O <a href="/pt/products">Elastic Stack</a> fornece recursos de análise de segurança que são amplamente usados para detecção de ameaças, visibilidade e resposta a incidentes. A velocidade e escala com que o Elasticsearch pode indexar e pesquisar informações relativas à segurança permitem que os analistas de segurança trabalhem com mais eficiência, enquanto os painéis Kibana oferecem ampla visibilidade e permitem busca interativa de ameaças. E o motor de <a href="/pt/products/stack/machine-learning">aprendizado de máquina</a> pode automatizar a análise de conjuntos de dados complexos, possibilitando identificar invasores que de outro modo passariam despercebidos.Os conhecidos IDSs (sistemas de detecção de invasão), como <a href="https://wazuh.com/">Wazuh</a> ou Suricata, usam uma abordagem baseada em assinaturas à detecção de ameaças. Isso significa que eles comparam padrões encontrados em arquivos, logs e tráfego de rede com um banco de dados de padrões notadamente associado a atividade maligna, alertando quando é encontrada uma coincidência. Eles fornecem conjuntos de regras úteis para analisar e correlacionar dados, normalmente gerando milhares ou milhões de alertas por dia em um ambiente de produção.Considerar várias opções pode garantir que todos os potenciais eventos de segurança sejam tratados, mas também aumenta o trabalho de vasculhar entre milhares (talvez milhões) de alertas diariamente. Os recursos de aprendizado de máquina do Elastic ajudam a reduzir esse problema identificando automaticamente comportamentos anormais. Esse é um evidente caso de uso em que as tecnologias baseadas em anomalias e em assinaturas são complementares entre si, tornando a detecção de ameaças mais fácil e as investigações mais eficientes.O <a href="https://github.com/wazuh/wazuh">Wazuh</a>, normalmente implementado juntamente com o Elastic Stack, é um sistema HIDS (sistema de detecção de invasões baseado em host) de código-fonte aberto. Ele oferece recursos de análise de log, monitoramento de integridade de arquivos, detecção de rootkit e vulnerabilidade, avaliação de configuração e resposta a incidentes. A arquitetura de solução do Wazuh tem como base agentes leves multiplataforma que são executados em sistemas monitorados, gerando relatórios para um servidor centralizado no qual é feita a análise dos dados. Além disso, ele fornece um plugin Kibana completo para gerenciamento de configurações, monitoramento de status, consultas e visualização de dados de alertas.Em contrapartida, o Suricata é um motor de detecção de ameaças de rede gratuito e de código-fonte aberto, com capacidade de NIDS (detecção de invasões de rede em tempo real), NIPS (prevenção de invasões em linha), NSM (monitoramento de segurança de rede) e processamento pcap offline. O Suricata inspeciona o tráfego de rede usando suas próprias regras e linguagem de assinatura para procurar ameaças conhecidas, violações a políticas e comportamentos malignos, além de oferecer suporte a scripts para detecção de ameaças complexas.Nesta postagem de blog, forneceremos uma visão geral de como detectar invasões usando uma integração do Wazuh e Suricata em combinação com os trabalhos de aprendizado de máquina do Elastic para ajudar a priorizar as investigações.<h2>Integração do Wazuh, do Suricata e do Elastic Stack</h2>Para a finalidade desta postagem de blog, configuramos um ambiente de laboratório em que agentes Wazuh foram implementados em vários servidores de contato com a Internet, monitorando dados de log de aplicativo e sistema, integridade de arquivos e chamadas de sistema.Além disso, estamos executando um sensor do Suricata que cuida do monitoramento do tráfego de rede. Esse sensor geralmente é configurado para monitorar o tráfego via tap de rede, porta de espelhamento ou porta SPAN (analisador de porta em switch), mas também pode ser implementado diretamente em nossos servidores.Para aproveitar ao máximo essas duas ferramentas, decidimos analisar os