הגדרת פוליסות ואינטגרציות
ב-ElasticSearch

בלי כתוביותעם כתוביות

מילון מושגים:

Elasticsearch - מנוע חיפוש וניתוח מבוזר שמאחסן ומאנדקס כמויות גדולות של נתונים לחיפוש מהיר.

יומן אירועים - רישום מרכזי ב-Windows של אירועי מערכת, אבטחה ותוכנות, המשמש למעקב ולאבחון.

לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.

אירוע - התרחשות שהמערכת מזהה ויכולה להגיב לה, כמו לחיצת עכבר, הקשה או סיום פעולה.

PowerShell - סביבת שורת פקודה ושפת סקריפטים של מיקרוסופט לניהול אוטומטי של מערכות Windows ושירותים.

HTTP - פרוטוקול להעברת דפי אינטרנט ונתונים בין דפדפן לשרת. הגרסה המאובטחת שלו היא HTTPS.

POST - שיטת HTTP לשליחת נתונים לשרת כדי ליצור או לעדכן משאב, למשל שליחת טופס.

REST - סגנון לבניית ממשקי API מעל HTTP, המבוסס על משאבים ועל שיטות סטנדרטיות כמו GET ו-POST.

הגדרת פוליסות ואינטגרציות ב-ElasticSearch

ההרצאה מראה איך מוסיפים ל-agent policy אינטגרציות, כלומר מלמדים את הסוכן של Elastic להבין תוכנות נוספות, ומחברים אותן לפוליסות המתאימות.

השלבים העיקריים

1. נכנסים ל-Fleet: בתפריט ההמבורגר בוחרים Fleet. יש בו agents, שעדיין לא הותקנו, ו-policies. לכל פוליסה יש אינטגרציות, ובפוליסת servers יש כרגע אחת בלבד, System.

2. מוסיפים אינטגרציית Windows: בוחרים Add integration, ואז Windows ו-Add integration only. נותנים שם כמו Windows Services ותיאור, ובוחרים מה לאסוף. כברירת מחדל נאספים יומן אירועים ו-PowerShell, והמעקב אחרי AppLocker כבוי. בנוסף יש מטריקס שנאספים כל 10 שניות, ושירותים כל 60 שניות, ואפשר לשנות את התדירות.

3. בוחרים פוליסה: מוסיפים את האינטגרציה לפוליסה קיימת, servers. בתחנת עבודה לא מעניין מעקב אחרי שירותים, כי אם יש בעיה משתמש יעשה restart לדקה. בשרת restart מפיל את כל המשתמשים המחוברים.

4. Preview: מראה שה-Kibana שולחת ל-Elasticsearch בקשת HTTP מסוג POST, כמו win logs מופעל ו-AppLocker מבוטל (enabled false). שני השרתים הם מערכות נפרדות שמדברות ב-REST.

5. אינטגרציות אחרות: אפשר לחפש אינטגרציה מתוך 384. בדוגמה בוחרים NGINX ומגדירים אילו לוגים של שרת web לאסוף, איפה הם נמצאים, ומטריקס. אפשר להוסיף אותה לפוליסה קיימת. הדובר לא בוחר בהתקנה ישירה בתחנה כי הניהול מרכזי דרך Fleet.

6. התוצאה: בפוליסת servers יש שלוש אינטגרציות, ובלשונית assets שלהן יש גם dashboards מוכנים, למשל שלושה עבור Windows.

אחרי ההרצאה אפשר להוסיף אינטגרציה לפוליסה ב-Fleet ולבחור איזה מידע היא תאסוף ובכמה זמן.

