Bitdefender Threat Intelligence for Splunk аппыг хэрхэн суулгаж ашиглах вэ?

Bitdefender Threat Intelligence for Splunk бол Bitdefender-ийн дэлхийн аюулын тагнуулын (threat intelligence) feed-үүдийг Splunk Enterprise-тэй холбодог интеграцийн апп юм. Аюулгүй байдлын шинжээчид аюулын өгөгдлийг Splunk дотроо шууд уялдуулж, дүрслэн харж, арга хэмжээ авах боломжтой болдог. Ингэснээр хортой үйл ажиллагаа илүү тод харагдаж, инцидентэд хурдан хариу өгнө.

Апп нь Bitdefender-ийн дэлхий даяарх мэдрэгчийн сүлжээнд илэрсэн IP, URL, файлын hash (MD5, SHA1, SHA256), домэйн зэрэг эвдрэлийн үзүүлэлтүүд (IoC)-ийг татаж аван шинжилнө. Мэдээллийг интерактив dashboard, хайлтын үйлдэл, корреляцийн сэрэмжлүүлгээр харуулна.

Зорилго ба давуу тал

Bitdefender Threat Intelligence for Splunk нь байгууллагад кибер аюулын талаарх бодит цагийн, хэрэгжүүлж болохуйц мэдээллийг өгдөг. Аппын давуу талууд:

• Сэжигтэй үйл ажиллагааг хурдан илрүүлж, шалгана.
• Автомат корреляцаар SOC-ийн үр ашгийг нэмэгдүүлнэ.
• Splunk дахь одоо байгаа өгөгдлийг Bitdefender-ийн дэлхийн сүлжээнээс ирсэн, тасралтгүй шинэчлэгддэг өндөр чанарын тагнуулын мэдээллээр баяжуулна.

Гол боломжууд

• Threat Intelligence интеграци

- Хүчинтэй API түлхүүрээр Bitdefender Intelligence API-тай холбогдоно.
- Bitdefender-ийн feed-үүдээс хортой программ, аюул үүсгэгч этгээд (threat actor), итгэлцлийн түвшин зэрэг дэлгэрэнгүй мэдээллийг татна.
- Өгөгдөл автоматаар индекслэгдэж Splunk орчинд бэлэн болно.

• Корреляцийн хайлт (Correlation searches)

- Дотоод лог болон Bitdefender-ийн IoC өгөгдлийг хооронд нь уялдуулна.
- Тохирох IoC (жишээ нь IP эсвэл hash) олдвол Bitdefender Threat Intelligence for Splunk аппын Correlation Alerts табд болон Splunk Enterprise Security-д сэрэмжлүүлэг гарна.

• Өөрийн хайлтын үйлдэл (Custom search actions)

- Splunk-ийн хайлтаас Bitdefender-ийн мэдээллийн сан руу шууд лавлагаа явуулна.
- Логоос илэрсэн IoC бүрийн хувьд Bitdefender Intelligence API-аас өгөгдлийг аппын интерфэйсээс шууд татаж авч болно.
- Хариунд тухайн үзүүлэлтийн талаарх дэлгэрэнгүй тагнуулын мэдээлэл ирнэ.

• Dashboard-ууд

Апп хэд хэдэн интерактив dashboard-тай:

- Feeds Overview – лицензтэй feed тус бүрээр хүлээн авсан аюулын нийт тоог харуулна.
- Feed Details – аюул, холбоотой этгээд, хортой программын гэр бүл, итгэлцлийн түвшний дэлгэрэнгүйг харуулна.
- Correlation Alerts – Bitdefender-ийн өгөгдөл болон дотоод эх сурвалжийн өгөгдөл давхцахад гарсан сэрэмжлүүлгийг харуулна.

Суулгах

Bitdefender Threat Intelligence for Splunk апп нь Bitdefender-ийн аюулын тагнуулын өгөгдлийг таны Splunk Enterprise орчинд нэгтгэнэ. Эхлэхийн тулд аппыг суулгаад Bitdefender Intelligence API түлхүүрээрээ холбоно.

Аппыг Splunk Marketplace-ээс эсвэл суулгацын багцыг гараар байршуулж суулгаж болно. Суулгасны дараа апп таны Apps цэсэнд харагдана.

Доор аппыг ажиллуулж эхлэхэд шаардлагатай зүйлс, суулгах арга, анхны тохиргооны алхмуудыг тайлбарлав.

