Graylog Open 打造資安戰情中心經驗分享

簡報說明

分享在過去幾年採用 Graylog Open 版本打造企業資安戰情中心的經驗，從記錄收容、擷取及分析出關鍵資料數據呈現在易讀的資訊看板上，再搭配接取外部多種開源情資進行判斷，甚至是與 Grafana 進行整合做出更多樣化的圖表看板，達至最低成本下做出最大效果。在議程中將會分享多種實際案例的看板、情資與圖表用法。

https://cybersec.ithome.com.tw/2024/session-page/2755

逐頁文字

Blue Team Forum
Graylog Open 打造資安戰情中
經驗分享
Jason Cheng 鄭郁霖
Technical Director 技術總監
www.jason.tools 節省工具箱有限公司
Graylog
原廠
商業公司
美、德國
開源軟體
商用軟體
節省工具箱有限公司 / 創辦人兼技術總監
中華民國軟體自由協會 / 常務理事
簡介
耀達電腦、晟鑫科技、五倍紅寶石等公司 / 技術顧問
資展國際、崑山科大推廣教育 / 講師
2020, 2022 InfoSec Taiwan 台灣國際資安大會 / 講者
2020 COSCUP 開源人年會 / 講者
2019 OpenInfra Days Taiwan / 講者
鄭郁霖 2019 CyberSec Taiwan 台灣資安大會 / 講者
JASON CHENG
2018, 2019 國際資訊安全組織台灣高峰會 / 講者
CEH, ISO 27001 LA
功能概觀
系統特點
功能豐富
開放架構
擴充外掛
更新快速
網頁介面
端點
架構
(input, stream, extractor, pipeline, rule, alert…)
MongoDB 存放記錄以外的所有設定
伺服器 Graylog
OpenSearch 存放記錄與索引
(log, data, index...)
使用者
單點架構
架構
* 相關埠號配置依使用者環境習慣調整，此處僅為範例
送出記錄
裝置端
檢視分析
叢集架構
架構
node 1
node 2
node 3
* 若要更進階提升容錯能力，可以在進入 Graylog 前再架層負載平衡
事件收容
功能
集中保存
多種來源
GELF, Syslog,
CEF, NetFlow,
Raw...等
擷取外掛
搭配 NXLog:
Eventlog,
Text File,
DB Record...
記錄搜尋
搜尋
搜尋列
快速篩選
進階語法
資料時間軸
詳細記錄
欄位擷取
擷取
訂擷取
多種方式
Copy input,
JSON,
Grok pattern,
Regular expression,
Replace & Regex,
Split & Index,
Substring,
Lookup Table
下載擴充
Graylog Marketplace
資訊看板
看板
即取
快速統計
趨勢變化
圖表識別
地理位置
排行榜
整合情資：OTX
整合情資
整合資料：GeoIP
對照表範例：IP 與 FQDN
對照表
對照表範例：UID/SID 與 Username
對照表
對照表範例：開源 IP 情資
對照表
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/get_blocklist_de.sh
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/get_blocklist_ciarmy_malicious.sh
實際案例
看板過多時間有限，以下快速帶過
AD 網域
功能
登入失敗
失敗來源
認證主機
嘗試時間
帳戶排行
AD 網域
功能
帳戶鎖定
鎖定主機
來源主機
鎖定排
解鎖事件
鎖定時間
網域
功能
OpenLDAP
Samba
使用命令
連線來源
繫結帳
篩選對象
搜尋基礎
本例採 UCS (Univention Corporate Server)
執行記錄
功能
Windows
處理程序
處理程序
發生時間
訊息內容
使用者
郵件服務
功能
隔離郵件
垃圾郵件
惡意郵件
拒絕來源
地圖顯
情資整合
郵件服務
功能
國家統計
隔離郵件
收件排
寄件排
拒絕排
郵件安全
功能
認證結果
存取來源
通訊協定
鎖定帳
存取記錄
系統命令
網頁服務
Http 狀態
來源位址
要求路徑
時間趨勢
客戶端
Nginx
反向代理
功能
後端站台
來源位址
來源國家
狀態碼
參照網址
OpenVPN
VPN 服務
功能
來源位址
地理城市
軟體版本
平台分佈
認證結果
事件趨勢
Fortigate
VPN 服務
功能
時間分佈
帳戶分群
起迄時間
登入清單
Windows
DNS 服務
來源 IP
類型
名稱
Flag
排行榜
Bind9
DNS 服務
來源主機
來源 IP
查詢名稱
查詢類別
排行榜
Unbound
DNS 服務
功能
事件數量
來源分佈
查詢類型
熱度圖
OPNsense
DHCP 服務
MAC 資訊
IP 配發
裝置名稱
伺服器統計
大量 DHCP 伺服器
數集中統計
排行榜
Nextcloud
網路硬碟
功能
稽核記錄
使用模組
操作行為
來源位址
檔案異動
檔案共
帳戶登入
Windows
網路硬碟
功能
稽核記錄
時間分佈
刪除檔案
來源
統計數量
使用者
Synology
網路硬碟
功能
稽核記錄
應用程式
登入記錄
來源 IP
資料夾
檔案存取
Synology
網路硬碟
功能
檔案動作
時間分佈
刪檔排
行為監測
檔名路徑
來源 IP
Paloalto
防火牆
功能
熱度圖
應用程式
交叉分析
使用者
Fortigate
防火牆
功能
熱度圖
應用程式
來源目的
交叉分析
Nusoft
防火牆
功能
處理動作
事件趨勢
封鎖事件
來源統計
目的統計
協定統計
OPNsense
防火牆
功能
事件趨勢
通訊協定
處理動作
應用程式
來源統計
目的統計
OPNsense
防火牆
功能
封包分析
來源國家
行為分類
阻擋封包
阻擋來源
統計分析
Proxmox VE
虛擬平台
功能
備份失敗
複寫失敗
磁碟錯誤
Disk I/O Error
Ceph OSD Error
節點事件
故障隔離 Fence
Proxmox VE
虛擬平台
功能
中止程序
OOM-Killer
作業記錄
客體事件
高可 HA 觸發
主控台連線
使用起迄時間
登入帳戶與目標
警報定義
功能
搜尋條件
時間範圍
判斷式
門檻值
警報通知
功能
電子郵件
警報範本
排板格式
自訂欄位
開發擴充
開發擴充
Grafana 整合
更豐富的圖表
資料整合顯
多種來源並列
但是...在 Grafana 端
沒有 Graylog 關聯查
詢與互動等進階功能
其它整合
開發擴充
連動外部裝置
Call API / CLI
執行預期行為
例：自動重啟服務，或者
將惡意 IP 經由防火牆 API
寫入拒絕清單
LibreNMS 整合
開發擴充
警告事件轉送
統一警報管理
客製警報內容
擴充通知管道
可使 LibreNMS 豐富的
通知能力，如 Telegram,
Teams, Slack, LINE 等
通知應用場景：警報事件轉拋 SOC
開發擴充
符合條件
記錄傳送
CEF▸SOC
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/rscef.py
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/rscef-srv.py
API 應用場景：匯出惡意 IP 情資
開發擴充
動排程
轉出惡意
IP CSV檔
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/export_wdrop_iplist_to_file.py
參考資料
節省工具箱公司節省工具箱網誌
www.jason.tools blog.jason.tools
謝謝您。
節省工具箱有限公司
企業應用開源軟體方案導入專家