Linux Auditbeat content pack (контент багц)

← Контент багцууд

Linux Auditbeat content pack (контент багц)

Illuminate Linux Auditbeat Spotlight нь Illuminate Core болон Linux-д зориулсан Elastic Auditbeat агенттай хамт ажилладаг. Auditbeat агент нь "аудитын өгөгдлийн хөнгөн илгээгч (lightweight shipper for audit data)" юм. Linux-ийн Auditbeat агент нь Linux-ийн Audit framework-тэй харилцаж, Linux аудитын мессежийг боловсруулах, баяжуулах, хүргэх үүргийг нэмж гүйцэтгэнэ.

Linux Auditbeat Spotlight нь шууд ашиглахад бэлэн, урьдчилан бэлтгэсэн dashboard харагдацуудтай:

• Linux Auditbeat Overview
• Network Activity
• Admin activity

Эдгээр суурилагдсан харагдацыг өөрийн dashboard үүсгэх эхлэл болгон ашиглаж болно.

Дэмжигдэх хувилбарууд

Энэ Spotlight нь Linux-д зориулсан Auditbeat 7-8 хувилбаруудыг дэмжих бөгөөд Auditbeat-ийн Elastic-licensed болон Apache-licensed хоёр хувилбартай хоёуланд нь ажиллана.

Анхдагчаар Security Data Lake нь Auditbeat-ийн Apache-licensed хувилбартай нийлүүлэгддэг. Хэрэв system module ашиглахыг хүсвэл тохирох repo-г нэмж, нийлүүлэгдсэн хувилбартай зэрэгцүүлэн Auditbeat-ийн Elastic-licensed хувилбарыг суулгаж болно.

Auditbeat-ийн Elastic хувилбарыг суулгах

APT багц менежерийн хувьд дараах командуудыг ажиллуулна:

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-8.x.list

YUM багц менежерийн хувьд дараах командуудыг ажиллуулна:

sudo rpm --import https://packages.elastic.co/GPG-KEY-elasticsearch
cat << EOF | sudo tee -a /etc/yum.repos.d/elastic-8.x.repo
[elastic-8.x]
name=Elastic repository for 8.x packages
baseurl=https://artifacts.elastic.co/packages/8.x/yum
gpgcheck=1
gpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch
enabled=1
autorefresh=1
type=rpm-md
EOF

Security Data Lake дээр Auditbeat Log Collector-ыг тохируулах

Auditbeat log collector-ийн тохиргоог өөрчилнө. Sidecar log collector-уудыг тохируулах талаар Sidecar collectors хэсгээс үзнэ үү.

1. 1
   System > Sidecars руу орж, Configurations табыг сонгоно.
2. 2
   Log Collectors дор өөрийн Auditlog collector-ийн хажууд Edit-ийг сонгоно.
3. 3
   Executable Path талбарыг шинэ Auditbeat агентын binary замыг зааж өөрчилнө. Анхдагч утга нь /usr/share/auditbeat/bin/auditbeat байдаг.
4. 4
   Хүсвэл анхдагч log collector-ыг дарж бичихгүйн тулд энэ замтай шинэ Auditbeat log collector үүсгэж болно. Шинэ collector-т Auditbeat (Elastic-licensed) шиг өвөрмөц нэр өгөхөө бүү март.

Шаардлага

• Security Data Lake дотор тохируулсан Beats input. Title, Bind Address (жишээ нь бүх интерфэйсийг сонсохын тулд 0.0.0.0) болон порт (жишээ нь 5044)-ыг оруулна. Input-ийн тохиргоонд Do not add Beats type as prefix сонголтыг сонгохгүй байх ёстой. Pipeline боловсруулалтын дүрмүүд ирж буй өгөгдлийг талбарын нэрээр иш татдаг тул энэ угтвар орхигдвол pipeline зөв ажиллахгүй. Beats input-ийн тохиргооны талаар дэлгэрэнгүйг Beats Input хэсгээс үзнэ үү.

• Elastic Auditbeat суулгасан нэг буюу хэд хэдэн Linux хост. Auditbeat-ийг суулгах талаар дэлгэрэнгүйг албан ёсны баримт бичгээс үзнэ үү. Auditbeat зэрэг Beats агентуудыг Bitdefender Sidecar-аар удирдаж болно.

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Linux Auditbeat Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Illuminate: Linux Auditbeat Messages"

Лог форматын жишээ

["type=CRED_ACQ msg=audit(1633670701.685:6873): pid=5205 uid=0 auid=4294967095 ses=4294970295 subj=unconfined msg='op=PAM:setcred grantors=pam_permit,pam_cap acct=\"root\" exe=\"/usr/sbin/cron\" hostname=? addr=? terminal=cron res=success'"]

Юу багтсан бэ

• Linux Auditbeat логуудыг Security Data Lake-ийн схемтэй нийцэх талбарууд болгон гаргаж авах задлан шинжлэх дүрмүүд
• Linux Auditbeat лог мессежийг Security Data Lake-ийн схем рүү нормчилж, баяжуулахад ашиглагдах өгөгдлийн lookup хүснэгтүүд
• Dashboard-ууд

Auditbeat лог мессежийн боловсруулалт

Illuminate-ийн Linux Auditbeat мессежийн боловсруулалт дараахыг хангана:

• Linux Auditbeat лог мессежүүдээс талбар гаргаж авах, нормчлох, мессежийг баяжуулах
• Дараах мессежүүдийн GIM ангилал:

Auditbeat Module: AuditD

vendor_event_category

Auditbeat Module: File Integrity