基础设施的攻击日志记录 – 第4部分:日志事件警报

2018-04-03 2,489

alert_all_the_things.jpg

添加Slack插件:

Slack alerting虽然本身不是Graylog的内置插件,但安装添加此功能的插件,只需要几秒钟。Slack插件可以在Graylog市场中找到。我们所要做的就是下载插件,将.jar文件放入Graylog的插件目录(默认情况下为/ usr / share / graylog-server / plugin /),然后重新启动Graylog服务。

cd /usr/share/graylog-server/plugin/
sudo wget https://github.com/graylog-labs/graylog-plugin-slack/releases/download/3.0.1/graylog-plugin-slack-3.0.1.jar
sudo service graylog-server restart

只要Graylog成功重新启动,插件将被安装。

设置Slack通知:

我假设你已经有一个Slack工作区设置。你应该创建一个新的渠道,作为基础架构警报专用。我用于演示的频道如下:

slack_channel-768x654.png

通过访问下面的URL创建一个新的Slack传入Webhook:

https://[YOUR_WORKSPACE].slack.com/services/new/incoming-webhook

它会要求你选择一个Slack频道,选择你为基础设施提醒创建的频道。

generate_webhook-768x340.png

复制它为你生成的Webhook,并将其保存在某处供以后使用。你也可以更改Web集成用户名和图标。完成后,点击页面底部的保存设置

准备好webhook后,返回到Graylog,导航到Alerts菜单并单击Manage notifications按钮。

add_notification.png

点击添加新通知,可以在下拉菜单中看到Slack Alarm Callback选项。

slack_callback-768x524.png

给警报新建一个命名,输入你的Slack频道的名字并粘贴你之前保存的webhook值。

callback_settings.png

完成后选择保存。你现在就可以测试通知。如果一切顺利,你的基础设施Slack频道中应该有一个新的虚拟通知。

dummy_notification-1024x291.png

创建一个警报条件:

我将在一个有效载荷下载中演示Slack警报,但你可以选择你想要的任何类型的活动。我们在这种情况下的警报条件将是下载存储在我的网络服务器“ payloads ” 目录中的“evil.hta ” 文件。

前往警报菜单并点击管理条件。点击在页面上添加新条件。选择下一个菜单中的All messages stream和Field Content Alert Condition作为条件类型。

new_condition-768x280.png

在接下来的菜单,给你的新条件的名称,类型要求在现场框和/payloads/evil.hta在(或任何你有效载荷目录和名称是)值字段。完成后保存条件。

payload_download_condition.png

注:如果你希望将有效负载下载的Apache日志条目追加到Slack警报消息中,请将 Message Backlog设置为1。

测试它:

如果你已经正确配置了条件和通知 ,则应该能够测试有效负载下载 警报。转到浏览器/终端并下载您的有效负载。

你应该有一个新的Slack通知,显示你的下载尝试????

payload_download_test-1024x298.png

可能会有轻微的延迟,所以请注意提醒一段时间。该警报也会显示在Graylog的警报菜单中。

graylog_alerts-768x502.png

现在,你只需添加尽可能多的新条件即可随时进行提醒。

一些更多的想法:

  • 成功的钓鱼。

  • 来自IR用户代理的有效载荷下载/ Web请求,例如wget,nc,curl,python等

  • 来自已知“不良IP”(例如AV供应商IP地址)的Web请求。

  • 成功登录到您的基础设施。

结论:

最后在这里,基础设施日志记录系列的结束。在长期参与过程中建立集中式日志记录可能有点过于苛刻,但从长远来看可以为您节省更多的时间和精力,并为您提供显着的运营优势,如果您不具备这些优势被来自多个来源的基础设施日志所淹没。

参考:

http://docs.graylog.org/en/2.4/pages/streams/alerts.html

http://docs.graylog.org/en/2.4/pages/plugins.html#plugins

https://marketplace.graylog.org

https://github.com/bluscreenofjeff/Red-Team-Infrastructure-Wiki

原文链接:https://thevivi.net/2018/03/23/attack-infrastructure-logging-part-4-log-event-alerting/

本文作者:安识科技

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/70207.html

Tags:
评论  (0)
快来写下你的想法吧!

安识科技

文章数:65 积分: 135

安识科技:专业的企业安全解决方案提供商。官网:https://www.duoyinsu.com/

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号