השיעור הבא בקורס: התקנת AGENT של ElasticSearch

פרקי ההרצאה: הגדרת פוליסות ואינטגרציות ב-ElasticSearch

תמלול ההרצאה: הגדרת פוליסות ואינטגרציות ב-ElasticSearch

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת פוליסות ואינטגרציות ב-ElasticSearch» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם בהרצאה הזו אנחנו ניכנס לתוך האינטגרציות לתוך המוח של פוליסה שמותקנת על כל המחשבים בואו ניכנס לתפריט העליון להמבורגר נלחץ פליט בתוך הפליט יש לנו את האג'נטים עוד לא התקנו אותם יש לנו פוליסות כל פוליסה משתמשת באיזושהי אינטגרציה נניח פוליסה שנקראת סרברס כרגע יש לה רק אינטגרציה אחת של סיסטם אני
00:28
יכול לעשות add אינטגריישן הפירוש של מילת אינטגרציה זה שילוב הכוונה שהסוכן שלנו האג'נט של Elasticsearch ידע להשתלב עם תוכנות אחרות למעשה אנחנו מלמדים את הסוכן הזה להבין תוכנות אחרות משפרים לו את המוח שלו נניח אנחנו רוצים ללמד את הסוכן הזה להבין טוב יותר את הווינדוס לדוגמה לאסוף
00:54
סרוויסים סרוויסים תוכנות שרצות ברקע בווינדוס זה שרת 2025 שהוא כמו Windows 11 זה אותה ליבה על השרת אף אחד לא יושב ועובד ביום יום שרת זה מכונה שעובדת לבד ויוזרים מתחברים ולוקחים ממנו מידע זה נראה אותו דבר כמו Windows 11 זה גם אותה ליבה פשוט הוא יותר חזק מבחינת תוכנה יש לו יותר
01:20
אפשרויות יש פה כל מיני תוכנות שמופעלות אוטומט איך שהוא נדלק כי אין מישהו שישב ויעשה דאבל קליק גם ב-Windows 11 ב-11 רגיל יש תוכנות כאלו שהם סרוויסים שעובדים ברקע.
01:32
מעניין אותי לנטר איזשהו סרוויס, אנחנו צריכים להתקין לו את האינטגרציה לווינדוס, כי החבילה הבסיסית לא יודעת לעשות את זה. אני לוחץ Add Windows, Add Integration Only, הוא שואל אותי איך נקרא לאינטגרציה הזאת, Windows Services.
01:50
Description, אני יכול לתת פה תיאור, אני יכול להגיד לו גם מה בדיוק לאסוף, איזה מידע אני רוצה שהוא יאסוף, הוא יודה להתחבר לתוכנת אפלוקר. בקורס טכנאים אנחנו לומדים על אפלוקר.
02:02
עקרונית התוכנה הזאת מונעת מאגזה לא מורשה, מתוכנה לא מורשית לרוץ בווינדאוס. שימו לב, ברירת מחדל זה מנותק. כברירת מחדל הוא מנטר יומן אירועים, פאוורשל.
02:16
אני משאיר הכל כברירת מחדל, כולל מטריקים. מטריקים זה הביצועים של ווינדאוס, אני יכול פה להגדיר לו בדיוק מה לאסוף. כברירת מחדל הוא כל 10 שניות אוסף לי מידע על ביצועים, זה יכול להיות כמה מעבד תפוס מידע על סרוויסים איזה תוכנות רצות ברקור הוא אוסף כל 60 שניות אני אומר לו לא אני רוצה כל 30 שניות או כל
02:37
10 שניות כי נורא חשוב לי איזשהו סרוויס ועכשיו הוא שואל אותי מה לעשות עם האינטגרציה הזאת עם המוח הזה האם להוסיף את זה לאיזה שהם פוליסות קיימות או ליצור פוליסה חדשה אני עושה לו פוליסות קיימות ואומר לו פוליסה שנקראת סרוורס כי בתחנת בתחנת עבודה לא מעניין אותי הסרוויסים שרצים
02:58
בתחנת עבודה אם תהיה בעיה יוזר יעשה ריסטארט והסרוויס יעלה לבד שרת אני לא רוצה לעשות סתם ריסטארט כי אני מפיל את כל האנשים שמתחברים אליו נניח אם אני עושה ריסטארט לסרוור של פרקטיקיו אז אף אחד לא יכול לראות את הסרטים שלנו לעומת זאת בתחנת עבודה אז בן אדם אחד יחכה דקה שיעבור
03:16
לו ריסטארט אז אני מוסיף את האינטגרציה הזאת את המוח הזה לסרוורס עושה סייב אנד קונטיניום לפני שאני אעשה את זה אני רוצה להראות לכם preview, preview זה למעשה מה הולך קיבאנה, הממשק הגרפי הזה, לשלוח ב-API, הממשק הגרפי הולך לשלוח בקשת HTTP בתצורת פוסט לשרת השני של Elasticsearch, אני יכול גם לעשות את זה ידני דרך קונסול, במקום שאני אנהל את זה
03:44
לבד, הממשק הגרפי הולך לשלוח במקומי את הבקשה הזאת, ממש אפשר לראות שאני אומר לו win logs, לוגים של Windows, תאסוף, ואפ לוקר, אל תאסוף, enabled false.
03:56
זאת אומרת שאני ממש פה מגדיר לו מה אני רוצה ממנו, וכל זה זה בקשה בין שרת לשרת, בין קיבאנה לאלסטיק סורצ' סייב אנד קונטיניו.
04:07
אנחנו רואים את זה כמערכת אחת, אבל מאחורי הקלעים זה מערכות נפרדות שמדברות ביניהן בשפת HTTP זה נקרא גם רסטפול. עכשיו הוא שואל אותי האם אני רוצה להוסיף אייג'נטים, אני עושה לו אחרי זה נוסיף אייג'נטים, אג'נט זה למעשה התקנות שהולכות להיות בפועל.
04:23
כרגע אנחנו בשרת של פליי, בהגדרות של שרת פליי שלנו,