ZABBIX के साथ सूचना सुरक्षा घटनाओं की निगरानी

जब मैंने पहली बार ज़ैबिक्स को देखा, तो मैंने सोचा, क्यों न इसे सूचना सुरक्षा घटनाओं की निगरानी के लिए एक समाधान के रूप में उपयोग करने की कोशिश की जाए। जैसा कि आप जानते हैं, एक उद्यम के आईटी बुनियादी ढांचे में कई अलग-अलग प्रणालियां हैं जो सूचना सुरक्षा घटनाओं की एक ऐसी धारा उत्पन्न करती हैं कि उन सभी को देखना असंभव है। अब हमारे कॉरपोरेट निगरानी प्रणाली में सैकड़ों सेवाएँ हैं जिनका हम बड़ी हद तक विस्तार के साथ निरीक्षण करते हैं। इस लेख में, मैं Zabbix के उपयोग की सुविधाओं को सूचना सुरक्षा घटनाओं की निगरानी के लिए एक समाधान के रूप में मानता हूं।

Zabbix हमारी समस्या को हल करने की क्या अनुमति देता है? निम्नलिखित के बारे में:

• इन्वेंट्री प्रक्रियाओं, भेद्यता प्रबंधन, सुरक्षा नीतियों और परिवर्तनों के अनुपालन के स्वचालन को अधिकतम करें।
• सूचना सुरक्षा की स्वचालित निगरानी के माध्यम से कॉर्पोरेट संसाधनों का वास्तविक समय संरक्षण।
• नेटवर्क सुरक्षा की सबसे विश्वसनीय तस्वीर प्राप्त करने की क्षमता।
• जटिल प्रणालियों की एक विस्तृत श्रृंखला का विश्लेषण: नेटवर्क उपकरण जैसे सिस्को, जुनिपर, विंडोज, लिनक्स, यूनिक्स, MSQL, ओरेकल, MySQL, आदि, नेटवर्क एप्लिकेशन और वेब सेवाएं।
• लेखा परीक्षा की लागत और सुरक्षा नियंत्रण का न्यूनतमकरण।

लेख में मैं उपरोक्त सभी पर विचार नहीं करूंगा, हम केवल सबसे सामान्य और सरल प्रश्नों पर स्पर्श करेंगे।

ट्रेनिंग

इसलिए, शुरुआत के लिए, मैंने Zabbix निगरानी सर्वर स्थापित किया। हम FreeBSD OS को एक प्लेटफॉर्म के रूप में उपयोग करेंगे। मुझे लगता है कि स्थापना और कॉन्फ़िगरेशन प्रक्रिया के बारे में विस्तार से बताने की आवश्यकता नहीं है, बल्कि रूसी में विस्तृत प्रलेखन डेवलपर की वेबसाइट पर है, स्थापना प्रक्रिया से शुरू होकर सभी सिस्टम क्षमताओं का वर्णन करना है।
हम मान लेंगे कि सर्वर स्थापित है, कॉन्फ़िगर किया गया है, साथ ही इसके साथ काम करने के लिए कॉन्फ़िगर किया गया वेब-फ्रंटेंड भी है। इस लेखन के समय, सिस्टम OS FreeBSD 9.1, Zabbix 2.2.1 चला रहा है।

एमएस विंडोज सर्वर सिक्योरिटी इवेंट मॉनिटरिंग

Zabbix मॉनिटरिंग सिस्टम का उपयोग करके, आप विंडोज सिस्टम लॉग से किसी भी उपलब्ध जानकारी को मनमाने ढंग से डिग्री के साथ एकत्र कर सकते हैं। इसका मतलब यह है कि अगर Windows लॉग में एक ईवेंट लिखता है, तो Zabbix इसे "ID" देखता है, उदाहरण के लिए इवेंट ID, टेक्स्ट या बाइनरी मास्क। इसके अलावा, ज़ैबिक्स का उपयोग करते हुए, हम सुरक्षा की निगरानी के लिए बड़ी संख्या में दिलचस्प घटनाओं को देख और एकत्र कर सकते हैं, उदाहरण के लिए: चल रही प्रक्रियाएं, खुले कनेक्शन, डीएल द्वारा उपयोग किए गए कर्नेल में लोड किए गए ड्राइवर, कंसोल या रिमोट उपयोगकर्ता एक्सेस के माध्यम से लॉग इन किया, और बहुत कुछ।

