Graylog Open 打造資安戰情中心經驗分享

簡報說明

分享在過去幾年採用 Graylog Open 版本打造企業資安戰情中心的經驗，從記錄收容、擷取及分析出關鍵資料數據呈現在易讀的資訊看板上，再搭配接取外部多種開源情資進行判斷，甚至是與 Grafana 進行整合做出更多樣化的圖表看板，達至最低成本下做出最大效果。在議程中將會分享多種實際案例的看板、情資與圖表用法。

https://cybersec.ithome.com.tw/2024/session-page/2755

逐頁文字

Blue Team Forum
Graylog Open 打造資安戰情中
經驗分享
Jason Cheng 鄭郁霖
Technical Director 技術總監
www.jason.tools 節省具箱有限公司
Graylog
廠商業公司
美、德國
開源軟體
商軟體
節省具箱有限公司 / 創辦兼技術總監
中華國軟體由協會 / 常務理事
簡耀達電腦、晟鑫科技、五倍紅寶等公司 / 技術顧問
資展國際、崑科推廣教育 / 講師
2020, 2022 InfoSec Taiwan 台灣國際資安會 / 講者
2020 COSCUP 開源年會 / 講者
2019 OpenInfra Days Taiwan / 講者
鄭郁霖 2019 CyberSec Taiwan 台灣資安會 / 講者
JASON CHENG
2018, 2019 國際資訊安全組織台灣峰會 / 講者
CEH, ISO 27001 LA
功能概觀
系統特點
系網介
功能豐富
開放架構
擴充外掛
更新快速
端點
(input, stream, extractor, pipeline, rule, alert…)
MongoDB 存放記錄以外的所有設定
伺服器 Graylog
OpenSearch 存放記錄與索引
(log, data, index...)
使者
單點架構
* 相關埠號配置依使者環境習慣調整，此處僅為範例
叢集架構
架 node 1
node 2
node 3
* 若要更進階提升容錯能，可以在進入 Graylog 前再架層負載平衡
事件收容
能集中保存
多種來源
GELF, Syslog,
CEF, NetFlow,
Raw...等
擷取外掛
搭配 NXLog:
Eventlog,
Text File,
DB Record...
記錄搜尋
尋搜尋列
快速篩選
進階語法
資料時間軸
詳細記錄
欄位擷取
取訂擷取
多種式
Copy input,
JSON,
Grok pattern,
Regular expression,
Replace & Regex,
Split & Index,
Substring,
Lookup Table
下載擴充
Graylog Marketplace
資訊看板
板即取
快速統計
趨勢變化
圖表識別
排榜
地理位置
整合情資：OTX
整合資料：GeoIP
對照表範例：IP 與 FQDN
對照表範例：UID/SID 與 Username
對照表範例：開源 IP 情資
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/get_blocklist_de.sh
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/get_blocklist_ciarmy_malicious.sh
實際案例
看板過多時間有限，以下快速帶過
AD 網域
能登失敗
帳排
失敗來源
認證主機
嘗試時間
AD 網域
能帳鎖定
鎖定主機
來源主機
鎖定排
解鎖事件
鎖定時間
網域
能 OpenLDAP
Samba
使命令
連線來源
繫結帳
篩選對象
搜尋基礎
本例採 UCS (Univention Corporate Server)
執記錄
功 Windows
處理程序
處理程序
發時間
使者
訊息內容
郵件服務
能隔離郵件
垃圾郵件
惡意郵件
拒絕來源
地圖顯
情資整合
郵件服務
能國家統計
隔離郵件
收件排
寄件排
拒絕排
郵件安全
能認證結果
存取來源
通訊協定
鎖定帳
存取記錄
系統命令
網服務
能客端
Http 狀態
來源位址
要求路徑
時間趨勢
Nginx
反向代理
能後端站台
來源位址
來源國家
狀態碼
參照網址
OpenVPN
VPN 服務
能來源位址
地理城市
軟體版本
平台分佈
認證結果
事件趨勢
Fortigate
VPN 服務
能時間分佈
帳分群
起迄時間
登清單
Windows
DNS 服務
能排榜
來源 IP
類型
名稱
Flag
Bind9
DNS 服務
能排榜
來源主機
來源 IP
查詢名稱
查詢類別
Unbound
DNS 服務
能事件數量
來源分佈
查詢類型
熱度圖
OPNsense
DHCP 服務
能排榜
MAC 資訊
IP 配發
裝置名稱
伺服器統計
量 DHCP 伺服器
數集中統計
Nextcloud
網路硬碟
能稽核記錄
使模組
操作為
帳登
來源位址
檔案異動
檔案共
Windows
網路硬碟
能稽核記錄
時間分佈
刪除檔案
使者
來源
統計數量
Synology
網路硬碟
能稽核記錄
應程式
登記錄
來源 IP
資料夾
檔案存取
Synology
網路硬碟
能檔案動作
時間分佈
刪檔排
為監測
檔名路徑
來源 IP
Paloalto
防火牆
能熱度圖
應程式
使者
交叉分析
Fortigate
防火牆
能熱度圖
應程式
來源的
交叉分析
Nusoft
防火牆
能處理動作
事件趨勢
封鎖事件
來源統計
的統計
協定統計
OPNsense
防火牆
能事件趨勢
通訊協定
處理動作
應程式
來源統計
的統計
OPNsense
防火牆
能封包分析
來源國家
為分類
阻擋封包
阻擋來源
統計分析
Proxmox VE
虛擬平台
能備份失敗
複寫失敗
磁碟錯誤
Disk I/O Error
Ceph OSD Error
節點事件
故障隔離 Fence
Proxmox VE
虛擬平台
能中程序
OOM-Killer
作業記錄
客體事件
可 HA 觸發
主控台連線
登帳與標
使起迄時間
警報定義
能搜尋條件
時間範圍
判斷式
檻值
警報通知
能電郵件
警報範本
排板格式
訂欄位
開發擴充
開 Grafana 整合
擴更豐富的圖表
資料整合顯
多種來源並列
但是...在 Grafana 端
沒有 Graylog 關聯查
詢與互動等進階功能
其它整合
發連動外部裝置
充 Call API / CLI
執預期為
例：動重啟服務，或者
將惡意 IP 經由防牆 API
寫拒絕清單
LibreNMS 整合
發警告事件轉送
充統警報管理
客製警報內容
擴充通知管道
可使 LibreNMS 豐富的
通知能，如 Telegram,
Teams, Slack, LINE 等
通知應場景：警報事件轉拋 SOC
充符合條件
記錄傳送
CEF▸SOC
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/rscef.py
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/rscef-srv.py
API 應場景：匯出惡意 IP 情資
充動排程
轉出惡意
IP CSV檔
https://github.com/jasoncheng7115/it-scripts/blob/master/graylog/export_wdrop_iplist_to_file.py
參考資料
節省具箱公司節省具箱網誌
www.jason.tools blog.jason.tools
謝謝您。
節省具箱有限公司
企業應開源軟體案導專家