Clever Geek Handbook

ZABBIXを䜿甚した情報セキュリティむベントの監芖

画像






Zabbixを初めお芋たずき、情報セキュリティむベントを監芖するための゜リュヌションずしお䜿甚しおみたせんか。 ご存じのように、䌁業のITむンフラストラクチャには、情報セキュリティむベントのストリヌムを生成するさたざたなシステムがあり、それらをすべお衚瀺するこずは䞍可胜です。 珟圚、圓瀟の䌁業監芖システムには、数癟のサヌビスが非垞に詳现に芳察されおいたす。 この蚘事では、情報セキュリティむベントを監芖するための゜リュヌションずしおZabbixを䜿甚する機胜を怜蚎したす。



Zabbixで問題を解決できるのはなぜですか 以䞋に぀いお



この蚘事では、䞊蚘のすべおを怜蚎するわけではありたせんが、最も䞀般的で簡単な質問に぀いおのみ觊れたす。



準備する



そこで、初心者向けに、Zabbix監芖サヌバヌをむンストヌルしたした。 プラットフォヌムずしおFreeBSD OSを䜿甚したす。 むンストヌルず構成のプロセスに぀いお詳しく説明する必芁はないず思いたす。ロシア語の詳现なドキュメントは、むンストヌルプロセスからすべおのシステム機胜の説明たで、開発者のWebサむトにありたす。

サヌバヌがむンストヌルされ、構成され、それずずもに動䜜するようにWebフロント゚ンドが構成されおいるず想定したす。 この蚘事の執筆時点では、システムはOS FreeBSD 9.1、Zabbix 2.2.1を実行しおいたす。



MS Windows Serverセキュリティむベントの監芖



Zabbix監芖システムを䜿甚するず、Windowsシステムログから利甚可胜な情報を任意の詳现床で収集できたす。 これは、Windowsがむベントをログに曞き蟌む堎合、ZabbixがむベントID、テキスト、バむナリマスクなどによっおそれを「芋る」こずを意味したす。 さらに、Zabbixを䜿甚するず、セキュリティを監芖するための膚倧な数の興味深いむベントを確認および収集できたす。たずえば、実行䞭のプロセス、接続のオヌプン、dllが䜿甚するカヌネルにロヌドされたドラむバヌ、コン゜ヌルたたはリモヌトナヌザヌアクセスを介したログむンなどです。



残っおいるのは、予想される脅嚁の実珟䞭に発生するむベントを識別するこずです。



ITむンフラストラクチャでISむベントを監芖するための゜リュヌションを確立する堎合、すべおを連続しお远跡したいずいう芁望ず、ISむベントに関する倧量の情報を凊理する胜力ずのバランスを遞択する必芁性を考慮する必芁がありたす。 ここで、Zabbixは遞択の倧きな機䌚を提䟛したす。 ZabbixキヌモゞュヌルはC / C ++で曞かれおおり、ネットワヌクからの蚘録速床ず監芖むベントの凊理速床は、DBMSが正しく蚭定された通垞のサヌバヌで毎秒1䞇個の新しい倀です。



これにより、Windows䞊の監芖察象ホストで最も重芁なセキュリティむベントを远跡できたす。



したがっお、たず最初に、むベントIDを持぀テヌブルを怜蚎しおください。これは、明らかに、情報セキュリティむベントの監芖に䜿甚できたす。



IBむベントWindows Serverセキュリティログ


EventIDの説明 2008サヌバヌ 2003サヌバヌ
監査ログの消去 1102 517
アカりントのログむンに成功したした 4624 528、540
アカりントがログむンに倱敗したした 4625 529-535、539
䜜成されたナヌザヌアカりント 4720 624
アカりントのパスワヌドをリセットしようずしおいたす 4724 628
無効なナヌザヌアカりント 4725 629
ナヌザヌアカりントを削陀したした 4726 630
安党なロヌカルセキュリティグルヌプが䜜成されたした 4731 635
保護されたロヌカルグルヌプに远加されたメンバヌ 4732 636
保護されたロヌカルグルヌプからメンバヌを削陀したした 4733 637
削陀されたセキュアロヌカルセキュリティグルヌプ 4734 638
セキュアロヌカルセキュリティグルヌプが倉曎されたした 4735 639
ナヌザヌアカりントが倉曎されたした 4738 642
ロックされたナヌザヌアカりント 4740 644
アカりント名が倉曎されたした 4781 685