जो कुछ भी बाकी है वह उन घटनाओं की पहचान करना है जो हमें उन खतरों की प्राप्ति के दौरान होती हैं जिनकी हम अपेक्षा करते हैं।

आईटी अवसंरचना में आईएस की घटनाओं की निगरानी के लिए एक समाधान स्थापित करते समय, किसी को एक पंक्ति में सब कुछ ट्रैक करने की इच्छा और आईएस घटनाओं पर भारी मात्रा में जानकारी संसाधित करने की क्षमता के बीच संतुलन का चयन करने की आवश्यकता को ध्यान में रखना चाहिए। यहां Zabbix पसंद के लिए शानदार अवसर प्रदान करता है। Zabbix कुंजी मॉड्यूल C / C ++ में लिखे गए हैं, नेटवर्क से रिकॉर्डिंग की गति और मॉनिटर की गई घटनाओं के प्रसंस्करण के लिए एक सही या कॉन्फ़िगर किए गए DBMS के साथ अधिक या कम साधारण सर्वर पर 10 हजार नए मूल्य प्रति सेकंड हैं।

यह सब हमें विंडोज पर मॉनिटर किए गए होस्ट पर सबसे महत्वपूर्ण सुरक्षा घटनाओं को ट्रैक करने का अवसर देता है।

इसलिए, शुरुआत के लिए, इवेंट आईडी के साथ एक तालिका पर विचार करें, जो, मेरी राय में, स्पष्ट रूप से सूचना सुरक्षा घटनाओं पर नजर रखने के लिए इस्तेमाल किया जा सकता है:

आईबी इवेंट्स विंडोज सर्वर सिक्योरिटी लॉग

EventID का विवरण	2008 सर्वर	2003 का सर्वर
ऑडिट लॉग साफ़ करना	1102	517
खाता लॉगिन सफल	4624	528, 540
खाता लॉग इन करने में विफल रहा	4625	529-535, 539
उपयोगकर्ता खाता बनाया गया	4720	624
अपना खाता पासवर्ड रीसेट करने की कोशिश कर रहा है	4724	628
अक्षम उपयोगकर्ता खाता	4725	629
उपयोगकर्ता खाता हटा दिया गया	4726	630
सुरक्षित स्थानीय सुरक्षा समूह बनाया गया	4731	635
सदस्य को स्थानीय समूह में जोड़ा गया	4732	636
संरक्षित स्थानीय समूह से सदस्य को हटा दिया गया	4733	637
हटाए गए सुरक्षित स्थानीय सुरक्षा समूह	4734	638
सुरक्षित स्थानीय सुरक्षा समूह बदल गया	4735	639
उपयोगकर्ता खाता बदल गया	4738	642
उपयोगकर्ता खाता लॉक किया गया	4740	644
खाता नाम बदल दिया गया है	4781	685

मैं स्थानीय सुरक्षा समूहों पर ध्यान देता हूं, लेकिन अधिक जटिल विज्ञापन योजनाओं में समान सामान्य और वैश्विक समूहों पर विचार करना आवश्यक है।
जानकारी की नकल न करने के लिए, आप लेख में महत्वपूर्ण घटनाओं के बारे में अधिक पढ़ सकते हैं:
http://habrahabr.ru/company/netwrix/blog/148501/

सूचना सुरक्षा एमएस विंडोज सर्वर की घटनाओं की निगरानी के तरीके

इस कार्य के व्यावहारिक अनुप्रयोग पर विचार करें।
डेटा एकत्र करने के लिए, आपको एक नया डेटा आइटम बनाने की आवश्यकता है:

: eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781]   : Zabbix  ()  :  () 

यदि वांछित है, तो प्रत्येक ईवेंट आईडी के लिए, आप एक अलग डेटा तत्व बना सकते हैं, लेकिन मैं सभी रिकॉर्ड को एक स्थान पर संग्रहीत करने के लिए एक कुंजी में कई ईवेंट आईडी का उपयोग करता हूं, जो मुझे विभिन्न डेटा तत्वों के बीच स्विच किए बिना आवश्यक जानकारी को जल्दी से खोजने की अनुमति देता है।

