Analisando eventos de forma inteligente para detecção de intrusos usando ELK

Rodrigo “Sp0oKeR” Montoro Pesquisador / Security Operations Center (SOC)

rodrigo@clavis.com.br

Analisando eventos de forma inteligente para Detecção de Intrusos usando ELK

About me

• Pesquisador / SOC Clavis Security • Autor de 2 pesquisas com patente requerida/

concebida • Palestrante diversos eventos Brasil, EUA e Canadá • Evangelista Opensource • Usuário linux desde 1996 • Pai • Triatleta / Corredor trilhas

Agenda

• Atual problema na detecção • Escolhendo os data sources • Entendendo a pilha ELK • Gerando métricas e inteligência • Deixando chefe feliz (Relatórios / Dashboards)

Problemas na detecção

Orçamento

Maria Gartner

Quantidade e não qualidade

Entenda o contexto

Escolhendo os data sources

O que já possuímos ?

• Produtos instalados na empresa • Aquisições já programadas • Eventos default dos equipamentos/máquinas

Rapidez no uso

Dimensionamento

Quantidade informação

Maior I/O

Mais espaço em disco

Memória / CPU

Entenda os eventos

Elasticsearch Logstash

Kibana

Logstash

Logstash Input

• file • udp / tcp • twitter • netflow • eventlog • irc • exec

Logstash Filters

• grok • fingerprint • geoip • date • csv • anonymize • throttle

Logstash Output

• elasticsearch • email • exec • jira • zabbix • hipchat • amazon(s3)

Elasticsearch 1/2

• Open source, distribuido, full text search engine

• Baseado no Apache Lucene

• Rápido acesso a informação

• Salva os dados no formato JSON

• Suporta sistemas com um ou mais nodes

Elasticsearch 2/2

• Fácil de configurar e escalável

• Possui uma RESTful API

• Fácil criação snapshots / backups

• Instalação disponível em formato RPM ou DEB, além do tarball.

• Inseguro (precisa ambiente seguro)

Kibana

Kibana event

Métricas e Inteligência

Entenda sua empresa

• O que é uma ameaça olhando os data source ?

• Faz uso de algum threat intel público/privado ?

• Quais os entregáveis que quer automatizar/alertar ?

• Reanalisar logs antigos ?

ElastAlert

Exemplo regra

name: Large Number of 404 Responses es_host: elasticsearch.example.com es_port: 9200 index: logstash-indexname-* filter: - term: response_code: 404 type: frequency num_events: 100 timeframe: hours: 1 alert: - email email: example@example.com

Python API

Detalhes fazem a diferença

ELK + Inteligência + Métricas

• Análises em lote (retrospectiva)

• Correlação entre diferente data sources

• Gráficos bonitos no kibana para deixar nas TVs =)

• Alertas / Monitoramento

Chefe feliz =)

Dashboard

Conclusões

• Entenda o que necessita proteger

• Muita informação crua não te trará melhor resultado

• Não seja um “Maria Gartner”

• Entenda plenamente seus logs

• Se não domina alguma ferramenta, procure ajuda

• Sempre aprimore o ciclo, as coisas evoluem

Rodrigo “Sp0oKeR” Montoro Pesquisador / Security Operations Center (SOC)

rodrigo@clavis.com.br

@spookerlabs

Muito Obrigado!

Analisando eventos de forma inteligente para detecção de intrusos usando ELK

Technology

Transcript of Analisando eventos de forma inteligente para detecção de intrusos usando ELK

educação matemática, etnomatemática e vitivinicultura: analisando ...

ENCARANDO ROUSTAING E ANALISANDO KARDEC

Analisando Um Espermograma

7 Analisando alguns livros didáticos

Analisando fundamentos rc_ago11

Criptografia e Certificação Digital Sétima Aula · Criptografia e Certificação Digital Sétima Aula Prof. Frederico Sauer, D.Sc. Detecção de Intrusos •Intrusos são pessoas

Atividade - analisando uma obra de arte

Analisando o Discurso - Helena Brandão

Analisando um Modelo de Avaliação

Catálogo Elk Sport 2016 2017

Jogo dos números intrusos

Analisando Questões

Analisando situações complexas através de simulação

BANDAS DE MÚSICA ESCOLARES BRASILEIRAS: ANALISANDO ...

ANALISANDO DADOS PROF:MOISES

Analisando o discurso

Monitorando logs de aplicações com o ELK

Analisando Os Analistas

Exraindo informações de negócio a partir de logs de aplicações dom o ELK

Desafios Para Os Sistemas de Detecção de Intrusos