Pipelines (Дамжуулалтын шугам) — 9-р хэсэг: Geolocation

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Geolocation (Газарзүйн байршил)

Security Data Lake нь логуудад байгаа IP хаягаас газарзүйн байршлын мэдээллийг гаргаж аваад дүрслэх боломж олгодог.

Энэ нийтлэлд geolocation processor-ийг тохируулж, гаргаж авсан байршлын өгөгдлөөр газрын зураг үүсгэх алхмуудыг үзүүлнэ.

Processor-ийг бэлтгэх

Security Data Lake нь geolocation боломжтой ирдэг боловч нэмэлт тохиргоо заавал хийх шаардлагатай. Энэ хэсэгт тохиргоог дэлгэрэнгүй тайлбарлана.

Тэмдэглэл: MaxMind-ийн өгөгдлийн сангуудыг татахын тулд данс үүсгэж, лицензийн түлхүүр авах ёстой. Дэлгэрэнгүйг MaxMind-ийн блог нийтлэлээс үзнэ үү.

Processor-ийг тохируулах

Логуудын IP хаягийг тодорхойлохын тулд Security Data Lake-д geolocation өгөгдлийн санг ашиглахаар тохируулна.

System (Систем) > Configurations (Тохиргоонууд) хэсэгт очно.
Plugins > Geo-Location Processor-ийг сонгоод Edit configuration (Тохиргоог засах)-г дарна.
Enable Geo-location processor нүдийг тэмдэглэнэ.
Унжих цэснээс MaxMind эсвэл IPInfo-г сонгоно.
Таны ашиглаж буй city болон ASN өгөгдлийн сангийн замыг хоёуланг нь оруулна. Шинэчлэх хугацааны завсарыг (refresh interval) мөн өөрчилж болно.
Тохиргоог хадгалахын тулд Update configuration-г сонгоно.

Illuminate ба Geolocation

Geolocation тохиргоо Security Data Lake Open-д ашиглах боломжтой. Geolocation өгөгдөл ашиглахад Illuminate шаардлагагүй.

Illuminate-ийн агуулгатай хамт geolocation өгөгдөл хэрэглэх бол Message Processors Configuration-д Illuminate Processor нь GeoIP Resolver-ээс өмнө ажиллахыг баталгаажуулах ёстой. Энэ дараалал өгөгдмөлөөр ийм байдаг.

Өөрийн орчинд тохиргоог шалгахдаа:

System > Configurations хэсэгт очно.

Message Processors-ийг сонгоод хүснэгтэнд дарааллыг шалгана.

Дарааллыг өөрчлөх бол:

1. Edit configuration-г сонгоно.
2. Жагсаалтын зүйлсийг чирж шилжүүлэн шаардлагатай дарааллаар нь байрлуулна.
3. Update configuration-г сонгоно.

Security Data Lake-ийн схемийг мөрдүүлэх сонголт

Geolocation processor-ийг тохируулахад Enforce default schema сонголт өгөгдмөлөөр идэвхтэй байдаг. Схемийг мөрдүүлэхийг идэвхгүй болговол нөөцлөгдсөн IP хаяг биш бүх IP талбар боловсруулагдаж, талбарын нэрийг угтвар болгон дараах талбарууд нэмэгдэнэ:

_geolocation
_country_code
_city_name

source_ip талбарт үүсэх талбаруудын жишээ:

source_ip_city_name: Vienna
source_ip_country_code: AT
source_ip_geolocation: 48.20849, 16.37208

Схемийг мөрдүүлэх сонголт идэвхтэй үед нөөцлөгдсөн IP хаяг биш доорх GIM схемийн талбарууд л боловсруулагдана:

destination_ip
destination_nat_ip
event_observer_ip
host_ip
network_forwarded_ip
source_ip
source_nat_ip

source_ip талбарт үүсэх талбаруудын жишээ:

source_as_number: AS1853
source_as_organization: ACONET
source_geo_city: Vienna
source_geo_coordinates: 48.20849, 16.37208
source_geo_country_iso: AT
source_geo_name: Vienna, AT
source_geo_region: Vienna
source_go_timezome: Europe/Vienna

Geolocation өгөгдлийн сангийн файлуудыг AWS S3-д хадгалах

Тохиргооны хуудасны доод талд байгаа Pull files from S3 bucket сонголтоор geolocation өгөгдлийн сангийн файлуудыг AWS S3 bucket-аас татаж болно. Энэ боломжийг идэвхжүүлснээр замын тохиргооны утгуудад S3 bucket-ийн URL нэмэх боломжтой болно.