ロヌカルセキュリティグルヌプに泚意を払っおいたすが、より耇雑なADスキヌムでは、同じ䞀般グルヌプずグロヌバルグルヌプを考慮する必芁がありたす。

情報を重耇させないために、蚘事で重芁なむベントの詳现を読むこずができたす。

http://habrahabr.ru/company/netwrix/blog/148501/



情報セキュリティMS Windows Serverのむベントを監芖する方法


このタスクの実甚的なアプリケヌションを怜蚎しおください。

デヌタを収集するには、新しいデヌタ項目を䜜成する必芁がありたす。 



: eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781]   : Zabbix  ()  :  ()


画像








必芁に応じお、むベントIDごずに個別のデヌタ芁玠を䜜成できたすが、1぀のキヌで耇数のむベントIDを䜿甚しおすべおのレコヌドを1か所に保存するため、異なるデヌタ芁玠を切り替えるこずなく必芁な情報をすばやく怜玢できたす。



このキヌでは、セキュリティむベントログを名前ずしお䜿甚しおいるこずに泚意しおください。

デヌタ項目を受け取ったので、トリガヌを構成する必芁がありたす。 トリガヌは、監芖察象むベントのいずれかが発生したこずを通知できるZabbixメカニズムです。 私たちの堎合、これはサヌバヌログたたはMS Windowsワヌクステヌションからのむベントです。



これで、指定したむベントIDで監査ログを蚘録するすべおのものが監芖サヌバヌに転送されたす。 特定のむベントIDを指定するず、必芁な情報のみが取埗され、それ以䞊の情報は埗られないずいう点で䟿利です。



トリガヌ匏の1぀を次に瀺したす。 



 {Template Windows - Eventlog 2008:eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781].logeventid(4624)}=1&{Template Windows - Eventlog 2008:eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781].nodata(5m)}=0


画像








この匏により、ダッシュボヌドに「アカりントでのログむンに成功したした」ずいう情報を衚瀺できたす。これは、MS Windows Server 2008のむベントID 4624に察応したす。この間に再ログむンが行われなかった堎合、むベントは5分埌に消えたす



「管理者」などの特定のナヌザヌを远跡する必芁がある堎合は、トリガヌ匏に正芏衚珟怜蚌を远加できたす。 



 &{Template Windows - Eventlog 2008:eventlog[Security,,,,1102|4624|4625|4720|4724|4725|4726|4731|4732|4733|4734|4735|4738|4781,,skip].regexp()}=1


トリガヌは、システムが「管理者」ずいう名前のアカりントでログむンしおいる堎合にのみ機胜したす。



PS


最も単玔な䟋を怜蚎したしたが、より耇雑な構造も䜿甚できたす。 たずえば、ログむンタむプ、゚ラヌコヌド、正芏衚珟、およびその他のパラメヌタヌを䜿甚したす。



したがっお、Windowsシステムによっお生成される倧量のメッセヌゞは、目ではなくZabbixによっおチェックされたす。 Zabbixダッシュボヌドのみを芋るこずができたす。

さらに、通知を電子メヌルで送信するように構成したした。 これにより、むベントに迅速に察応でき、営業時間倖などに発生したむベントを芋逃すこずはありたせん。



Unixシステムのセキュリティむベント監芖



Zabbix監芖システムでは、UnixファミリヌOSのログファむルから情報を収集するこずもできたす。



すべおの人に適したUnixシステム䞊のIBむベント


Unixファミリシステムのこのようなセキュリティの問題は、アカりントのパスワヌドを遞択する詊みず、SSH、FTPなどの認蚌ツヌルの脆匱性を怜玢する詊みず同じです。



Unixシステム䞊のいく぀かの重芁なむベント


䞊蚘に基づいお、システム内のナヌザヌアカりントの远加、倉曎、削陀に関連するアクションを監芖する必芁がありたす。

たた、重芁な事実は、システムぞのログむン詊行を远跡するこずです。 sudoers、passwdなどの䞻芁ファむルの倉曎/ rc.conf、ディレクトリの内容/usr/local/etc/rc.d実行䞭のプロセスの存圚など。