1. Шаардлагыг шалгах

Bitdefender Threat Intelligence for Splunk аппыг суулгахын өмнө дараахыг бэлдсэн эсэхээ шалгана:

• Дэмжигдсэн Splunk Enterprise хувилбар. Одоо дэмжигдэж буй хувилбаруудыг Splunkbase дээрх Bitdefender Threat Intelligence for Splunk хуудаснаас харна уу.
• Хүчинтэй эрхтэй Bitdefender Intelligence API түлхүүр

2. Splunk Enterprise-ийг суулгаж тохируулах

Splunk Enterprise суулгаагүй бол албан ёсны Splunk Enterprise installation manual-ийн зааврыг дагаж суулгана. Тохиргоог администраторын эрхээр хийнэ.

3. Bitdefender Threat Intelligence for Splunk аппыг суулгах

Аппыг суулгах хоёр арга бий. Өөрт тохирохыг нь сонгоно.

Splunk Marketplace-ээс

1. 1Splunk Enterprise-д нэвтэрнэ.

2. 2Хуудасны дээд талын цэснээс Apps > Find more Apps-ийг сонгоно.

3. 3Bitdefender Threat Intelligence гэж хайна.

4. 4Урьдчилсан нөхцөл болон аппын мэдээллийг үзнэ.

5. 5Install товчийг дарна.

6. 6Суулгаж дууссаны дараа апп Apps жагсаалтад харагдана.

Гараар татсан файлаас

1. 1Splunk Enterprise-д нэвтэрнэ.

2. 2Apps жагсаалтаас Manage товчийг дарна.

3. 3Install app from file-ийг сонгоно.

4. 4Нээгдсэн цонхонд Choose file товчийг дараад татаж авсан Bitdefender Threat Intelligence for Splunk аппын багцыг сонгоно.

5. 5(Заавал биш) Өмнөх хувилбарыг шинэчилж байгаа бол Upgrade app нүдийг тэмдэглэнэ.

6. 6Upload товчийг дарна.

7. 7Суулгалт дууссаны дараа апп Apps жагсаалтад харагдана.

4. Суулгацыг шалгах

Суулгасны дараа Apps цэсэнд Bitdefender TI гарч ирэх ёстой. Аппыг нээхэд API түлхүүр тохируулах дэлгэц зэрэг тохиргооны сонголтууд харагдана.

Тохиргоо

Суулгасны дараа зөв ажиллуулахын тулд Bitdefender Threat Intelligence for Splunk аппыг таны байгууллагын API түлхүүр болон индексийн тохиргоогоор тохируулах шаардлагатай. Энэ тохиргоо нь таны Splunk-ийг Bitdefender-ийн дэлхийн аюулын тагнуулын үйлчилгээтэй холбож, аюул болон IoC-ийн бодит цагийн өгөгдлийг татах боломжийг олгоно.

Bitdefender Threat Intelligence for Splunk аппыг тохируулахын тулд дараах алхмуудыг хийнэ:

1. 1Аппын бүх тохиргоонд хандахын тулд Splunk Enterprise-д администраторын эрхээр нэвтэрнэ.

2. 2Хуудасны дээд талын Apps цэснээс Bitdefender TI-г сонгоно.

3. 3Тохиргооны хуудсыг нээхийн тулд Settings-ийг сонгоод Configuration Settings-ийг сонгоно.

4. 4Index хэсэгт Bitdefender-ийн аюулын өгөгдөл хадгалагдах индексийг оруулна. Энэ нь апп татаж авсан өгөгдлөө хаана хадгалахыг тодорхойлно.

5. 5Bitdefender API Key хэсэгт лиценз авахад танд ирсэн API түлхүүрийг оруулна.

6. 6Terms and Conditions-ийг хүлээн зөвшөөрнө.

7. 7API түлхүүрээ баталгаажуулахын тулд Validate товчийг дарна.

Таны API түлхүүртэй холбоотой бүтээгдэхүүнүүд өгөгдмөлөөр сонгогдсон байна.

8. 8Тохиргоогоо хадгалж суулгалтыг дуусгахын тулд Submit товчийг дарна.

9. 9Аюулын өгөгдөл зөв орж байгааг dashboard-уудаар шалгаж холболтоо баталгаажуулна.

Өөрийн хайлт (Custom search)

Custom search нь Splunk дотроо тодорхой IoC-ийг хүссэн үедээ шалгах боломж олгоно. Энэ нь аппын автомат корреляцийн боломжийг нөхөж, сэжигтэй үйл ажиллагааны талаар илүү гүнзгий мэдээлэл авахаар Bitdefender Intelligence API-аас гараар лавлагаа хийх боломжийг өгдөг.

