יצירת דשבורד בתוך ElasticSearch
חלק 3

בלי כתוביותעם כתוביות

מילון מושגים:

דשבורד - מסך שמרכז נתונים ומדדים חשובים בתצוגה חזותית, לצורך מעקב וקבלת החלטות במבט אחד.

Elasticsearch - מנוע חיפוש וניתוח מבוזר שמאחסן ומאנדקס כמויות גדולות של נתונים לחיפוש מהיר.

VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.

אירוע - התרחשות שהמערכת מזהה ויכולה להגיב לה, כמו לחיצת עכבר, הקשה או סיום פעולה.

Event Viewer - כלי ב-Windows שמציג את יומני האירועים של המערכת והתוכנות, לצורך מעקב ואבחון תקלות.

שם משתמש - מזהה ייחודי שמשתמש מזין כדי להזדהות במערכת, לרוב יחד עם סיסמה.

אדמיניסטרטור - משתמש בעל הרשאות הניהול הגבוהות ביותר במערכת, שיכול לשנות הגדרות, להתקין תוכנות ולנהל משתמשים אחרים.

דוח - מסמך או תצוגה שמסכמים נתונים בצורה מאורגנת לצורך הבנה וקבלת החלטות.

יצירת דשבורד בתוך ElasticSearch חלק 3

הדוגמה כאן היא דשבורד שמראה ניסיונות כניסה ליוזר מבוטל (disabled): משתמש שעזב את העבודה ולא נמחק, ושהאקר עם הפרטים שלו עלול לנסות להיכנס איתו, מבחוץ דרך VPN או מבפנים.

השלבים

1. ויזואליזציה חדשה: מתחברים לסביבת התרגול בפורט 5601, עושים Edit לדשבורד קיים ו-Create visualization.

2. סינון האירוע: מוסיפים פילטר event.code שווה ל-4625 (לוגין כושל) ומוודאים שהתפריט של מקור הנתונים מועבר ל-Windows. אחרת לא יופיעו שדות כמו win log, וזה מתבטא גם בפילטר.

3. סינון לפי קוד מיוחד: מוסיפים פילטר על winlog substatus שווה לקוד של יוזר מבוטל. את הקוד אפשר לגלות בעצמנו: מנסים להיכנס ל-Windows עם יוזר disabled, ואז בודקים ב-Event Viewer מה נרשם ביומן, כי ה-SIM שואב נתונים מהיומן המקומי.

4. טבלה: גוררים username.keyword, עוברים מ-bar ל-table, ומגדירים 1000 שורות. ה-Metric נשאר Count of Records. מתקבל משתמש אחד שהיה לו ניסיון כניסה אחד.

5. עמודת תחנה: מוסיפים את hostname, וכך רואים שהתחנה שתיעדה את הניסיון היא Workstation 001.

6. שמירה: Save and return. בדשבורד נותנים לטבלה כותרת (Title) בשם Fade Logon Disabled Users, שומרים, ואפשר גם להרחיב ולהקטין את הוויזואליזציה.

7. שאלה על logon type: מוסיפים עמודה logon type ומקבלים ערך מספרי 2. כדי לראות את המשמעות מוסיפים logontype.keyword שמראה interactive, וזו התשובה הנכונה: ניסיון כניסה אינטראקטיבי עם מקלדת.

8. שאילתת Kibana עם כוכבית: בדשבורד המוכן Fade Logon Attempts Admin מסוננים ל-admin*, כלומר שמתחיל ב-admin. כדי לתפוס שם שמכיל admin גם באמצע מוסיפים כוכבית בתחילת הערך. אחרי Update מופיעים גם שמות כמו e-administrator.

שימו לב

כדאי לתרגל הכול בעצמכם. ההרצאה מציינת שיש ענן חינמי של Elasticsearch לתרגול.

אחרי ההרצאה אפשר לבנות דוח SIM על ניסיונות כניסה ליוזר מבוטל ולכתוב שאילתת Kibana עם כוכביות לחיפוש חלקי של שם.

