יצירת דשבורד בתוך ElasticSearch
חלק 1
event.code שווה ל-4625, הקוד של Microsoft לאירוע failed logon. אחרי Save רואים רק אירועים כאלה, אבל עדיין אין עמודות מוצגות.username.keyword וגוררים אותו לתצוגה. הסיומת keyword נותנת את הערך המקורי כחתיכה אחת, כי כברירת מחדל השדה מפוצל למילים (כמו משה וכהן) כדי לאפשר חיפוש בחלקים.host.hostname.keyword. שורת Administrator מתפצלת: 3 כשלונות מתחנה pow וכשלון אחד מ-dc2. ה-Metric נשאר Count of Records.פרקי ההרצאה: יצירת דשבורד בתוך ElasticSearch חלק 1
תמלול ההרצאה: יצירת דשבורד בתוך ElasticSearch חלק 1
הטקסט המלא של הדקות הראשונות בהרצאה «יצירת דשבורד בתוך ElasticSearch חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה זו אנחנו ניצור דשבורד משלנו בתוך Elasticsearch זאת הולכת להיות הרצאה מעניינת, מעשית מאוד אנחנו בפרק השישי, ומה שצריך לעשות זה ליצור דשבורד שמראה את כל פייד לוגון, את כל הלוגינים הלא מוצלחים לתוך המערכת שלנו קודם כל התחברתי ל-VPN של Hack the Box ירדתי למטה עד הסוף ויצרתי פה מכונה וירטואלית
חדשה למעשה זאת המכונה שלהם עם כל מה שצריך לתרגול הזה. אז יש לנו את ה-IP של המכונה, יש לנו 104 דקות עד שהיא תתחבא לנו.
בואו נעלה למעלה חזרה ונתחיל את התרגול שלנו. קודם כל אנחנו מתחברים ב-HTTP ל-IP הזה של המכונה, 5601, זה בדיוק מה שעשיתי כאן, ואני רואה את הדשבורד של Elasticsearch שעובד.
לקח לו כמה דקות לעלות, חיכיתי, ועכשיו אנחנו מתחילים בזה שצריך למחוק את הדשבורד הקיים. למעשה, הם נותנים לנו פה את התוצאה הסופית, ואומרים תמחקו אותה ונבנה אותה מחדש ביחד.
אז בואו נעשה את זה. נלך לתפריט הראשי של Elasticsearch. בתוך Analytics יש לנו פה דשבורדים מוכנים, ויש לנו דשבורד אחד מוכן, נעשה עליו V ו-Delete.
ועכשיו צריך ליצור דשבורד משלנו. בתוך הדשבורד יש לנו כלים גרפיים, ויזואליזיישנס, כלי גרפי ראשון, כלי גרפי שני, כרגע אנחנו בונים את הוויזואליזיישן הראשון שלנו, אז יש לנו דשבורד הראשון ובפנים כלי גרפי הראשון, דוח גרפי.
אנחנו נצמדים להוראות שלהם והם אומרים לנו דבר ראשון להעביר את זה לטווח של 15 שנה. זאת אומרת שהמידע לא יהיה מרבע שעה אחרונות אלא יוצג כאן מידע מ-15 שנים האחרונות. אוקיי, נהדר זה מה שהם ביקשו מה הדבר הבא הדבר הבא זה לעשות פילטרים לסנן מידע והם רוצים שנסנן רק את האירועים של פייד לוגון זאת אומרת מכל מה שזרם לתוך הסים אנחנו מבודדים אירועים של ווינדוס מספר 4625
זה מה שמייקרוסופט נתנו לאירוע של פייד לוגון לוחצים פה add filter אנחנו רוצים event.code is כאילו שווה ל-4625. נעשה סייב והוא סינן לנו מכל המידע שקיים אצלו רק את האירועים האלו.
הקטע שאין פה שום הצגה של מידע כי לא אמרנו לו איזה עמודות להציג אז הוא לא מציג לנו כלום וזה הדבר הבא שקורה פה שצריך להגיד לו להציג username.keyword. אנחנו באים לצד שמאל איפה שכל העמודות אומרים לו להציג לנו רק את העמודות שקשורות לווינדוס ומכל העמודות שיש לנו פה שקשורות לווינדוס, 490 עמודות,
אנחנו נחפש username.keyword. למה בסוף נקודה קי-וורד? כי הוא מחבר ביחד את היוזר ואת הניים. זאת אומרת שאם אני רוצה יוזרניים ביחד, את השדה הזה כחתיכה אחת, אז אני צריך בסוף להוסיף נקודה קי-וורד.