Unixシステムでのセキュリティ監芖方法


次の䟋を考えおみたしょう。 SSHプロトコルを䜿甚しお、FreeBSDシステムでログむン、倱敗したログむン詊行、パスワヌド掚枬詊行を远跡する必芁がありたす。



これに関するすべおの情報は、ログファむル/var/log/auth.logに含たれおいたす。

デフォルトでは、このファむルに察する暩限は600であり、root暩限でのみ衚瀺できたす。 ロヌカルセキュリティポリシヌを少し犠牲にしお、このグルヌプのzabbixナヌザヌにこのファむルの読み取りを蚱可する必芁がありたす。

ファむルのアクセス蚱可を倉曎したす。 



 chgrp zabbix /var/log/auth.log chmod 640 /var/log/auth.log


次のキヌを持぀新しいデヌタ項目が必芁です。 

 log[/var/log/auth.log,sshd,,,skip]


画像








「sshd」ずいう単語を含む/var/log/auth.logファむルのすべおの行は、゚ヌゞェントによっお監芖サヌバヌに送信されたす。



次に、次の匏を䜿甚しおトリガヌを構成できたす。 



 {Template FreeBSD - SSH:log[/var/log/auth.log,sshd,,,skip].regexp(error:)}|{Template FreeBSD - SSH:log[/var/log/auth.log,sshd,,,skip].regexp(Wrong passwordr:)}&{Template FreeBSD - SSH:log[/var/log/auth.log,sshd,,,skip].nodata(3m)}=0


画像








この匏は、正芏衚珟「error」によっお遞択された゚ントリがログファむルに衚瀺されるずきの問題ずしお定矩されたす。 受信したデヌタの履歎を開くず、SSHプロトコルを䜿甚した認蚌䞭に発生した゚ラヌが衚瀺されたす。



このトリガヌをトリガヌするデヌタ芁玠の最埌の倀の䟋を次に瀺したす。



画像








FreeBSDでのセキュリティ監芖の別の䟋を考えおみたしょう。

Zabbix゚ヌゞェントを䜿甚しお、/ etc / passwdファむルのチェックサムを確認できたす。

この堎合のキヌは次のずおりです。 



 vfs.file.cksum[/etc/passwd]


これにより、パスワヌドの倉曎、ナヌザヌの远加たたは削陀など、アカりントの倉曎を制埡できたす。 この堎合、実行された特定の操䜜はわかりたせんが、あなた以倖に誰もサヌバヌにアクセスできない堎合、これは迅速な応答の機䌚です。 より詳现なポリシヌを実行する必芁がある堎合は、他のキヌナヌザヌパラメヌタヌなどを䜿甚できたす。



たずえば、珟圚システムにログむンしおいるナヌザヌのリストを取埗する堎合、次のナヌザヌパラメヌタヌを䜿甚できたす。 



 UserParameter=system.users.list, /bin/cat /etc/passwd | grep -v "#" | awk -F\: '{print $$1}'


そしお、䟋えば、結果リストで倉曎するトリガヌを構成したす。



たたは、次のような単玔なパラメヌタヌを䜿甚できたす。 



 UserParameter=system.users.online, /usr/bin/users


そのため、珟圚システムにいるナヌザヌをダッシュ​​ボヌドで確認できたす。



画像








ネットワヌクデバむス䞊のISむベントの監芖



Zabbixを䜿甚するず、SNMPを䜿甚しおCiscoおよびJuniperネットワヌクデバむス䞊のIBむベントを非垞に効率的に監芖するこずもできたす。 デバむスからのデヌタ送信は、いわゆるトラップSNMPトラップを䜿甚しお実行されたす。



情報セキュリティの芳点から、監芖が必芁な次のむベントを区別できたす。機噚の構成の倉曎、スむッチ/ルヌタヌでのコマンドの実行、認蚌の成功、ログむン詊行の倱敗などです。



モニタリング方法


承認の䟋を再床怜蚎しおください。

スタンドずしお、Cisco 3745ルヌタヌでGNS3゚ミュレヌタを䜿甚したすが、倚くの人がこのスキヌムに粟通しおいるず思いたす。



最初に、SNMPトラップをルヌタヌから監芖サヌバヌに送信するように蚭定する必芁がありたす。 私の堎合、次のようになりたす。 



 login block-for 30 attempts 3 within 60 login on-failure log login on-success log login delay 5 logging history 5 snmp-server enable traps syslog snmp-server enable traps snmp authentication snmp-server host 192.168.1.1 public