Идэвхтэй үед тухайн үйлчилгээ шинэчлэх завсар бүрд ажиллаж, заасан S3 bucket-ийн файлуудыг шалгана. Сүүлийн шалгалтаас хойш файл шинэчлэгдсэн бол шинэ файлуудыг node бүр дээр татаж авна. Энэ үйлчилгээ S3 bucket-ийн нэвтрэх эрхийг Default Credentials Provider-аас авдаг бөгөөд Security Data Lake AWS Plugin-ий тохиргоонд заасан утгуудыг ашигладаггүй.

S3-аас татсан geolocation өгөгдлийн сангийн файлууд Security Data Lake-ийн data_dir санд, geolocation дэд хавтаст хадгалагдана. Эдгээр файлыг татах байршлыг солихын тулд Security Data Lake серверийн тохиргооны файлд geo_ip_processor_s3_download_location-ийг диск дээрх хүссэн байршлаар тохируулна.

Pull files from S3 bucket сонголтыг идэвхгүй орхивол Security Data Lake-ийн бүх node диск дээрх замаас файлыг уншина. Үүнд файлуудыг гараар шинэчлэх шаардлагатай.

Газрын зураг дээр geolocation харуулах

Security Data Lake нь geo-цэгүүд нь latitude,longitude (өргөрөг, уртраг) форматтай байвал аль ч талбарт хадгалагдсан геолокациос газрын зураг гаргаж чадна.

Хайлтын үр дүнгийн хуудсанд газрын зураг харуулах

Дурын хайлтын үр дүнгийн хуудсанд зураг зурахад ашиглах талбарыг хайлтын хажуугийн самбарт дэлгэнэ. Зүүн талын самбарт байгаа Create (+) товчийг дараад Generic цэсээс aggregation-г сонгоно.

Ингэснээр хоосон aggregation widget үүснэ. Edit-ийг дарж мэдээллээ оруулна. Visualization Type-аар World Map-ийг сонгоно. Тэр талбарт хадгалагдсан бүх цэгийг харуулсан газрын зураг гарна.

Update preview-г дарж газрын зургаа урьдчилан харж, Update widget-ийг дарахын өмнө өөрчлөлт хийж болно.

Тэмдэглэл: Metric нэмбэл газрын зураг дээрх цэгийн хэмжээ өөрчлөгдөнө. Metric тодорхойлоогүй бол бүх цэг ижил радиустай байна.

Security Data Lake-д геокоординатын өөр өөр эх сурвалжтай холбоотой нэмэлт талбаруудыг Security Data Lake Schema-аас үзнэ үү.

Dashboard-д газрын зураг нэмэх

Газрын зургийн дүрслэлийг бусад widget-ийн адил дурын dashboard-д нэмж болно. Хайлтын үр дүнгийн хуудсанд газрын зураг харуулсан үед:

Баруун дээд буланд байгаа гурван цэгийг дарна.
Export to Dashboard-г сонгоно.

Дараа нь шинэ dashboard-ыг нэрлэх, засах, хадгалах боломжтой.

Data adapters (Өгөгдлийн адаптерууд)

ThreatFox IOC Tracker Data Adapter

ThreatFox нь abuse.ch-ийн төсөл бөгөөд хортой программтай холбоотой compromise-ийн заагч (IOC)-уудыг мөрддөг. ThreatFox Data Adapter нь дараах төрлийн түлхүүрээр хайлт хийхийг дэмждэг:

URL
Domain
IP:port
MD5 hash
SHA256 hash

Data adapter үүсгэхэд ThreatFox өгөгдлийн багцыг татаж MongoDB-д хадгалдаг. Refresh Interval тохиргооны параметр нь шинэ багцыг хэзээ татахыг тодорхойлно.