כי כברירת מחדל הוא מחלק את התוכן של השדה הזה, נניח משה כהן, מחלק אותו למשה וכהן אם אני רוצה משה כהן ביחד אני צריך את היוזרניים נקודה קי וורד בקיצור קי וורד מראה לי את השדה המקורי שהגיע אליו מווינדוס לפני שהוא לקח אותו וחילק אותו לתתי חלקים בשביל מה הוא מחלק לתתי חלקים למקרה שאני ארצה לחפש רק את משה או רק את כהן אז
הוא מחלק הכל לכמה שיותר חלקים כדי לאפשר חיפושים יותר טובים ואם אני רוצה את כל החלקים ביחד כמו שהם הגיעו, בסוף מוסיפים נקודה קי-וורד. ואז יש לנו פה את השדה user name נקודה קי-וורד, ואני יכול לגרור אותו לכאן.
בואו נראה מה הם מבקשים אחרי זה. אחרי שגררנו את השדה, הם רוצים שנחליף את התצוגה למצב של table, למצב של טבלה. בואו נעשה את זה.
פה במקום bar verticals, נעשה את זה table. table זאת טבלה למעשה, והוא מראה לי את הטבלה עם כל הנתונים, וגם בבארים הוא גם מראה לי את זה כבארים. אם אני רוצה תצוגה נניח dc1 כמה fade logons היו בו.
זאת אומרת שיש לי אפשרות לכל מיני תצוגות שונות של אותו המידע. אתם רואים לדוגמה dc1 היו לו 12 לוגינים לא מוצלחים.
יוזר שקוראים לו אדמיניסטרטור היו לו 4 לוגינים לא מוצלחים. דרך אגב יוזר עם דולר בסוף זה שם של מחשב כאילו המחשב עשה איזושהי פעולה.
בכל מחשב גם יש יוזרנם וסיסמה שאנחנו לא רואים אותם, ואז המחשב יכול לעשות כל מיני דברים ברשת. נניח סנכרון של איזשהם נתונים ביניהם.
בקיצור, הם רוצים שאנחנו נציג את זה בצורת טבלה, ככה אנחנו רואים ש-DC1 היו לו 12 לוגינים לא מוצלחים, אבל שימו לב שיש לנו רק 6 שורות כאן.
למעשה יש לנו 5 שורות של נתונים ו-others 19. הוא מציג לי רק 5 שורות ראשונות ואומר יש עוד 19 שאני לא מציג לך.
אנחנו יכולים להיכנס למאפיינים של הטבלה פה בצד ימין, אתם רואים מאפיינים של הטבלה? לתוך העמודה הזאת של user name, אתם רואים יש לנו פה עמודות, כרגע יש רק אחת, ובתוך העמודה להגיד לו להציג לא רק חמש שורות ראשונות אלא אלף שורות ראשונות.
אין לנו אלף שורות אבל הוא יציג את מה שיש לו ותראו כמה נתונים פתאום אנחנו רואים איתכם. אם אני אעשה נניח שתי שורות, אתם רואים הוא מציג לי רק שתי שורות ראשונות ואומר שיש עוד 31 שאני לא מציג.
וזה בדיוק מה שהם מבקשים מאיתנו לעשות, להציג אלף שורות ראשונות ולא רק חמש כברירת מחדל. ועכשיו הם מדברים איתי על מטריק. מטריק זה למעשה פה בצד ימין מה מודדים. אז יש לנו אדמיניסטרטור, אבל מה אנחנו רוצים למדוד?
איזה שדות? אז פה במאפיינים של הטבלה בצד ימין, חוץ משורות שיש לנו, יש לנו למטה מטריק. כרגע הוא עומד על Count of Records, פשוט לספור כמות השורות, כמות הרשומות.
כמה רשומות יש עם שם של אדמיניסטרטור. עכשיו הם מבקשים מאיתנו להוסיף עוד עמודה עם שם של מחשב, כדי לדעת מאיזה מחשב בדיוק האדמיניסטרטור נניח עשה לוגין כושל.
כרגע אנחנו יודעים שהוא עשה ארבע לוגינים כושלים, אבל אנחנו רוצים לחתוך את זה לפי המחשבים, שנדע מאיזה מחשב, מאיזה תחנה זה קרה. אני כותב hostname ובוחר עמודה חדשה בשם host.hostname.keyword.
אני יכול לגרור אותה לפה ותראו ברגע שאני מוסיף אותה לכאן היא גם מתווספת פה במאפיינים של