Syslogおよび認蚌ラダヌからむベントを送信したす。 認蚌の成功ず倱敗は、Syslogに正確に曞き蟌たれたす。



次に、監芖サヌバヌで必芁なSNMPトラップの受信を構成する必芁がありたす。

snmptt.confに次の行を远加したす。 



 EVENT clogMessageGenerated .1.3.6.1.4.1.9.9.41.2.0.1 "Status Events" Normal FORMAT ZBXTRAP $ar $N $* SDESC EDESC


この䟋では、Syslogラダヌをキャッチしたす。



ここで、次のキヌを䜿甚しお統蚈を収集するようにデヌタ項目を構成する必芁がありたす。 



 snmptrap[“Status”]


画像








ラダヌが監芖サヌバヌで構成されおいない堎合、サヌバヌログに次の゚ントリが衚瀺されたす。 



 unmatched trap received from [192.168.1.14]:...


その結果、詳现な情報ナヌザヌ、゜ヌス、ロヌカルポヌト、倱敗した堎合の理由を含むログむン詊行に関する情報が、受信したログに反映されたす。



画像








さお、ダッシュボヌドにむベントを衚瀺するようにトリガヌを構成できたす。 



 {192.168.1.14:snmptrap["Status"].regexp(LOGIN_FAILED)}&{192.168.1.14:snmptrap["Status"].nodata(3m)}=0


前の段萜ず組み合わせお、ダッシュボヌドにそのような蚈画に関する情報がありたす。



画像








䞊蚘の䟋ず同様に、Ciscoルヌタヌで発生する倚数のむベントを監芖するこずができたすが、1぀の蚘事では明らかに䞍十分です。



䞊蚘の䟋は、Cisco ASAおよびPIX補品では機胜しないこずに泚意しおください。蚱可ロギングの䜜業は、そこでは倚少異なるように線成されおいるためです。



ゞュニパヌずSyslog


別の䟋ずしお、JuniperデバむスのJunOS 12.1での承認監芖を調べたす。

ここでは、Syslogメッセヌゞからのトラップ送信をサポヌトしおいないため、SNMPトラップを䜿甚できたせん。 UnixベヌスのSyslogサヌバヌが必芁です。この堎合、同じ監芖サヌバヌになりたす。



ルヌタで、ストレヌゞサヌバに送信するSyslogを蚭定する必芁がありたす。 



 system syslog host 192.168.1.1 authorization info


これで、すべおの認蚌メッセヌゞがSyslogサヌバヌに送信されたす。もちろん、すべおのメッセヌゞ任意を送信できたすが、䜙分な情報は必芁ありたせん。必芁なものだけを送信したす。



次に、syslogサヌバヌに移動したす

メッセヌゞが来たかどうかにかかわらず、tcpdumpを確認したす。 



 tcpdump -n -i em0 host 192.168.1.112 and port 514 12:22:27.437735 IP 192.168.1.112.514 > 192.168.1.1.514: SYSLOG auth.info, length: 106


デフォルトでは、syslog.conf蚭定で、auth.infoに付属するすべおのものが/var/log/auth.logに曞き蟌たれたす。 次に、Unixで入力を監芖する䟋ず同様にすべおを行いたす。



ログからの行の䟋を次に瀺したす。



画像








このむベントのトリガヌを蚭定するのは、Unixサヌバヌでの蚱可の䟋で考えられたのず同じ方法でのみです。



PS


このようにしお、デバむス構成の保存コミット、構成線集モヌドの開始ず終了線集など、倚くのむベントを远跡できたす。

たた、Ciscoデバむスで同様の方法で監芖できたすが、SNMPトラップを䜿甚した方法はより高速で䟿利なように思われ、䞭間のSyslogサヌバヌは䞍芁になりたす。



おわりに



結論ずしお、この蚘事ぞのコメントず远加、およびZabbixを䜿甚した情報セキュリティむベントモニタリングの䜿甚に関する興味深い提案を喜んで受け入れたす。

ご枅聎ありがずうございたした。 :)


More articles:


All Articles