Splunk өгөгдлөөсөө IP хаяг, URL, файлын hash (MD5, SHA1, SHA256) зэрэг боломжит IoC-ийг олсон үед Bitdefender-ийн аюулын тагнуулын мэдээллийн сангаас бодит цагт лавлаж болно. Хариунд аюулын ангилал, итгэлцлийн оноо, хортой программын гэр бүл зэрэг дэлгэрэнгүй мэдээлэл ирэх тул тухайн үйл явдал жинхэнэ аюул мөн эсэхийг хурдан тогтооно.

Custom search хийх алхмууд:

1. 1Splunk Enterprise-д администратор эсвэл шинжээчийн эрхээр нэвтэрнэ.

2. 2Apps цэснээс Bitdefender TI-г дарна.

3. 3Search хэсэг рүү орно.

4. 4Өөрийн индексүүдийн нэгэнд (жишээ нь main) хайлт ажиллуулна.

5. 5Үйл явдлын талбарын дэлгэрэнгүйг харахын тулд Verbose Mode руу шилжинэ.

6. 6Үйл явдлын нэмэлт мэдээллийг харахын тулд түүний дэлгэх тэмдэг (>) дээр дарна.

7. 7IoC агуулсан талбарын (IP, URL, MD5, SHA1, SHA256 гэх мэт) дэлгэрэнгүйг харахын тулд талбарууд харагдах хэсэг хүртэл доош гүйлгээд тухайн талбарын Actions (˅) товчийг дараад Query in Bitdefender Intelligence API-г сонгоно.

8. 8IoC-ийн дэлгэрэнгүйг шинжилж, холбоотой аюулыг үнэлэхийн тулд хариу цонхонд гарсан мэдээллийг судална.

Корреляцийн хайлтыг ашиглах

Корреляцийн хайлт нь таны дотоод өгөгдлийг Bitdefender-ийн дэлхийн аюулын тагнуулын үзүүлэлтүүдтэй автоматаар тулгана. Байгууллагын сүлжээний үйл ажиллагаа болон IP хаяг, URL, файлын hash зэрэг мэдэгдэж буй хортой үзүүлэлтүүдийн давхцлыг олж, боломжит аюулгүй байдлын инцидентийг илрүүлэхэд ашиглана.

Идэвхжүүлсэн үед корреляцийн хайлт сонгосон Splunk индексүүдээс IoC-ийг тасралтгүй шалгана. Тохирол олдвол апп автоматаар сэрэмжлүүлэг үүсгэх бөгөөд ингэснээр та орчиндоо байгаа боломжит аюулыг хурдан илрүүлж шалгах боломжтой.

Ялангуяа бодит цагийн аюул илрүүлэлт, хариу үйлдэлд хэрэгтэй бөгөөд SOC баг дотоод логоо Bitdefender-ийн тагнуулын өгөгдлөөр баяжуулах боломжтой. Үр дүн Correlation Alerts dashboard-д харагдах ба сэрэмжлүүлгийг нэг дор удирдахын тулд Splunk Enterprise Security-тэй нэгтгэж болно.

Корреляцийн хайлтыг тохируулах алхмууд:

1. 1Splunk Enterprise-д администраторын эрхээр нэвтэрнэ.

2. 2Apps цэснээс Bitdefender TI-г сонгоно.

3. 3Хуудасны дээд талын цэснээс Settings-ийг дараад Correlation Searches-ийг сонгож тохиргооны хуудсыг нээнэ.

4. 4Actions баганад өөрчлөх хайлтын дүрмийнхээ Edit товчийг дарна.

5. 5Bitdefender Threat Intelligence өгөгдөлтэй тулгах индексүүдээ сонгоно. Эдгээр индекст IoC агуулж болох лог, үйл явдал байх ёстой.

6. 6Enable баганад байгаа сэлгэгчээр корреляцийн хайлтыг идэвхжүүлнэ. Ингэснээр дүрэм идэвхжиж автоматаар ажиллана.

Индекслэгдсэн өгөгдөл болон Bitdefender Threat Intelligence өгөгдөл тохирвол сэрэмжлүүлэг гарна.

7. 7Сэрэмжлүүлгийг Correlation Alerts dashboard дээр хянана. Дотоод өгөгдлийн IoC болон Bitdefender-ийн дэлхийн аюулын тагнуулын үзүүлэлтүүдийн тохирлыг харахын тулд Actions баганад View Results-ийг сонгоно.

Dashboard-ууд

Dashboard нь Bitdefender-ийн тагнуулын feed-үүдээс цуглуулсан аюулын өгөгдлийг дүрслэн, интерактив байдлаар судлах боломж олгоно. Splunk дотроо IoC-ийг бодит цагт хянаж, шинжилж, шалгана.

