写点什么

使用 Open Distro for Elasticsearch 针对安全事件发出警报

  • 2019 年 10 月 03 日
  • 本文字数:1879 字

    阅读完需:约 6 分钟

使用 Open Distro for Elasticsearch 针对安全事件发出警报

Open Distro for Elasticsearch 的安全插件具有创建审计日志以跟踪对集群的访问的功能。您可以显示各种类型的审计事件,例如身份验证和失败的登录。在上一篇博文中,我们介绍了在 Open Distro for Elasticsearch 中设置警报的基本操作。在本博文中,我们会将安全插件和警报插件相结合,在登录尝试失败时启用警报。您可以扩展此模式,以便在可能出现出于恶意目的试图访问您的 Elasticsearch 集群的情况时收到通知。


设置监视器

可以通过在 elasticsearch.yml 文件中设置 opendistro_security.audit.type: internal_elasticsearch 来启用审计日志记录。默认情况下,我们的 Docker 和 rpm 发行版会启用此设置。


打开 Kibana 控制面板,转到 Alerting 选项卡,然后单击 Create Monitor。指定监视器的名称和 Schedule(您希望其何时运行)。我将监视器命名为 Audit Unauthorized Access Events 并将其运行计划设置为 Every 1 minute。



在 Open Distro for Elasticsearch 中创建监视器的第一个向导对话框,在其中设置名称和计划


在同一页面上,向下滚动到 Define Monitor 部分;可以在其中定义要监控的索引以及用于设置警报触发器的数据的提取条件。将索引设置为 security-auditlog-*,即安全插件审计日志的目标位置。将监控条件定义为 WHEN count() OVER all documents FOR THE LAST 5 minute(s)。单击底部的 Create 按钮以创建监视器。


在 Open Distro for Elasticsearch 中创建监视器的第二个向导对话框,其中显示提取数据的条件


此外,还可以使用提取查询定义监视器。例如,如果只需监控失败的登录尝试,则提取查询可能如下所示:


{     "query": {         "match": {             "audit_category": {                "query": "FAILED_LOGIN"            }        }    },    "sort": [{         "audit_utc_timestamp" : {            "order" : "desc"        }    }]}
复制代码


设置触发器

接下来,需要为此监视器创建触发器。触发器允许您在监视器上的触发器条件得到满足时执行操作。我将创建一个当监视器查询返回一个或多个结果时发送警报的触发器。将 Trigger name 设置为 Unauthorized Access Events on ES Cluster,将 Severity level 设置为 1,并将 Trigger condition 设置为 Above 1:


在 Open Distro for Elasticsearch 中创建监视器触发器的向导对话框,在其中设置触发器名称、严重性和阈值


向下滚动并为此触发器添加操作。我已经配置了一个 Amazon Chime 会议室通知。将 Action name 设置为 Notify OnCall,将 Destination name 设置为 Chime,将 Message subject 设置为 Unauthorized Access Events on ES Cluster,并添加描述性 Message。我从我们的文档中复制了消息:



设置 Open Distro for Elasticsearch 监视器触发器触发时要执行的操作的向导。在其中设置目标、消息主题和消息模板


创建完所有内容后,监视器控制面板的外观如下:



Open Distro for Elasticsearch 中已完成创建的监视器,显示状态部分


Open Distro for Elasticsearch 中已完成创建的监视器,显示触发和警报历史记录


绿条表示最近没有触发。您可以通过从 Kibana 注销并使用错误凭证创建失败的登录尝试来创建触发和警报。再次登录(使用您的真实凭证)后,屏幕将如下图所示(请注意绿色条中相应时间戳的红色部分):


![](https://static001.infoq.cn/resource/image/9e/fd/9e45eb8f0812e06f578d2d26719979fd.pn


您还将收到“未经授权的访问事件”通知,如下所示:



小结

在本博文中,我们探讨了如何在登录失败时发送警报。安全插件支持更多的审计类别。您可以编写复杂的提取查询,针对特定使用案例(例如多次尝试访问特定索引)发出警报。


您还可以通过在 elasticsearch.yml 中启用/禁用某些类别来配置日志记录生成的数据审计。有关这些设置的列表,请参阅 Audit Logs – Open Distro for Elasticsearch Documentation。