मैं यह नोट करना चाहता हूं कि इस कुंजी में, हम नाम के रूप में सुरक्षा ईवेंट लॉग का उपयोग करते हैं।
अब जब हमें डेटा आइटम मिल गया है, तो हमें ट्रिगर को कॉन्फ़िगर करने की आवश्यकता है। ट्रिगर एक ज़ैबिक्स तंत्र है जो आपको संकेत देने की अनुमति देता है कि मॉनिटर की गई कोई भी घटना हुई है। हमारे मामले में, यह सर्वर लॉग या एमएस विंडोज वर्कस्टेशन से एक घटना है।

अब सब कुछ जो निर्दिष्ट ईवेंट आईडी के साथ ऑडिट लॉग को रिकॉर्ड करेगा, उसे मॉनिटरिंग सर्वर पर स्थानांतरित कर दिया जाएगा। एक विशिष्ट ईवेंट आईडी निर्दिष्ट करना उपयोगी है जिसमें हमें केवल आवश्यक जानकारी मिलती है, और अधिक कुछ नहीं।

यहाँ ट्रिगर भावों में से एक है:

 {Template Windows - Eventlog 2008:eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781].logeventid(4624)}=1&{Template Windows - Eventlog 2008:eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781].nodata(5m)}=0 

यह अभिव्यक्ति आपको डैशबोर्ड पर यह जानकारी प्रदर्शित करने की अनुमति देती है कि "खाता लॉग इन करना सफल रहा था", जो एमएस विंडोज सर्वर 2008 के लिए इवेंट आईडी 4624 से मेल खाती है। इस समय के दौरान पुन: लॉगिन नहीं किए जाने पर यह घटना 5 मिनट बाद गायब हो जाएगी।

यदि आपको एक विशिष्ट उपयोगकर्ता को ट्रैक करने की आवश्यकता है, उदाहरण के लिए, "प्रशासक", तो आप ट्रिगर एक्सप्रेशन में regexp सत्यापन जोड़ सकते हैं:

 &{Template Windows - Eventlog 2008:eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781,,skip].regexp()}=1 

तब ट्रिगर केवल तभी काम करेगा जब सिस्टम "व्यवस्थापक" नाम के साथ खाते के अंदर लॉग इन हो।

पुनश्च

हमने सबसे सरल उदाहरण माना, लेकिन अधिक जटिल निर्माण का भी उपयोग किया जा सकता है। उदाहरण के लिए, लॉगिन प्रकार, त्रुटि कोड, नियमित अभिव्यक्ति और अन्य मापदंडों का उपयोग करना।

इस प्रकार, विंडोज सिस्टम द्वारा उत्पन्न संदेशों के टन की जाँच ज़ैबिक्स द्वारा की जाएगी, न कि हमारी आँखों से। हम केवल Zabbix डैशबोर्ड को देख सकते हैं।
इसके अतिरिक्त, मैंने ई-मेल द्वारा सूचनाएं भेजने के लिए कॉन्फ़िगर किया है। यह आपको घटनाओं का तुरंत जवाब देने की अनुमति देता है, और उन घटनाओं को याद नहीं करता है, जो उदाहरण के लिए, घंटों के बाद हुईं।

यूनिक्स सिस्टम सुरक्षा घटना की निगरानी

ज़ैबिक्स निगरानी प्रणाली आपको यूनिक्स परिवार ओएस की लॉग फ़ाइलों से जानकारी एकत्र करने की अनुमति भी देती है।

हर किसी के लिए उपयुक्त यूनिक्स सिस्टम पर आईबी की घटनाएं

यूनिक्स परिवार प्रणालियों की ऐसी सुरक्षा समस्याएं खातों के लिए पासवर्डों के चयन के सभी समान प्रयास हैं, साथ ही प्रमाणीकरण उपकरण में कमजोरियों की खोज, उदाहरण के लिए, जैसे एसएसएच, एफ़टीपी और अन्य।

