PracticU

הסבר על ElasticSearch
חלק 1

בלי כתוביותעם כתוביות
PracticU › קורס SOC - מיישם הגנת סייבר › הסבר על ElasticSearch חלק 1
מילון מושגים:
Elasticsearch - מנוע חיפוש וניתוח מבוזר שמאחסן ומאנדקס כמויות גדולות של נתונים לחיפוש מהיר.
קוד פתוח - תוכנה שקוד המקור שלה זמין לציבור לצפייה, לשימוש ולשינוי, לרוב לפי רישיון מתאים.
קוד מקור - הקוד שמפתחים כותבים בשפת תכנות, לפני הידור, המגדיר את פעולת התוכנה.
CloudWatch - שירות של AWS לניטור משאבים ויישומים בענן, לאיסוף מדדים, לוגים והתראות.
SNMP - פרוטוקול לניטור ולניהול של התקני רשת, כמו ראוטרים ומתגים, ולאיסוף מידע עליהם.
דשבורד - מסך שמרכז נתונים ומדדים חשובים בתצוגה חזותית, לצורך מעקב וקבלת החלטות במבט אחד.
SaaS - תוכנה כשירות: אפליקציה שמסופקת דרך האינטרנט בדרך כלל במנוי, בלי התקנה וניהול מקומיים.
Event Viewer - כלי ב-Windows שמציג את יומני האירועים של המערכת והתוכנות, לצורך מעקב ואבחון תקלות.

הסבר על ElasticSearch חלק 1
מכירים מערכת SIM חינמית מבוססת Elastic, ורואים איך מחפשים בה אירועי אבטחה, בעיקר ניסיונות התחברות כושלים ב-Windows.
הרכיבים של Elastic
1. Open Source: יש קוד מקור פתוח, וסביר שהמוצר גם חינמי.
2. Elasticsearch: הליבה שמאחסנת, מחפשת ומנתחת את הלוגים. הוא מבוסס על קבצי JSON ועובד עם REST API, כלומר מקבל שאילתות דרך HTTP.
3. Logstash: אוסף לוגים ממקורות רבים, מבצע להם transform ושולח ל-Elasticsearch. בין המקורות שהוא תומך בהם: Azure, CloudWatch של AWS, Google Cloud, GitHub, Log4j, SNMP של ציוד תקשורת, syslog וקבצים. מערכת שיודעת לשלוח ישירות ל-Elasticsearch לא צריכה אותו.
4. Beats: סוכן קטן שמותקן במכונה מרוחקת ושולח ממנה לוגים, גם בלי כניסה אליה. זה שימושי ברשתות שמותר לצאת מהן אך לא להיכנס אליהן.
5. Kibana: הממשק הגרפי להצגת התוצאות, ובו בונים dashboard, אוסף תצוגות ודוחות בעמוד אחד.
אפשרויות ההתקנה
1. שרת עצמאי (standalone) בארגון, שצריך לתחזק את החומרה.
2. התקנה על מכונה בענן, שבה מנהלים גם את המכונה וגם את המוצר.
3. SaaS: מקבלים גישה רק לתוכנה בענן, בלי מערכת ההפעלה, ומקבלים כ-5 חודשים חינם.
חיפוש ב-Kibana
באמצע המסך מוצגים האירועים, מצד שמאל שדות לסינון (available fields), ומימין טווח תאריכים. כותבים שאילתות בשפת KQL:
1. אירוע Windows event.code: 4625 הוא ניסיון התחברות כושל. ניסיונות רצופים רבים, למשל מיליון סיסמאות בשלוש דקות, מעידים על ניסיון פריצה בכוח (brute force) בידי תוכנה.
2. אפשר גם לחפש ערך בלי לציין שדה, והחיפוש יעבור על כל השדות.
3. שילוב תנאים בעזרת AND: כשל התחברות וגם sub status עם הערך 72 שמציין יוזר מבוטל. משתמש שהתפטר מבטלים ולא מוחקים.
4. הגבלת זמן בעזרת @timestamp גדול שווה וקטן שווה, וכוכבית כמו admin* לכל שם שמתחיל כך.
5. אם נמצא ניסיון כזה, אפשר לזהות איזו תחנה מבצעת אותו, ולהסיק שהיא כנראה נגועה.
בנוסף
באתר Ultimate Windows Security מוסבר כל קוד אירוע וסטטוס משנה (sub status). למשל 6a מציין שהיוזרניים נכון והסיסמה שגויה, ואחר מציין יוזר נעול. התחברות שגויה ל-Windows נרשמת ביומן Security, וב-Event Viewer אפשר ליצור custom view. אבל במספר מחשבים כל אחד לחוד זה לא מעשי, ולכן מרכזים את הלוגים.
אחרי ההרצאה אפשר להסביר את תפקידי Elasticsearch, Logstash, Beats ו-Kibana, ולהבין איך שאילתה מסננת אירועי כניסה כושלים.
השיעור הבא בקורס: הסבר על ElasticSearch חלק 2

