Analisando eventos de forma inteligente para detecção de intrusos usando ELK

Copyright © 2015 Clavis Segurança da Informação. Todos os direitos reservados.

Rodrigo “Sp0oKeR” Montoro Pesquisador / Security Operations Center (SOC)

[email protected]

Analisando eventos de forma inteligente para Detecção de Intrusos usando ELK


About me

• Pesquisador / SOC Clavis Security • Autor de 2 pesquisas com patente requerida/

concebida • Palestrante diversos eventos Brasil, EUA e Canadá • Evangelista Opensource • Usuário linux desde 1996 • Pai • Triatleta / Corredor trilhas


Agenda

• Atual problema na detecção • Escolhendo os data sources • Entendendo a pilha ELK • Gerando métricas e inteligência • Deixando chefe feliz (Relatórios / Dashboards)


Problemas na detecção


Orçamento


Maria Gartner


Quantidade e não qualidade


Entenda o contexto


Escolhendo os data sources


O que já possuímos ?

• Produtos instalados na empresa • Aquisições já programadas • Eventos default dos equipamentos/máquinas


Rapidez no uso


Dimensionamento

Quantidade informação

Maior I/O

Mais espaço em disco

Memória / CPU


Entenda os eventos


O ELK


Elasticsearch Logstash

Kibana


Logstash


Logstash Input

• file • udp / tcp • twitter • netflow • eventlog • irc • exec


Logstash Filters

• grok • fingerprint • geoip • date • csv • anonymize • throttle


Logstash Output

• elasticsearch • email • exec • jira • zabbix • hipchat • amazon(s3)


Elasticsearch 1/2

• Open source, distribuido, full text search engine

• Baseado no Apache Lucene

• Rápido acesso a informação

• Salva os dados no formato JSON

• Suporta sistemas com um ou mais nodes


Elasticsearch 2/2

• Fácil de configurar e escalável

• Possui uma RESTful API

• Fácil criação snapshots / backups

• Instalação disponível em formato RPM ou DEB, além do tarball.

• Inseguro (precisa ambiente seguro)


Kibana


Kibana event


Métricas e Inteligência


Entenda sua empresa

• O que é uma ameaça olhando os data source ?

• Faz uso de algum threat intel público/privado ?

• Quais os entregáveis que quer automatizar/alertar ?

• Reanalisar logs antigos ?


ElastAlert


Exemplo regra

27

name: Large Number of 404 Responses es_host: elasticsearch.example.com es_port: 9200 index: logstash-indexname-* filter: - term: response_code: 404 type: frequency num_events: 100 timeframe: hours: 1 alert: - email email: [email protected]

mailto:[email protected]


Python API


Detalhes fazem a diferença


ELK + Inteligência + Métricas

• Análises em lote (retrospectiva)

• Correlação entre diferente data sources

• Gráficos bonitos no kibana para deixar nas TVs =)

• Alertas / Monitoramento


Chefe feliz =)


Dashboard


Conclusões

• Entenda o que necessita proteger

• Muita informação crua não te trará melhor resultado

• Não seja um “Maria Gartner”

• Entenda plenamente seus logs

• Se não domina alguma ferramenta, procure ajuda

• Sempre aprimore o ciclo, as coisas evoluem


Rodrigo “Sp0oKeR” Montoro Pesquisador / Security Operations Center (SOC)

[email protected]

@spookerlabs

Muito Obrigado!

Analisando eventos de forma inteligente para detecção de intrusos usando ELK

Technology

Transcript of Analisando eventos de forma inteligente para detecção de intrusos usando ELK