השיעור הבא בקורס: יצירת דשבורד בתוך ElasticSearch חלק 4

פרקי ההרצאה: יצירת דשבורד בתוך ElasticSearch חלק 3

תמלול ההרצאה: יצירת דשבורד בתוך ElasticSearch חלק 3

הטקסט המלא של הדקות הראשונות בהרצאה «יצירת דשבורד בתוך ElasticSearch חלק 3» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה זו נעשה דוגמא נוספת לדשבור, על פייד לוגון, על לוגין שלא הצליח, כי ניסו לעשות לוגין ליוזר מבוטל, דיסייבלד יוזר.
00:13
כמובן שיוזר שהוא מבוטל, כי הוא עזב מקום עבודה, כי הוא סיים את התפקיד שלו, כמובן שאי אפשר לעשות אליו לוגין, כי הוא מבוטל.
00:22
הוא לא נמחק, הוא פשוט בוטל. ויכול להיות מצב שאקר השיג את השם והסיסמה שלו, ומנסה להיכנס איתו לתוך הרשת שלנו. זה יכול להיות גם מבחוץ דרך VPN, זה יכול להיות גם מבפנים שהוא מנסה להיכנס לכל מיני שרתים.
00:36
אנחנו רוצים לקבל על זה דוח בתוך סים. שימו לב ליוזר שהוא מבוטל יש קוד מיוחד שמתועד באבנט פיואר בתוך יומן האירועים. מה שעשיתי זה ירדתי למטה פה, הפעלתי מכונה וירטואלית שלהם לתרגול, התחברתי ב-VPN ועכשיו אני ב-HTTP למכונה הזאת בפורט 5601.
00:59
זאת המכונה, 5601 ואנחנו צריכים להיכנס פה לדשבורד ולעשות על הדשבורד הזה אדיט, לערוך אותו וליצור ויזואליזיישן חדש, זה מה שאנחנו נעשה, נעשה אדיט על דשבורד קיים ונלחץ קריאייט ויזואליזיישן.
01:17
קודם כל אנחנו צריכים לסנן לפי לוגין כושל, אירוע 4625, אז אנחנו באים לפה, עושים פה אד פילטר event.code, מאוד חשוב שתעשו הכל בעצמכם.
01:30
יש ענן חינמי של Elasticsearch וחשוב מאוד לתרגל הכל. עושים סייב. אז יש לנו עכשיו סינון מכל הדאטאבייס, מכל השרתים, כל מה שקרה בכל השרתים.
01:43
אנחנו מסננים רק אירועים מסוג 4.6.2.5 של Windows. הדבר הבא שצריך לעשות זה להעביר פה פילטר ל-Windows, כדי שנראה את השדות של Windows, כי גם הפילטר מושפע מהבחירה הזאת.
01:58
אחרי שבחרתי פה Windows, בעת פילטר אני גם אראה win log. תסתכלו, אם אני אעביר את הפילטר הראשי הזה נניח ללינוקס, אני פתאום לא אראה win log.
02:09
אתם רואים? כאילו אין לי win log, הוא לא מראה לי אופציות. אז תדעו שגם כאן צריך להעביר את הדרופ דאון הזה ל-Windows, ואז יופיע לנו win log.
02:20
ואני בוחר win log substatus is שווה, למה הוא צריך להיות שווה? לקוד הזה מאיפה יודעים את הדבר הזה איך אפשר לגלות איזה קוד זה פשוט באים לווינדוס רגיל עושים user disabled מנסים להיכנס איתו למערכת כמובן שלא מצליחים אחרי זה נכנסים עם יוזר אמיתי עם אדמיניסטרטור אמיתי ובודקים באבנט פיואר ביומן האירועים מה הוא תיעד כי הסים הזה שואף נתונים מתוך הווינדוס המקומי הוא
02:50
למעשה מרכז אותם אז נעשה פה סייב נהדר אז יש לנו פה שני פילטרים, סיננו את המידע המדויק שאנחנו רוצים. עכשיו נשאר לנו רק לבחור מה להציג, איזה עמודות להציג על המסך, כי יש הרבה עמודות בתוך הדאטאבייס.
03:06
אז נגיד לו להציג username.keyword ולעשות את זה כטבלה. בואו ננסה. אז אנחנו באים לכאן, מחפשים שדה שנקרא username.keyword, גוררים אותו לפה, הוא מוצג לי בצורת בר, בצורת עמודות, אני אומר לו להציג את זה בצורת טבלה,
03:26
הנה טבלה, ובתוך הטבלה הזאת אני בוחר במאפיינים שהוא