Хайлтын жишээ өгөгдөл

923fa80da84e45636a62f779913559a07420a1c6e21f093d87ddfe04bda683c4 файлын hash-ээр хайхад дараах гаралт гарч болно:

{
  "first_seen_utc": "2021-07-07T17:03:57.000+0000",
  "ioc_id": "158365",
  "ioc_value": "923fa80da84e45636a62f779913559a07420a1c6e21f093d87ddfe04bda683c4",
  "ioc_type": "sha256_hash",
  "threat_type": "payload",
  "fk_malware": "win.agent_tesla",
  "malware_alias": [
    "AgenTesla",
    "AgentTesla",
    "Negasteal"
  ],
  "malware_printable": "Agent Tesla",
  "confidence_level": 50,
  "reference": "https://twitter.com/RedBeardIOCs/status/1412819661419433988",
  "tags": [
    "agenttesla"
  ],
  "anonymous": false,
  "reporter": "Virus_Deck"
}

Data Adapter-ийг тохируулах

Title

- Data adapter-ийн товч гарчиг.

Description

- Data adapter-ийн тайлбар.

Name

- Data adapter-ийн давтагдашгүй нэр.

Custom Error TTL

- Алдаатай үр дүнг cache-д хадгалах хугацааг (TTL) өөрөө тохируулах сонголт, заавал биш. Өгөгдмөл утга нь 5 секунд.

Include IOCs Older Than 90 Days

- 90 хоногоос хуучин IOC-уудыг оруулах сонголт, заавал биш. Өгөгдмөлөөр Data Adapter-ийн өгөгдөлд 90 хоногоос хуучин IOC ордоггүй. Буруу илрүүлэлтээс зайлсхийхийн тулд 90 хоногоос хуучин IOC-той болгоомжтой харьцана уу.

Refresh Interval - Шинэ өгөгдлийг хэр давтамжтай татахыг тодорхойлно. Эх өгөгдөл 1 цаг тутамд шинэчлэгддэг тул шинэчлэх хамгийн бага завсар нь 3600 секунд (1 цаг).

Case Insensitive Lookup - Data adapter-т том, жижиг үсгийг ялгахгүй хайлт хийхийг зөвшөөрнө.

URLhaus Malware URL Data Adapter

URLhaus нь abuse.ch-ийн төсөл бөгөөд хортой программ тараахад ашигладаг хортой URL-уудын мэдээллийн санг хөтөлдөг. Data adapter үүсгэхэд URLhaus тохирох өгөгдлийн багцыг татаж MongoDB-д хадгалдаг. Refresh Interval тохиргоо нь шинэ багцыг хэзээ татахыг тодорхойлно.

Хайлтын жишээ өгөгдөл

https://192.168.100.100:35564/Mozi.m URL-аар хайхад дараах гаралт гарч болно:

{
  "single_value": "malware_download",
  "multi_value": {
    "date_added": "2021-06-22T17:53:07.000+0000",
    "url_status": "online",
    "threat_type": "malware_download",
    "tags": "elf,Mozi",
    "url": "http://192.168.100.100:35564/Mozi.m",
    "urlhaus_link": "https://urlhaus.abuse.ch/url/1234567/"
  },
  "string_list_value": null,
  "has_error": false,
  "ttl": 9223372036854776000
}

Data Adapter-ийг тохируулах

Title

- Data adapter-ийн товч гарчиг.

Description

- Data adapter-ийн тайлбар.

Name

- Data adapter-ийг нэрлэх давтагдашгүй нэр.

Custom Error TTL

- Алдаатай үр дүнг cache-д хадгалах хугацааг (TTL) өөрөө тохируулах сонголт, заавал биш. Утга заагаагүй бол өгөгдмөл нь 5 секунд.

URLhaus Feed Type

- Data adapter-ийн ашиглах URLhaus feed-ийг тодорхойлно.
- Online URLs нь жижиг өгөгдлийн багц бөгөөд одоогоор онлайн илэрсэн URL-уудыг л агуулна.
- Recently Added URLs нь том өгөгдлийн багц бөгөөд сүүлийн 30 хоногт нэмэгдсэн онлайн болон офлайн бүх URL-ыг агуулна.

Refresh Interval - Шинэ өгөгдлийг хэр давтамжтай татахыг тодорхойлно. Эх өгөгдлийг 5 минут тутамд шинэчилж болдог тул шинэчлэх хамгийн бага завсар нь 300 секунд (5 минут).

Case Insensitive Lookup - Data adapter-т том, жижиг үсгийг ялгахгүй хайлт хийхийг зөвшөөрнө.

Sigma Field Mapping Data Adapter

Core Sigma Field Map adapter нь Sigma талбарын нэрийг Common Information Model (GIM)-ийн харгалзах талбартай уялдуулах хайлтын өгөгдлийг өгдөг. Доорх жагсаалтад Sigma талбараас GIM талбар руу өгөгдмөлөөр хийгдэх харгалзуулалтыг харуулав (Sigma талбар — GIM талбар).

