Detectando Intrusos com Inteligência usando ELK stack

Copyright © 2015 Clavis Segurança da Informação. Todos os direitos reservados.

Rodrigo “Sp0oKeR” MontoroPesquisador / Security Operations Center (SOC)

[email protected]

Analisando eventos de forma inteligente para Detecção de Intrusos usando ELK


About me

• Pesquisador / SOC Clavis Security• Autor de 2 pesquisas com patente

requerida/concebida• Palestrante diversos eventos Brasil, EUA e Canadá• Evangelista Opensource• Usuário linux desde 1996• Pai• Triatleta / Corredor trilhas


Agenda

• Atual problema na detecção• Escolhendo os data sources• Entendendo a pilha ELK• Gerando métricas e inteligência• Deixando chefe feliz (Relatórios / Dashboards)


Problemas na detecção


Orçamento


Maria Gartner


Quantidade e não qualidade


Entenda o contexto


Escolhendo osdata sources


O que já possuímos ?

• Produtos instalados na empresa• Aquisições já programadas• Eventos default dos equipamentos/máquinas


Rapidez no uso


Dimensionamento

Quantidade informação

Maior I/O

Mais espaço em disco

Memória / CPU


Entenda os eventos


O ELK


ElasticsearchLogstash

Kibana


Logstash


Logstash Input

• file• udp / tcp• twitter• netflow• eventlog• irc• exec


Logstash Filters

• grok• fingerprint• geoip• date• csv• anonymize• throttle


Logstash Output

• elasticsearch• email• exec• jira• zabbix• hipchat• amazon(s3)


Elasticsearch 1/2

• Open source, distribuido, full text search engine

• Baseado no Apache Lucene

• Rápido acesso a informação

• Salva os dados no formato JSON

• Suporta sistemas com um ou mais nodes


Elasticsearch 2/2

• Fácil de configurar e escalável

• Possui uma RESTful API

• Fácil criação snapshots / backups

• Instalação disponível em formato RPM ou DEB, além do tarball.

• Inseguro (precisa ambiente seguro)


Kibana


Kibana event


Métricas e Inteligência


Entenda sua empresa

• O que é uma ameaça olhando os data source ?

• Faz uso de algum threat intel público/privado ?

• Quais os entregáveis que quer automatizar/alertar ?

• Reanalisar logs antigos ?


ElastAlert


Exemplo regra

name: Large Number of 404 Responseses_host: elasticsearch.example.comes_port: 9200index: logstash-indexname-*filter: - term: response_code: 404type: frequencynum_events: 100timeframe: hours: 1alert: - emailemail: [email protected]

mailto:[email protected]


Python API


Detalhes fazem a diferença


ELK + Inteligência + Métricas

• Análises em lote (retrospectiva)

• Correlação entre diferente data sources

• Gráficos bonitos no kibana para deixar nas TVs =)

• Alertas / Monitoramento


Chefe feliz =)


Dashboard


Conclusões

• Entenda o que necessita proteger

• Muita informação crua não te trará melhor resultado

• Não seja um “Maria Gartner”

• Entenda plenamente seus logs

• Se não domina alguma ferramenta, procure ajuda

• Sempre aprimore o ciclo, as coisas evoluem


Rodrigo “Sp0oKeR” MontoroPesquisador / Security Operations Center (SOC)

[email protected]

@spookerlabs

Muito Obrigado!

Detectando Intrusos com Inteligência usando ELK stack

Internet

Transcript of Detectando Intrusos com Inteligência usando ELK stack