פרקי ההרצאה: הסבר על ElasticSearch חלק 1

  1. 00:00

    Elasticsearch כקוד פתוח וחינמי

  2. 00:58

    תפקיד Logstash באיסוף לוגים

  3. 01:35

    Logstash ו-Kibana בפעולה

  4. 02:12

    סוגי Deployment - Standalone ו-Enterprise

  5. 02:47

    מערכות ענן ו-SaaS

  6. 03:40

    אפשרויות התקנה של Elasticsearch

תמלול ההרצאה: הסבר על ElasticSearch חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על ElasticSearch חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם בהרצאות הקרובות אנחנו הולכים לראות מערכת סים אמיתית חינמית שמבוססת על Elasticsearch וכל המערכת של Elastic היא Open Source זה אומר שיש לנו קוד מקור שכתבו המתכנתים אולי הם כתבו את זה בשפת Java או C-Sharp אני לא יודע בדיוק באיזה שפה הם כתבו אבל יש לנו את הקוד המקורי הזה לפני שהפכו אותו לשפת

  2. 00:25

    מכונה אם לא היה לנו אופן סורס, אם לא היה לנו קוד מקור, היינו מקבלים רק קובץ אקזה בשפת מכונה שנורא קשה להבין אותו.

  3. 00:34

    אופן סורס זה לפני שקימפילו אותו, לפני שהפכו אותו לשפת מכונה, הפקודות היפות שכותבים מתכנתים. תשאלו אותי מה אכפת לך אם יש לך פקודות יפות, לא יפות, בסוף אתה צריך שפת מכונה.

  4. 00:48

    אבל אם יש לי אופן סורס, זה אומר שזה גם בחינם. כי מי שמחלק את קוד המקור שלו, את מה שהוא כתב, הוא גם לא רוצה כסף.

  5. 00:56

    מי שרוצה להרוויח כסף נותן לנו רק את האקזה כדי שלא נוכל לגנוב לו את המוצר. בקיצור, כשאתם רואים Open Source, קוד מקור פתוח, סביר להניח שזה גם בחינם.

  6. 01:06

    והמערכת הזאת של Elasticsearch היא יודעת לחפש בתוך לוגים דברים, לנתח את הלוגים. יש לה גם עוזר אישי שקוראים לו Logstash, שזאת תוכנה נפרדת שיודעת לקרוא לוג מכל מיני מקורות שונים, מכל מיני מקומות, מווינדוסים, מלינוקסים, מפיירוול.

  7. 01:24

    למעשה הלוג סטאץ' הזה קורא את הלוגים ומעביר אותם לאלסטיק סירצ' שיודע לחפש ולנתח. אם יש לנו מערכת כלשהי שיודעת לשלוח לוג ישירות לאלסטיק סירצ' אז לא צריך את הלוג סטאץ'.

  8. 01:38

    אם המערכת שלנו לא יודעת לדבר עם אלסטיק סירצ' ישירות אז לוג סטאץ' זה המתווך שיודע לדבר בהמון שפות של המון תוכנות. ובסוף יש לנו קיבאנה. קיבאנה זה הכלי הגרפי שמראה לנו את התוצאות של אלסטיק סירצ'.

  9. 01:53

    Elasticsearch זאת הליבה שיודעת לחפש, לנתח. Kibana זה הממשק הגרפי שיודע להציג את התוצאות של Elasticsearch. ו-Logstash זה זה שיודע להתחבר לכל המערכות ולקרוא מהן מידע.