यूनिक्स सिस्टम पर कुछ महत्वपूर्ण घटनाएं

पूर्वगामी के आधार पर, यह इस प्रकार है कि हमें सिस्टम में उपयोगकर्ता खातों को जोड़ने, बदलने और हटाने से जुड़े कार्यों की निगरानी करने की आवश्यकता है।
इसके अलावा एक महत्वपूर्ण तथ्य सिस्टम में लॉग इन करने के प्रयासों पर नज़र रखना होगा। प्रमुख फ़ाइलों जैसे कि sudoers, passwd, आदि / rc.conf, निर्देशिकाओं की सामग्री /usr/local/etc/rc.d चल रही प्रक्रियाओं की उपस्थिति, आदि।

यूनिक्स सिस्टम पर सुरक्षा निगरानी के तरीके

निम्नलिखित उदाहरण पर विचार करें। आपको SSH प्रोटोकॉल का उपयोग करके FreeBSD सिस्टम में लॉगिन, विफल लॉगिन प्रयास, पासवर्ड अनुमान प्रयासों को ट्रैक करने की आवश्यकता है।

इस बारे में सभी जानकारी लॉग फ़ाइल /var/log/auth.log में सम्‍मिलित है।
डिफ़ॉल्ट रूप से, इस फ़ाइल के अधिकार 600 हैं, और इसे केवल रूट विशेषाधिकारों के साथ देखा जा सकता है। आपको थोड़ी स्थानीय सुरक्षा नीति का त्याग करना होगा, और zabbix उपयोगकर्ताओं के इस समूह को इस फ़ाइल को पढ़ने की अनुमति दें:
फ़ाइल अनुमतियां बदलें:

 chgrp zabbix /var/log/auth.log chmod 640 /var/log/auth.log 

हमें निम्नलिखित कुंजी के साथ एक नए डेटा आइटम की आवश्यकता होगी:

 log[/var/log/auth.log,sshd,,,skip] 

/Var/log/auth.log फ़ाइल में "sshd" शब्द वाली सभी लाइनें एजेंट द्वारा मॉनिटरिंग सर्वर को भेजी जाएंगी।

अगला, आप निम्नलिखित अभिव्यक्ति के साथ एक ट्रिगर कॉन्फ़िगर कर सकते हैं:

 {Template FreeBSD - SSH:log[/var/log/auth.log,sshd,,,skip].regexp(error:)}|{Template FreeBSD - SSH:log[/var/log/auth.log,sshd,,,skip].regexp(Wrong passwordr:)}&{Template FreeBSD - SSH:log[/var/log/auth.log,sshd,,,skip].nodata(3m)}=0 

इस अभिव्यक्ति को एक समस्या के रूप में परिभाषित किया जाता है जब प्रविष्टियां लॉग फ़ाइल में दिखाई देती हैं जो नियमित अभिव्यक्ति "त्रुटि:" द्वारा चुनी जाती हैं। प्राप्त आंकड़ों के इतिहास को खोलने के बाद, हम एसएसएच प्रोटोकॉल का उपयोग करके प्राधिकरण के दौरान हुई त्रुटियों को देखेंगे।

यहाँ डेटा तत्व के अंतिम मान का एक उदाहरण है जो इस ट्रिगर को चलाता है:



FreeBSD पर सुरक्षा निगरानी के एक और उदाहरण पर विचार करें:
Zabbix एजेंट का उपयोग करके, हम / etc / passwd फ़ाइल के चेकसम को सत्यापित कर सकते हैं।
इस मामले की कुंजी इस प्रकार होगी:

 vfs.file.cksum[/etc/passwd] 

यह आपको पासवर्ड बदलने, उपयोगकर्ताओं को जोड़ने या निकालने सहित खाता परिवर्तनों को नियंत्रित करने की अनुमति देता है। इस मामले में, हमें नहीं पता होगा कि किस विशिष्ट ऑपरेशन को किया गया था, लेकिन अगर आपके अलावा सर्वर पर किसी की पहुंच नहीं है, तो यह त्वरित प्रतिक्रिया के लिए एक अवसर है। यदि आपको अधिक विस्तृत नीति का संचालन करने की आवश्यकता है, तो आप अन्य कुंजियों का उपयोग कर सकते हैं, उदाहरण के लिए, उपयोगकर्ता पैरामीटर।

