。

想要分析攻击者做了什么、怎么攻击进来的、还攻击了谁#xff0c;那么日志是必不可少的一项#xff0c;因此我们需要尽可能采集多的日志来进行分析攻击者的…前言

没有永远的安全如何在被攻击的情况下快速响应和快速溯源分析攻击动作是个重要的话题。

想要分析攻击者做了什么、怎么攻击进来的、还攻击了谁那么日志是必不可少的一项因此我们需要尽可能采集多的日志来进行分析攻击者的动作甚至在攻击者刚落脚的时候就阻断攻击者。

安装ElasticKibana

这边根据官方文档https://www.elastic.co/guide/en/elasticsearch/reference/current/docker.html

安装es

docker.elastic.co/elasticsearch/elasticsearch:8.12.1docker

run

docker.elastic.co/elasticsearch/elasticsearch:8.12.1#

export

ELASTIC_PASSWORDes_your_passworddocker

es01:/usr/share/elasticsearch/config/certs/http_ca.crt

.curl

docker.elastic.co/kibana/kibana:8.12.1docker

run

docker.elastic.co/kibana/kibana:8.12.1会给出kibana的注册地址访问填入上述记录的token即可。

不知道是机器性能问题还是Docker安装的问题es容器经常会挂掉。

RPM安装

根据https://www.elastic.co/guide/en/elasticsearch/reference/current/rpm.html、https://www.elastic.co/guide/en/kibana/current/rpm.html官方文档可以yum

install安装。

因为公司访问镜像源被封因此使用上述文档中下载rpm安装

安装es

https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.12.1-x86_64.rpm

wget

https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.12.1-x86_64.rpm.sha512

shasum

elasticsearch-8.12.1-x86_64.rpm.sha512

sudo

elasticsearch-8.12.1-x86_64.rpm安装kibana

wget

https://artifacts.elastic.co/downloads/kibana/kibana-8.12.1-x86_64.rpm

wget

https://artifacts.elastic.co/downloads/kibana/kibana-8.12.1-x86_64.rpm.sha512

shasum

kibana-8.12.1-x86_64.rpm.sha512

sudo

kibana-8.12.1-x86_64.rpm依然在安装es的rpm时会吐出es/kibana的密码

The

Fq*S7jxCjFfPu6nN8NG8es服务可能启动不了但是安装时会给出启动命令

sudo

elasticsearch.service测试es启动是否正常

export

ELASTIC_PASSWORDFq*S7jxCjFfPu6nN8NG8

curl

/etc/elasticsearch/certs/http_ca.crt

https://localhost:9200记得改下配置文件使其监听在0.0.0.0上面

/etc/elasticsearch/elasticsearch.yml#

Allow

0.0.0.0kibana一样记得改下配置文件使其监听在0.0.0.0上面

server.host:

ServerURL填写https协议端口可以填默认的8220。

装好Fleet

Server也是一个Agent因此不能在同一台机器上同时装Fleet

Server和Elastic

Agent附带Security能力可以添加各式各样的integrations集成如到Security-Manage-Get

started-Add

Windows事件管理器日志不是单纯的文本因此需要借助一些工具来帮助我们完成采集的目的。

这里使用winlogbeathttps://www.elastic.co/cn/beats/winlogbeat完成。

官方提供了很详细的安装文档https://www.elastic.co/guide/en/beats/winlogbeat/current/winlogbeat-installation-configuration.html核心就是配置想要记录的日志类型和对外传输的方案这里我使用的方案为

记录的日志类型我没改默认就是Security、Application甚至还有Sysmon对外传输我使用了传输到elastic

配置好winlogbeat.yml后可以进行测试配置文件对不对

.\winlogbeat.exe

https://www.elastic.co/guide/en/beats/winlogbeat/index.html#

Winlogbeat

https://go.es.io/WinlogbeatConfigwinlogbeat.event_logs:-

name:

Microsoft-Windows-Sysmon/Operational-

name:

Microsoft-Windows-PowerShell/Operationalevent_id:

4103,

setup.template.settings:index.number_of_shards:

1#index.codec:

best_compression#_source.enabled:

false#

https://[2001:db8::1]:5601#host:

localhost:5601#

winlogbeat-%{[agent.version]}-routing#

Logstash

-------------------------------

#output.logstash:#

verifications#ssl.certificate_authorities:

Certificate

au***ntication#ssl.certificate:

Client

add_host_metadata:when.not.contains.tags:

forwarded-

这时候可能elastic上面搜不到数据是因为winlogbeat使用了他自己的索引默认为winlogbeat-version笔者测试时发现kibana上迟迟出现不了该索引还以为数据传输没成功呢因此通过如下手段进行排查先获取es上面的索引信息

http://your_ip:9200/_cat/indices?v发现有类似winlogbeat的索引信息

yellow

.ds-winlogbeat-8.12.0-2024.02.03-000001

192705

后面尝试在kibana上创建一个新的索引即可v7.17.12版本的kibana创建索引的过程如下

discover-选项-View