审计日志记录在保持合规性之时和出现安全漏洞之后非常有用。与警报配合使用时,可以帮助您主动保护集群。


有问题或疑问? 希望参与讨论? 您可以在我们的论坛上获得帮助并讨论 Open Distro for Elasticsearch。您可以在这里提出问题。


作者介绍:


Shivang Doshi


Shivang Doshi 是总部位于加州帕罗奥图市的 Amazon Web Services 的软件开发工程师。Shivang 与产品经理密切合作,为 AWS Elasticsearch Service 开发新功能,从而为客户提供更安全的集群。Shivang 拥有孟买大学的信息技术学士学位和圣何塞州立大学的软件工程师硕士学位。


本文转载自 AWS 技术博客。


原文链接:


https://amazonaws-china.com/cn/blogs/china/open-distro-for-elasticsearch-alert-security-events/


2019 年 10 月 03 日 18:14706
用户头像

发布了 1422 篇内容, 共 46.6 次阅读, 收获喜欢 54 次。

关注

欲了解 AWS 的更多信息,请访问【AWS 技术专区】

评论

发布
暂无评论
发现更多内容

OpenSearch 文档如何部署到 GitHub Page 中

HoneyMoose

Android Manifest功能与权限描述大全,阿里大牛整理

android 程序员 移动开发

Android MVP模式深入实践探索(一),移动开发工程师简历

android 程序员 移动开发

Android BLE基础框架全新改版,android音视频开发面试题

android 程序员 移动开发

Android Gradle 学习笔记整理,阿里Android面试必问

android 程序员 移动开发

Android Matrix矩阵,一个Android程序员的面试心得

android 程序员 移动开发

Android - 开发常用工具类Utils,真的已经讲烂了

android 程序员 移动开发

Android 11 中的存储机制更新,android项目开发实战入门光盘文件

android 程序员 移动开发

Android Protobuf应用及原理,android输入法开发软键盘切换

android 程序员 移动开发

android webview与js交互(动态添加js),【好文推荐

android 程序员 移动开发

Android - 更安全地保存静态密钥,android三种开发模式

android 程序员 移动开发

Android Gradle 干货,sharedpreferences跨进程

android 程序员 移动开发

Android Handler源码浅析,一线互联网架构师筑基必备技能之Android篇

android 程序员 移动开发

OpenSearch 文档中文本地化

HoneyMoose

Android jetpack最佳总结和实践,安卓面试题宝典app

android 程序员 移动开发

Android 11适配指南之系统相机拍照、打开相册,Android开发两年

android 程序员 移动开发

Android Gradle 常用配置,androidsdk环境配置

android 程序员 移动开发

Android mvvm 之 LiveData 的原理,如何保证高可用

android 程序员 移动开发

Android NDK 开发之 CMake 必知必会,程序员必须要了解的知识点

android 程序员 移动开发

Android - 运行时权限一个工具类搞定,让人茅塞顿开

android 程序员 移动开发

Android AOSP 6,flutter面试题

android 程序员 移动开发

Android P 网络请求相关总结,flutter二维码扫描插件

android 程序员 移动开发

Android ViewPager2 & TabLayout,那些被大厂优化的程序员们

android 程序员 移动开发

Android WebView常见问题,androidim开发

android 程序员 移动开发

Android 9,flutter安装教程2019

android 程序员 移动开发

Android AutoService 组件化,android完整项目源码

android 程序员 移动开发

Android Studio 3,2021Android面试真题精选干货整理

android 程序员 移动开发

Android 10手势导航的侧滑返回效果优化策略,2021最新Android大厂面试真题大全

android 程序员 移动开发

Android JPEG 压缩那些事,深入解析Android-AutoLayout

android 程序员 移动开发

Android Studio自定义模板实现一键创建MVP结构,已拿到offer

android 程序员 移动开发

Android - singleTask启动模式详解,腾讯Android面试

android 程序员 移动开发

使用 Open Distro for Elasticsearch 针对安全事件发出警报-InfoQ