detectando intrusos com inteligência usando elk stack

Rodrigo “Sp0oKeR” MontoroPesquisador / Security Operations Center (SOC)

rodrigo@clavis.com.br

Analisando eventos de forma inteligente para Detecção de Intrusos usando ELK

About me

• Pesquisador / SOC Clavis Security• Autor de 2 pesquisas com patente

requerida/concebida• Palestrante diversos eventos Brasil, EUA e Canadá• Evangelista Opensource• Usuário linux desde 1996• Pai• Triatleta / Corredor trilhas

Agenda

• Atual problema na detecção• Escolhendo os data sources• Entendendo a pilha ELK• Gerando métricas e inteligência• Deixando chefe feliz (Relatórios / Dashboards)

Problemas na detecção

Orçamento

Maria Gartner

Quantidade e não qualidade

Entenda o contexto

Escolhendo osdata sources

O que já possuímos ?

• Produtos instalados na empresa• Aquisições já programadas• Eventos default dos equipamentos/máquinas

Rapidez no uso

Dimensionamento

Quantidade informação

Maior I/O

Mais espaço em disco

Memória / CPU

Entenda os eventos

ElasticsearchLogstash

Kibana

Logstash

Logstash Input

• file• udp / tcp• twitter• netflow• eventlog• irc• exec

Logstash Filters

• grok• fingerprint• geoip• date• csv• anonymize• throttle

Logstash Output

• elasticsearch• email• exec• jira• zabbix• hipchat• amazon(s3)

Elasticsearch 1/2

• Open source, distribuido, full text search engine

• Baseado no Apache Lucene

• Rápido acesso a informação

• Salva os dados no formato JSON

• Suporta sistemas com um ou mais nodes

Elasticsearch 2/2

• Fácil de configurar e escalável

• Possui uma RESTful API

• Fácil criação snapshots / backups

• Instalação disponível em formato RPM ou DEB, além do tarball.

• Inseguro (precisa ambiente seguro)

Kibana

Kibana event

Métricas e Inteligência

Entenda sua empresa

• O que é uma ameaça olhando os data source ?

• Faz uso de algum threat intel público/privado ?

• Quais os entregáveis que quer automatizar/alertar ?

• Reanalisar logs antigos ?

ElastAlert

Exemplo regra

name: Large Number of 404 Responseses_host: elasticsearch.example.comes_port: 9200index: logstash-indexname-*filter: - term: response_code: 404type: frequencynum_events: 100timeframe: hours: 1alert: - emailemail: example@example.com

Python API

Detalhes fazem a diferença

ELK + Inteligência + Métricas

• Análises em lote (retrospectiva)

• Correlação entre diferente data sources

• Gráficos bonitos no kibana para deixar nas TVs =)

• Alertas / Monitoramento

Chefe feliz =)

Dashboard

Conclusões

• Entenda o que necessita proteger

• Muita informação crua não te trará melhor resultado

• Não seja um “Maria Gartner”

• Entenda plenamente seus logs

• Se não domina alguma ferramenta, procure ajuda

• Sempre aprimore o ciclo, as coisas evoluem

Rodrigo “Sp0oKeR” MontoroPesquisador / Security Operations Center (SOC)

rodrigo@clavis.com.br

@spookerlabs

Muito Obrigado!

detectando intrusos com inteligência usando elk stack

Internet

detectando más-formações, detectando riscos dilemas do...

detectando intrusos en la red

intrusos y ancestros estrategias territoriales indígenas

prevención de intrusos

detectando y eliminando keyloggers

gestação detectando o risco - saude.rs.gov.br ·...

sistemas de detección de intrusos

práctica 3: alarma contra intrusos · 2020-05-25 ·...

pensamientos intrusos test

sistemas de detección de intrusos (ids)

jogo dos números intrusos

niebla anti-intrusos

detectando iframes maliciosos - innovarioja.tv ·...

dns hacking y prevencion de intrusos

9 ids sistemas detección intrusos

tema 4. detección de intrusos

detectando el mundo exterior

migrantes, desterrados, intrusos. navegando la frontera

detectando malware desconocido

detectando hardware keylogger