Dashboard бүр харагдацын тодорхой чиглэлд төвлөрдөг: feed-ээс хүлээн авсан өгөгдлийн тойм, feed-ийн дэлгэрэнгүй, сэрэмжлүүлгийн корреляци. Ингэснээр та аюулын нөхцөл байдал болон өөрийн орчинтой хэрхэн холбогдохыг нэг харцаар ойлгоно. Апп тохируулагдаж, өгөгдөл татагдаж эхэлмэгц dashboard-ууд автоматаар дүүрнэ.

Дараах dashboard-ууд байна:

Feeds Overview

Feeds Overview dashboard нь Bitdefender-ийн лицензтэй feed тус бүрээс хүлээн авсан аюулын нийт тооны ерөнхий дүгнэлтийг өгнө. Аль feed идэвхтэй, хэр их өгөгдөл цуглуулж байгаа, хүлээн авалтын хэмжээ цаг хугацаагаар хэрхэн өөрчлөгдөж байгааг хурдан харуулна. Энэ dashboard нь feed-үүдийн ерөнхий үйл ажиллагааг хянах, өгөгдөл цуглуулалт зөв явж байгааг шалгах эхлэл цэг болдог.

Dashboard-д хандах алхмууд:

1. 1Splunk Enterprise-д нэвтэрч Apps > Bitdefender TI руу орно.

Feeds Overview dashboard өгөгдмөлөөр нээгдэнэ.

2. 2Лицензтэй feed бүрээр хүлээн авсан аюулын нийт тоог харна.

3. 3Тохируулсан бүх feed сонгосон индекс рүү өгөгдөл өгч байгааг дүрслэлээс шалгана.

Feed Details

Feed Details dashboard нь Bitdefender-ийн дэлхийн мэдрэгчийн сүлжээнд бодит цагт илэрсэн хамгийн сүүлийн IoC-уудыг харуулна. Feed, хугацааны завсар, итгэлцлийн оноо зэргээр шүүх эсвэл тодорхой IoC хайж болно. Энэ dashboard нь таны байгууллагад нөлөөлж болох шинэ болон үргэлжилж буй аюулыг тодорхойлоход тусална.

Feed Details dashboard-д хандах алхмууд:

1. 1Splunk Enterprise-д нэвтэрч Apps > Bitdefender TI руу орно.
2. 2Хуудасны дээд талын навигацийн цэснээс Feed Details-ийг дарна.
3. 3Feed Name унждаг цэснээс үзэх feed-ээ сонгоно.
4. 4Хугацааны завсар, итгэлцэл, ноцтой байдал эсвэл түлхүүр үгээр үр дүнгээ нарийсгаад Submit товчийг дарна.
5. 5IoC болон холбоотой дэлгэрэнгүй мэдээллийг IOC List-ээс харна.
6. 6Сэжигтэй үзүүлэлтийг баталгаажуулах эсвэл шинэ аюулыг шалгахдаа энэ мэдээллийг ашиглана.

Correlation Alerts

Correlation Alerts dashboard нь Splunk-д орсон өгөгдөл Bitdefender-ийн аюулын тагнуулын үзүүлэлттэй тохирох үед гарсан сэрэмжлүүлгийг харуулна. Корреляцийн үр дүнг нэг дор харуулдаг тул эвдэрсэн хөрөнгө эсвэл хортой үйл ажиллагааг хурдан илрүүлэхэд тусална. Цаашид шалгахын тулд IoC-ийн дэлгэрэнгүйг энэ dashboard-аас шууд харж болно.

Dashboard-д хандах алхмууд:

1. 1Splunk Enterprise-д нэвтэрч Apps > Bitdefender TI руу орно.
2. 2Correlation Alerts dashboard-ыг нээнэ.
3. 3Settings > Correlation Searches хэсэгт тохируулсан корреляцийн хайлтуудаас гарсан сэрэмжлүүлгийн жагсаалтыг харна.
4. 4IoC-ийн төрөл, эх сурвалж, цаг, тохирсон индекс зэрэг сэрэмжлүүлгийн дэлгэрэнгүйг шалгана.
5. 5IoC болон үйл явдлын дэлгэрэнгүй мэдээллийг нээхийн тулд сэрэмжлүүлгийн хажууд байгаа View Results-ийг дарна.
6. 6Энэ мэдээллээр сэрэмжлүүлгийг шалгаж, ноцтой байдлыг тодорхойлж, шаардлагатай бол хариу арга хэмжээ авна.
7. 7Илрүүлэлтийн нарийвчлалыг тохируулах шаардлагатай бол корреляцийн хайлтын тохиргоо эсвэл индексүүдээ шинэчилнэ.