`app` — application_name
`Image` — process_path
`process_path` — process_path
`EventID` — event_code
`TargetObject` — registry_path
`TargetFilename` — file_path
`ParentImage` — process_parent_path
`SourceImage` — process_path
`Details` — registry_value
`ImageLoaded` — file_path
`TargetImage` — process_target_path
`Status` — event_error_code
`ParentCommandLine` — process_parent_command_line
`CallTrace` — call_trace
`AccountName` — user_name
`OriginalFileName` — file_original_name
`AuthenticationPackageName` — windows_authentication_package_name
`Channel` — event_log_name
`CommandLine` — process_command_line
`Category` — vendor_event_category
`Description` — file_description
`DestinationIp` — destination_ip
`IpAddress` — source_ip
`EventType` — vendor_event_type
`eventSource` — event_source
`ImagePath` — file_path
`operationName` — vendor_data_operationname
`imphash` — hash_imphash
`GrantedAccess` — vendor_granted_access
`CurrentDirectory` — process_working_directory
`LogonProcessName` — windows_authentication_process_name
`LogonType` — windows_logon_type
`user_name` — user_name
`file_path` — file_path
`source_reference` — source_reference
`gim_tags` — gim_tags
`NewProcessName` — process_path
`ObjectName` — file_path
`ObjectType` — object_type
`ParentProcessName` — process_parent_path
`ServiceFileName` — file_path
`Filename` — file_path
`url` — http_uri
`cs-method` — http_request_method
`c-method` — http_request_method
`sc-status` — http_response_code
`c-uri` — http_uri
`c-uri-path` — http_request_path
`cs-uri-query` — http_request_path
`c-uri-query` — http_request_path
`cs-user-agent` — http_user_agent
`c-useragent` — http_user_agent
`cs-referer` — http_referrer
`c-ip` — source_ip
`dns_query_name` — query_request
`record_type` — query_record_type
`answer` — query_response
`action` — vendor_event_action
`PipeName` — pipe_name
`ProcessName` — process_path
`Product` — file_product
`IntegrityLevel` — process_integrity_level
`ServiceName` — windows_kerberos_service_name
`User` — user_name
`DestinationPort` — destination_port
`QueryName` — query_request
`SubjectUserName` — user_name
`SubjectUserSid` — user_id
`StartModule` — start_module
`SourcePort` — source_port
`Signature` — file_signed_by
`WorkstationName` — source_name
`LogonId` — user_session_id
`DeviceName` — source_hostname
`Company` — file_company
`AccessList` — vendor_event_action
`TicketEncryptionType` — windows_kerberos_ticket_encryption
`TargetServerName` — destination_hostname
`DestinationHostname` — destination_hostname
`StartFunction` — start_function
`SourceIp` — source_ip
`Signed` — file_is_signed
`sha1` — hash_sha1
`sha256` — hash_sha256
`Path` — vendor_file_path
`src_port` — source_port
`dst_port` — destination_port
`src_ip` — source_ip
`dst_ip` — destination_ip
`dest_ip` — destination_ip
`dest_port` — destination_port
`HostName` — vendor_host_name
`EngineVersion` — vendor_engine_version
`HostVersion` — vendor_host_version
`HostApplication` — process_command_line
`ProviderName` — vendor_provider_name
`Payload` — vendor_payload
`ContextInfo` — vendor_context_info
`ScriptBlockText` — vendor_script_block_text
`id_orig_h` — source_ip
`id_resp_h` — destination_ip
`id_resp_p` — destination_port
`uid` — event_uid
`certificate.subject` — vendor_x509_cert_subject
`certificate.issuer` — vendor_x509_cert_issuer
`san.dns` — vendor_x509_san_dns
`query` — query_request
`answers` — query_response
`qtype_name` — query_record_type
`rcode_name` — query_result
`ts` — event_created
`id_orig_p` — source_port
`proto` — network_transport
`qtype` — query_record_type_code
`rcode` — query_result_code
`trans_id` — vendor_query_trans_id
`AA` — vendor_query_AA
`status_code` — http_response_code
`method` — http_request_method
`uri` — http_request_path
`request_body_len` — http_request_bytes
`response_body_len` — http_response_bytes
`user_agent` — http_user_agent
`source_ip` — source_ip
`RegistryPath` — registry_path
`Key` — registry_key

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.