  10. 02:05

    הם עובדים בהרמוניה בשביל לתת לנו פתרון מושלם, ויזואלי, פשוט ויפה. ואפשר לראות כאן בסרטוט שיש למטה deployment, שזה מערכות שעובדות כמו שרתים שהם stand alone, מערכות ארגוניות.

  11. 02:20

    טנדלון זה אומר שרת שלא מחובר לאף ניהול מרכזי, חי את החיים שלו, מי שרוצה מתחבר אליו, עובר עימות ולוקח איזה שהם נתונים, נניח איזה שהם קבצים.

  12. 02:30

    מערכות אנטרפרייז לרוב מנוהלות בצורה מרכזית, וכל היוזרים מתנהלים שם בצורה מרכזית. זה למעשה deployment שיש לנו בתוך ארגון, יכול להיות גם בענן, Cloud, ויכול להיות גם מערכות שהן SaaS.

  13. 02:44

    מה זה SaaS? מערכת שהיא עובדת בענן, ואנחנו לא יכולים להתחבר לווינדוס שלה, למערכת ההפעלה שלה, אנחנו מקבלים רק את התוכנה, רק גישה לניהול של התוכנה.

  14. 02:55

    אז יש Elasticsearch שהוא בענן, ואנחנו מנהלים את Elasticsearch עצמו, את התוכנה עצמה, אבל לא את הווינדוס שיש מתחתיו, או את הלינוקס.

  15. 03:05

    למעשה אנחנו מקבלים גישה רק לתוכנה, לא למערכת ההפעלה. הסאס הזה זאת גישה שהרבה חברות מעדיפות, כי אני כמנהל רשת או כאיזשהו מתכנת או איזשהו לקוח לא צריך להתעסק עם כל העדכונים של הווינדוס, עם הדרייברים, עם האנטיווירוסים.

  16. 03:23

    אני לא נוגע בפלטפורמה, אני לא נוגע במערכת ההפעלה. את זה עושה עבורי ספק של ענן, שזה אמזון או מייקרוסופט עם הז'ור שלהם. אני בסאס מקבל גישה אך ורק לתוכנה עצמה ואותה אני מנהל.

  17. 03:38

    וזה מה שאנחנו עוד מעט נראה, איך אני עושה Elasticsearch בקלאוד. יש לי בחינם איזה חמישה חודשים הם נותנים לי בחינם להשתמש בזה, אני גם יכול להתקין את Elasticsearch אצלי בארגון על מחשב שהוא stand alone, יהיה לי מחשב, שרת משלי, אבל אז אני צריך להתעסק עם הברזל שלו, עם העדכונים שלו, אז אני יכול לקחת את Elasticsearch ולהתקין

  18. 03:59

    על הברזל אצלי, אני יכול להתקין אותו בענן על המכונה שאני מנהל, זאת אומרת אני מרים בענן Windows ובתוך ה-Windows הזה או בתוך ה-Linux הזה אני מתקין Elasticsearch, אני מנהל את הכל, גם את המכונה וגם את המוצר, ואני יכול לקבל אותו כסאס שאני מנהל רק את המוצר, בלי שאני מקבל את המכונה.

  19. 04:17

    זה פחות גמישות, אבל גם פחות כאב ראש. זה איך אפשר להתקין את זה, שרת לבד, שרת בענן, או רק את התוכנה. מה עוד יש לנו באלסטיק סירצ'?

  20. 04:27

    יש לנו את הלוג סטייש, יש לנו ביטס, זה כל מיני דרייברים שמתחברים למערכות, עושות אינג'סט, אינג'סט זה לעכל אוכל, זה לקבל משהו פנימה, הם מקבלים לוגים מכל המקומות,

לקורס המלא: קורס SOC אונליין – מיישם הגנת סייבר

ההרצאה הקודמת: הסבר על SIEM

ההרצאה הבאה: הסבר על ElasticSearch - חלק 2

קורסים נוספים במסלול

  • קורס סייבר למתחילים - Hacking - בדיקות חוסן תשתיתי ופריצה ל-Windows 10/11 - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לתשתית ארגונית - בדיקות חוסן מתקדמות ל-Active Directory - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לאתרי אינטרנט - בדיקות חוסן לאתרים - Web Pentesting - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס סייבר והאקינג ל-Android - פריצה לטלפונים ואפליקציות אנדרואיד - בודק חוסן - Mobile App Pentesting