उदाहरण के लिए, यदि हम उन उपयोगकर्ताओं की सूची प्राप्त करना चाहते हैं जो वर्तमान में सिस्टम में लॉग इन हैं, तो आप इस उपयोगकर्ता पैरामीटर का उपयोग कर सकते हैं:

 UserParameter=system.users.list, /bin/cat /etc/passwd | grep -v "#" | awk -F\: '{print $$1}' 

और, उदाहरण के लिए, परिणामस्वरूप सूची में परिवर्तन के लिए ट्रिगर कॉन्फ़िगर करें।

या आप इस तरह के एक साधारण पैरामीटर का उपयोग कर सकते हैं:

 UserParameter=system.users.online, /usr/bin/users 

तो हम डैशबोर्ड पर देखेंगे जो वर्तमान में सिस्टम में है:

नेटवर्क उपकरणों पर आईएस की घटनाओं की निगरानी करना

Zabbix का उपयोग करते हुए, आप SNMP का उपयोग करके सिस्को और जुनिपर नेटवर्क उपकरणों पर आईबी की घटनाओं की कुशलता से निगरानी कर सकते हैं। उपकरणों से डेटा ट्रांसमिशन तथाकथित जाल (एसएनएमपी ट्रैप) का उपयोग करके किया जाता है।

सूचना सुरक्षा के दृष्टिकोण से, निम्नलिखित घटनाओं को अलग किया जा सकता है, जिनकी निगरानी करने की आवश्यकता है - उपकरण कॉन्फ़िगरेशन में परिवर्तन, स्विच / राउटर पर आदेशों का निष्पादन, सफल प्राधिकरण, विफल लॉगिन प्रयास और बहुत कुछ।

निगरानी के तरीके

फिर से प्राधिकरण के उदाहरण पर विचार करें:
एक स्टैंड के रूप में, मैं सिस्को 3745 राउटर के साथ GNS3 एमुलेटर का उपयोग करूंगा। मुझे लगता है कि बहुत से लोग इस योजना से परिचित हैं।

सबसे पहले, हमें रूटर से मॉनिटरिंग सर्वर पर एसएनएमपी जाल भेजने को कॉन्फ़िगर करने की आवश्यकता है। मेरे मामले में, यह इस तरह दिखेगा:

 login block-for 30 attempts 3 within 60 login on-failure log login on-success log login delay 5 logging history 5 snmp-server enable traps syslog snmp-server enable traps snmp authentication snmp-server host 192.168.1.1 public 

हम Syslog और प्रमाणीकरण सीढ़ी से ईवेंट भेजेंगे। मैं ध्यान देता हूं कि सफल और असफल प्राधिकरण प्रयास सिसलॉग में बिल्कुल लिखे गए हैं।

अगला, आपको एसएनएमपी जाल के रिसेप्शन को कॉन्फ़िगर करने की आवश्यकता है जो हमें मॉनिटरिंग सर्वर पर चाहिए।
Snmptt.conf में निम्न पंक्तियाँ जोड़ें:

 EVENT clogMessageGenerated .1.3.6.1.4.1.9.9.41.2.0.1 "Status Events" Normal FORMAT ZBXTRAP $ar $N $* SDESC EDESC 

हमारे उदाहरण में, हम Syslog सीढ़ी को पकड़ लेंगे।

अब आपको निम्नलिखित कुंजी के साथ आंकड़े एकत्र करने के लिए डेटा आइटम को कॉन्फ़िगर करने की आवश्यकता है:

 snmptrap[“Status”] 

यदि मॉनिटरिंग सर्वर पर सीढ़ी को कॉन्फ़िगर नहीं किया गया है, तो सर्वर लॉग में निम्नलिखित प्रविष्टियां दिखाई देंगी:

 unmatched trap received from [192.168.1.14]:... 

