Zeek content pack (контент багц)

← Контент багцууд

Zeek нь сүлжээний урсгалыг идэвхгүй (passive) байдлаар шинжилж, харсан үйл ажиллагааг тайлбарласан хэд хэдэн лог үүсгэх чадвартай нээлттэй эхийн (open-source) сүлжээний аюулгүй байдлын хяналтын хэрэгсэл юм. Zeek-ийг төрөл бүрийн analyzer болон script-үүдээр халдлага, шалгалтыг (probe) илрүүлэхэд ашиглаж болно. Энэ технологийн багц нь Zeek лог мессежүүдийг боловсруулж, сонирхолтой нийтлэг event-үүдийг хэвшүүлэн (normalization), баяжуулна (enrichment).

Шаардлага

• Zeek 5.0.9+
• Filebeat 7.13+ (ndjson parser)
• Security Data Lake дээр тохируулсан Beats input

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

“Illuminate:Zeek Messages”

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

“Zeek Logs”

Лог форматын жишээ

{"filebeat_id_orig_p":58405,"filebeat_log_offset":908201,"filebeat_agent_name":"snort1","filebeat_history":"ShADadFf","filebeat_resp_pkts":7,"filebeat_id_orig_h":"74.96.110.140","filebeat_event_source_product":"zeek","beats_type":"filebeat","filebeat_@metadata_beat":"filebeat","filebeat_ts":"2023-06-05T14:15:05.682220Z","filebeat_@timestamp":"2023-06-05T14:15:23.109Z","filebeat_agent_type":"filebeat","filebeat_@metadata_version":"8.6.2","filebeat_host_name":"snort1","filebeat_proto":"tcp","filebeat_agent_version":"8.6.2","filebeat_orig_ip_bytes":1234,"filebeat_agent_ephemeral_id":"6a114e83-ca97-4925-b4c6-8971c97d191b","filebeat_local_orig":true,"filebeat_orig_bytes":942,"filebeat_input_type":"filestream","filebeat_id_resp_h":"172.65.251.78","filebeat_orig_pkts":7,"filebeat_resp_bytes":1960,"filebeat_duration":10.197248935699463,"message":"-","filebeat_ecs_version":"8.0.0","filebeat_id_resp_p":443,"filebeat_uid":"CyRQBS1i6zJKpZXgHl","filebeat_service":"ssl","filebeat_missed_bytes":0,"filebeat_@metadata_type":"_doc","filebeat_conn_state":"SF","filebeat_resp_ip_bytes":2252,"filebeat_local_resp":false,"filebeat_agent_id":"c2c08007-50ba-4d8e-948b-ca484ef0ece2","filebeat_log_file_path":"/opt/zeek5/logs/current/conn.log","host":"bg-devel","level":6,"replayed_log":"true"}

Zeek-ийн шаардлага

Энэ технологийн багцыг ашиглахын тулд Zeek-ийг JSON форматаар логлохоор тохируулсан байх ёстой. Одоо байгаа логлолын тохиргоог тусад нь үргэлжлүүлэн ашиглаж болох ч, event-ийн дэлгэрэнгүй мэдээллийг цуглуулахад энэ технологийн багц доорх JSON тохиргоог шаарддаг. Үндсэн тохиргоо болон файлуудын байршил доор байна.

Zeek-ийн суулгалт, хэрэглээний талаарх нэмэлт мэдээллийг доорх холбоосуудаас үзнэ үү:

• Zeek download
• Zeek documentation

Zeek-ийн тохиргоо

json-logs.zeek

Энэ файл /zeek_install_path/share/zeek/policy/tuning/ дотор байрлана.

##! Loading this script will cause all logs to be written
##! out as JSON by default.
redef LogAscii::use_json=T;
redef LogAscii::json_timestamps = JSON::TS_ISO8601;
redef LogAscii::json_include_unset_fields=T;

local.zeek

Энэ файл /zeek_install_path/share/zeek/site/ дотор байрлана.

@load packages
@load policy/tuning/json-logs.zeek

Filebeat

Zeek JSON форматаар логлохоор тохируулагдсан тул талбар бүрийг задлан Security Data Lake руу хүргэх чадвартай дамжуулалтын систем шаардлагатай. Энэ технологийн багц нь Security Data Lake-д Illuminate боловсруулалт хийхээр логуудыг таних, задлах, хүргэх input болон output-ын тусгай тохиргоотой Filebeat-ээр лог дамжуулахыг дэмждэг.

paths, fields, parsers хэсгүүд энэ тохиргоонд заавал шаардлагатай. Хэрэв Zeek логууд доорх байршлаас өөр газар хадгалагдаж байвал эдгээр path-ыг шинэчлэх ёстой. Логуудыг зөв таниж, задлахад event_source_product: zeek болон target: "zeek" талбарууд чухал.

Filebeat-ийн суулгалт, тохиргооны талаарх нэмэлт мэдээллийг доорх холбоосуудаас үзнэ үү:

• Filebeat download
• Filebeat configuration

filebeat.yml

- type: filestream
  id: zeek-filestream
  enabled: true
  paths:
    - /zeek_install_path/logs/current/*.log
  parsers:
    - ndjson:
        target: "zeek"
        add_error_key: true
        overwrite_keys: true
  fields_under_root: true
  fields:
    event_source_product: zeek

Юу багтсан бэ

Zeek лог мессежүүдийг хэвшүүлэх (normalize) болон баяжуулах (enrich) дүрмүүд

Zeek лог мессежийн боловсруулалт

Illuminate-ийн Zeek лог мессежийн боловсруулалт дараахыг хангана:

• Zeek лог мессежүүдийн (IDS болон AppID) талбар гаргаж авах, хэвшүүлэх болон мессежийг баяжуулах.
• Дараах мессежүүдийн GIM ангилал:

Zeek Spotlight контент багц

Zeek Spotlight контент багц дараахыг агуулна:

• Dashboard: Zeek Overview