יצירת דשבורד בתוך ElasticSearch
חלק 4

תמלול ההרצאה: יצירת דשבורד בתוך ElasticSearch חלק 4

הטקסט המלא של הדקות הראשונות בהרצאה «יצירת דשבורד בתוך ElasticSearch חלק 4» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בהרצאה הזו נראה איך להגדיר סים כך שיראה לנו אירועים של רימור דסקטופ של כניסה לשרת על ידי חשבון שמיועד בכלל לסרוויסים זאת אומרת שאיזשהו האקר פרץ לנו לתוך הסרוויסים לתוך איזשהו שירות שרץ ברקע בואו אני אראה לכם נפתח את הסרוויסים יש לנו פה תוכנות שרצות ברקע ונניח אחד התוכנות שיש לנו

2. 00:29

   חשבו שזה יכול להיות שרת SQL, זה יכול להיות שרת Web, הוא רץ עם שם וסיסמה של איזשהו יוזר, נניח אדמיניסטרטור או איזשהו יוזר שאמור להריץ את התוכנה הזאת.

3. 00:42

   אז יש לנו איזשהו סרוויס, איזושהי תוכנה שמופעלת בשרת אוטומטי מההדלקה שלו, היא רצה ברקע, הרבה אנשים מתחברים אליה, לוקחים נתונים או משתמשים בתוכנה הזאת, והתוכנה מופעלת עם שם וסיסמה של איזשהו יוזר.

4. 00:58

   עכשיו, היוזר הזה, דרך אגב, לרוב קוראים לו SVC, מקף, נניח, משהו. נניח, Service Name כלשהו, שם של איזשהו סרוויס. לדוגמה, SVC, SQL. זאת אומרת, היוזר הזה שקוראים לו SVC-SQL מיועד אך ורק כדי להפעיל את תוכנת ה-SQL עם ההדלקה של המחשב. ויש לו הרשאות די גבוהות, כי זה יוזר

5. 01:21

   שאמור לתפעל תוכנה חשובה. עושים את זה הרבה פעמים כדי שהתוכנה הזאת תוכל לדבר עם החברים שלה, עם אותן תוכנות, כמוה דרך הרשת.

6. 01:32

   תחשבו שיש קלאסטר של כמה שרתים, כמה שרתים שעובדים ביחד, ובכל שרת יש את התוכנה הזאת, נניח שזאת תוכנת SQL שמחזיקה את כל הנתונים, ואנחנו רוצים שכל ה-SQLים שלנו ידברו ביניהם בלי בעיה.

7. 01:47

   כדי ש-SQL מהשרת הזה יוכל להתחבר ל-SQL בשרת אחר, הרבה פעמים נדרש שיהיה להם אותו user שלא יהיו לנו בעיות של הרשאות בקיצור נהוג בארגון להקים user בשם svc/sql במקום שיקראו לו יוני יוסי קוראים לו svc/sql יש לו הרשאות די גבוהות והוא מפעיל איזשהו

8. 02:10

   סרוויס איזושהי תוכנה שרצה ברקע ואם האקר פרץ לsql והשתלט על הuser הזה הוא יכול לנסות לעשות לוגין עם הuser הזה לשרת אחר להיכנס ברימור דסקטופ זאת אומרת mstc לכתוב פה רימור דסקטופ קונקשנס לפתוח את התוכנה הזאת שמתחברת לשרתים אחרים צריך לתת פה IP של איזשהו מחשב נניח שהוא נותן 10.100.103.79 נניח הוא נותן איזשהו IP של שרת שהוא רוצה

9. 02:40

   להתחבר אליו ואז הוא מבקש ממנו שם וסיסמה האקר הזה משתמש ב-svc/sql ועם הסיסמה שהוא פרץ כדי להשתלט על שרת אחר עכשיו היוזר הזה לא אמור להתחבר בכלל ברימור דסקטופ, הוא לא מיועד לרימור דסקטופ ואנחנו רוצים לקבל התרעות על לוגין מוצלח, על לוגין שהצליח לשרת כלשהו עם היוזר שבכלל מיועד להעריץ רק סרוויסים.

10. 03:07

    זה הסיפור שלנו וזאת ההתרעה שאנחנו רוצים לקבל בסים. עכשיו היוזר הזה אמור להיות חזק, הוא אמור לעבוד עם השרת אבל לא לוגין אינטראקטיבי, לוגין שאפשר להקיש שם שם וסיסמה בצורה אינטראקטיבית הוא אמור לרוץ רק ברקע כאילו משתמשים בו לרעה אז זה מה שאנחנו רוצים אנחנו רוצים לאתר rdb לוגונס לוגינים של רימונט דסקטופ של שולחן

11. 03:33

    עבודה מרוחק שהם הצליחו שהם סקסקספול זה אומר אירוע 4624 זה אומר שהלוגין הצליח אבל לא סתם לוגין אלא לוגין מסוג רימונט אינטראקטיב כאילו אנחנו יושבים מול מסך ומקלדת בצורה אינטראקטיבית אבל מרחוק, שליטה מרחוק בצורה אינטראקטיבית.

12. 03:52

    אז בואו נסנן גם לפי 4624, לוגין מוצלח, וגם לפי סוג של לוגין. נלחץ פה למעלה על ההמבורגר, על התפריט צד, נבחר דשבורדס, דשבורדס בתוך אנליטיקס, יש לנו פה דשבורד אחד מוכן, נלחץ אקשנס, ונלחץ קריאייט ויזואליזיישן.

13. 04:12

    הדשבורד שלנו מורכב מכמה רכיבים גרפיים, ואנחנו יוצרים עכשיו אחד חדש. קודם כל, אני רוצה לוודא שאנחנו מדברים על 15 שנים אחרונות. זה הטווח הזמן שמעניין אותי.

14. 04:26

    כמובן שבמציאות אתם יכולים להגביל את זה לחודש ולראות דוחות של חודש אחרון או של שבוע אחרון. אני עשיתי 15 שנה ואנחנו עושים פה פילטר שיוצאים מכל הדאטאבייס שיש לו, מכל הלוגים שזרמו אליו, רק לוגים שהאיבנט נקודה קוד שלהם, האירוע שלהם is 4624 event code is 4624

15. 04:49

    אני לוחץ save שימו לב צריך לוודא שיש פה windows כוכבית שאנחנו מדברים על שדות שקשורים לwindows ולא קשורים ללינוקס הדבר הבא שאני רוצה לוודא שלוגון טייפ הוא מסוג remote