परिणामस्वरूप, विस्तृत जानकारी (उपयोगकर्ता, स्रोत, स्थानीयकरण और विफलता के मामले में कारण) के साथ लॉगिन प्रयासों के बारे में जानकारी प्राप्त जानकारी में परिलक्षित होगी:



ठीक है, आप डैशबोर्ड पर ईवेंट प्रदर्शित करने के लिए ट्रिगर कॉन्फ़िगर कर सकते हैं:

 {192.168.1.14:snmptrap["Status"].regexp(LOGIN_FAILED)}&{192.168.1.14:snmptrap["Status"].nodata(3m)}=0 

पिछले पैराग्राफ के संयोजन में, हमारे पास डैशबोर्ड पर इस तरह की योजना के बारे में जानकारी होगी:



उपरोक्त उदाहरण के समान, आप सिस्को राउटर पर होने वाली बड़ी संख्या में घटनाओं की निगरानी कर सकते हैं, जिसके विवरण के लिए एक लेख स्पष्ट रूप से पर्याप्त है।

मैं यह नोट करना चाहता हूं कि उपरोक्त उदाहरण सिस्को एएसए और पीआईएक्स उत्पादों पर काम नहीं करेगा, क्योंकि प्राधिकरण लॉगिंग के साथ काम वहां कुछ अलग तरीके से आयोजित किया जाता है।

जुनिपर और Syslog

एक अन्य उदाहरण के रूप में, हम जुनिपर उपकरणों के लिए JunOS 12.1 में प्राधिकरण निगरानी की जांच करेंगे।
यहां हम SNMP ट्रैप का उपयोग नहीं कर सकते, क्योंकि Syslog संदेशों से ट्रैप भेजने का कोई समर्थन नहीं है। हमें एक यूनिक्स-आधारित Sloglog सर्वर की आवश्यकता है, हमारे मामले में यह एक ही मॉनिटरिंग सर्वर होगा।

राउटर पर, हमें स्टोरेज सर्वर पर Syslog भेजने को कॉन्फ़िगर करने की आवश्यकता है:

 system syslog host 192.168.1.1 authorization info 

अब सभी प्राधिकरण संदेश Syslog सर्वर पर भेजे जाएंगे, निश्चित रूप से आप सभी संदेश (कोई भी) भेज सकते हैं, लेकिन हमें सूचना के अधिशेष की आवश्यकता नहीं है, हम केवल आवश्यक भेजते हैं।

इसके बाद, syslog सर्वर पर जाएं
हम tcpdump को देखते हैं, क्या संदेश आते हैं:

 tcpdump -n -i em0 host 192.168.1.112 and port 514 12:22:27.437735 IP 192.168.1.112.514 > 192.168.1.1.514: SYSLOG auth.info, length: 106 

डिफ़ॉल्ट रूप से, syslog.conf सेटिंग्स में, जो कुछ भी.in.info के साथ आता है, उसे /var/log/authblog पर लिखा जाना चाहिए। अगला, हम यूनिक्स में निगरानी आदानों के साथ उदाहरण के लिए सब कुछ करते हैं।

यहाँ लॉग से एक पंक्ति का एक उदाहरण है:



यह केवल इस घटना के लिए ट्रिगर को उसी तरह कॉन्फ़िगर करने के लिए बना हुआ है जैसा कि उदाहरण में एक यूनिक्स सर्वर पर प्राधिकरण के साथ माना जाता था।

पुनश्च

इस तरह, आप बहुत सारी घटनाओं को ट्रैक कर सकते हैं, जिनमें से हैं: डिवाइस कॉन्फ़िगरेशन (कमिट) को सहेजना, कॉन्फ़िगरेशन संपादन मोड में प्रवेश करना और बाहर निकलना (संपादित करना)।
मैं यह भी नोट करना चाहता हूं कि इसी तरह से आप सिस्को उपकरणों पर निगरानी रख सकते हैं, लेकिन एसएनएमपी जाल के साथ विधि मेरे लिए तेज और अधिक सुविधाजनक लगती है, और एक मध्यवर्ती Syslog सर्वर की आवश्यकता समाप्त हो जाती है।

निष्कर्ष

अंत में, मैं यह नोट करना चाहता हूं कि मुझे इस लेख की टिप्पणियों और परिवर्धन को स्वीकार करने में खुशी होगी, साथ ही साथ ज़ैबिक्स का उपयोग करके सूचना सुरक्षा घटना की निगरानी के उपयोग पर दिलचस्प सुझाव दिए जाएंगे।
आपका ध्यान देने के लिए धन्यवाद। :)