагсаалтыг Input types-аас үзнэ үү.

2. Input profile үүсгэж тохируулах

Ямар input хэрэгтэйгээ мэдсэний дараа input profile-уудаа үүсгэнэ.

Input profile нь олон forwarder дээр дахин ашиглаж болох input тохиргоонуудын цуглуулга юм. Жишээ нь Linux сервэрт зориулж Syslog болон Filebeat input-тэй нэг profile, Windows төгсгөлийн төхөөрөмжид зориулж Winlogbeat-тэй өөр profile үүсгэж болно.

Input profile бүрийг дараа нь forwarder-т оноож өгнө.

3. Forwarder-ийг ойлгох

Forwarder нь таны дотоод орчноос Security Data Lake Cloud руу логийг аюулгүйгээр дамжуулдаг хөнгөн агент юм. Шифрлэгдсэн суваг, нэвтрэлт баталгаажуулалтад API token ашиглаж, таны өгөгдлийг аюулгүй илгээнэ.

Security Data Lake руу өгөгдөл оруулахад дор хаяж нэг forwarder заавал хэрэгтэй. Дараах тохиолдолд хэд хэдэн forwarder тохируулж болно.

• Ажлын ачааллыг бүс нутаг эсвэл сервэрүүдэд хуваарилах хэрэгтэй үед.
• Өгөгдлийн хэмжээ их байгаа үед.
• Өгөгдлийн эх сурвалжийг орчноор (жишээ нь production ба testing) ангилахыг хүсэх үед.

Forwarder-ийн талаар дэлгэрэнгүйг Forwarders-аас үзнэ үү.

4. Forwarder-ээ суулгах

Forwarder суулгахаас өмнө нэвтрэлт баталгаажуулалт, тохиргоонд хэрэглэгдэх API token болон өгөгдөл хүлээн авах hostname (URL)-аа авсан байх ёстой.

Forwarder багцыг лог цуглуулж илгээх хост машин дээр суулгана. Үйлдлийн системдээ (Linux, Windows эсвэл SUSE) тохирсон суулгах зааврыг дагана.

Forwarder нь шаардлагатай сүлжээний портоор Security Data Lake-тэй холбогдох, мөн дамжуулах гэж буй лог файл эсвэл collector-уудад хандах эрхтэй эсэхийг шалгана.

5. Forwarder-ээ тохируулж input profile оноох

Суулгасны дараа forwarder-ийг Security Data Lake орчинтойгоо холбон тохируулна. Forwarder ямар өгөгдөл цуглуулж, яаж илгээхээ мэдэхийн тулд нэг буюу хэд хэдэн input profile оноож өгнө.

Идэвхтэй forwarder-уудыг удирдаж, эрүүл мэндийг нь Security Data Lake интерфэйсийн System > Forwarders хэсгээс хянана.

Forwarder тохируулах талаар дэлгэрэнгүйг Configuring a forwarder-аас үзнэ үү.

6. Pull inputs тохируулах

Таны өгөгдлийн эх сурвалж cloud-native эсвэл API дээр суурилсан бол System > Inputs хэсэгт pull input ашиглан SDL-ийг эдгээр эх сурвалжаас лог автоматаар татахаар тохируулж болно.

Pull inputs нь хуваарьт давтамжаар гадны платформ эсвэл API-д идэвхтэй холбогдож өгөгдөл татна. Эдгээрийг ихэвчлэн AWS CloudTrail, Microsoft 365, CrowdStrike зэрэг cloud үйлчилгээ, SaaS аппликейштэй нэгтгэхэд ашигладаг.

Тохируулахдаа System > Inputs хуудаснаас шинэ input үүсгэж, хүссэн input төрлөө сонгоод ажиллуулна. Тохиргооны дараа Illuminate Processing Packs-ийг холбож, ирж буй өгөгдлийг хэвийн хэлбэрт оруулж баяжуулах боломжтой. Дараа нь input-ийг эхлүүлж лог цуглуулж эхэлнэ.

Тохиргооны дэлгэрэнгүй алхмыг Setting up a new Input-аас үзнэ үү.

7. (Заавал биш) Illuminate Packages болон баяжуулалтын боломжуудыг идэвхжүүлэх

Өгөгдөл Security Data Lake руу орж эхэлсний дараа дараах боломжуудыг идэвхжүүлснээр харагдац, илрүүлэх чадвараа өргөжүүлж болно.

• Illuminate packages – Нэвтрэлтийн лог, firewall үйл явдал, cloud telemetry зэрэг мэдэгдэж буй өгөгдлийн төрлийг автоматаар илрүүлж баяжуулдаг, урьдчилан бэлтгэсэн content pack.
• Pipelines and Rules – Лог өгөгдлийг задлах, баяжуулах, чиглүүлэхэд хэрэглэнэ.
• Lookup Tables and Data Lakes – Баяжуулалт, уялдуулалт, урт хугацааны хадгалалтад зориулагдсан.

Эдгээр боломж нь өгөгдлийг хэвийн хэлбэрт оруулах, нөхцөл байдлын мэдээлэл нэмэх, хяналт ба дохиоллын суурийг тавихад тусална.

8. Дараагийн алхмууд

Security Data Lake-ийг өөрт тохируулан цааш сайжруулахын тулд дараах алхмуудыг дагана.

1. 1Өөрийн төхөөрөмжүүдийг локал Forwarder руу лог илгээхээр тохируулна.

2. 2Лог таны SDL-д орж байгаа эсэхийг Forwarder-ийн үзүүлэлтээр (metrics) шалгана.

3. 3Гол үзүүлэлтийг дүрслэхийн тулд dashboard болон alert тохируулна.

4. 4Логоо хаана хадгалах, архивлахыг удирдахын тулд Data Routing-ийг судална.

5. 5Bitdefender MDR ашигладаг бол Security Data Lake болон MDR-ийн интеграцийн сонголтуудыг үзнэ.

> Тэмдэглэл: Bitdefender MDR баг мөрдөн шалгалт, аюул хайх, дохио уялдуулахад шаардлагатай үйл явдлын өгөгдөлд хандахын тулд Streams-ээ тэдэнтэй хуваалцах хэрэгтэй. Streams-ийг хуваалцснаар MDR шинжээчид таны одоо байгаа өгөгдлийн pipeline болон Illuminate баяжуулалтыг ашиглан бүрэн харагдац, хариу арга хэмжээний хамрах хүрээг хангана.