alertas do Suricata usando regras do Wazuh, unificando o formato dos alertas e nos permitindo fazer a correlação (por exemplo, com fontes de inteligência de ameaças) e disparar respostas automáticas.Essa integração foi feita configurando um agente Wazuh para ler saída JSON do Suricata. Esse agente atua como um coletor que encaminha os alertas NIDS do Suricata ao servidor Wazuh, em que eles são processados através de regras de análise de log do Wazuh, resultando em novos eventos de segurança enriquecidos.Agora, como resultado desse trabalho, tanto os alertas NIDS quanto os HIDS são enviados ao Elasticsearch via Filebeat (configurado para ler alertas do Wazuh) e Logstash (também usado para enriquecimento de geolocalização), em que usamos trabalhos de aprendizado de máquina para detectar anomalias e comportamentos anormais.A seguir está um exemplo de uma implantação das tecnologias IDS baseadas em rede e em host, integradas juntamente com o Elastic Stack:<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt69bd38c77bdaac5e/5c583b764651cff70b650fc7/wazuh.png" data-sys-asset-uid="blt69bd38c77bdaac5e" alt="Análise de segurança com o Elastic Stack e Wazuh" style="display: block;margin: auto;"/><h2>Detecção de atores malignos usando trabalhos de aprendizado de máquina</h2>Em nosso ambiente de laboratório, habilitamos todas as regras e constatamos que, para apenas um dos nossos servidores Web de contato com a Internet, nosso agente Wazuh está gerando relatórios de 4 mil a 10 mil alertas IDS por dia. Em sua maioria eles estão relacionados a ataques Web, falhas de autenticação, problemas de configuração (detectados usando verificações de hardening), alterações de integridade de arquivos ou software vulnerável.Para facilitar o trabalho dos analistas de segurança, os alertas IDS do Wazuh são enriquecidos com metadados, como <a href="https://documentation.wazuh.com/3.x/user-manual/manager/alert-threshold.html">valor de nível</a> ou <a href="https://documentation.wazuh.com/3.x/user-manual/agents/grouping-agents.html">grupo</a>, possibilitando filtrar por prioridade ou tipo. Além disso, o plugin Kibana do Wazuh fornece painéis pré-configurados com informações úteis relacionadas a status do agente, configuração e alertas. Veja a captura de tela a seguir:<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltaeded6e5f42e8008/5c583b6f713ebdec0ba0724b/wazuh_1.jpg" data-sys-asset-uid="bltaeded6e5f42e8008" alt="" style="display: block;margin: auto;"/>As informações fornecidas pelo Wazuh com certeza são úteis, mas elas ainda não indicam comportamentos anormais. É nesse momento que um trabalho de aprendizado de máquina do Elastic pode ajudar.O aprendizado de máquina do Elastic permite criar vários tipos de “trabalhos”. O trabalho é o elemento básico da análise de aprendizado de máquina. Em nosso caso, decidimos criar o que é conhecido como “análise de população”, em que instruímos o motor de aprendizado de máquina a criar um modelo básico de comportamento típico de endereço IP durante um período de tempo, identificando aqueles com comportamento anormal em comparação com o restante da população.Mais especificamente, em nosso caso queríamos procurar endereços IP de origem que, quando em comparação com todos os outros endereços IP, geram respostas para um número absurdamente alto de tipos de alertas. Isso não pode ser feito apenas criando tabelas de agregação, porque as anomalias ocorreram em um determinado momento, desconhecido pelo nosso analista de segurança, e temos mais de 60 dias de dados de alerta (detectamos alguns ataques para os quais a duração foi de no máximo dois minutos).<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt5f3853bf1907d6b8/5c583b698c741b010cbf6cf2/wazuh_2.png" data-sys-asset-uid="blt5f3853bf1907d6b8" alt="" style="display: block;margin: auto;"/>Como resultado de nossa análise de população, identificamos vários comportamento anormais (na forma de uma lista de endereços IP de origem), que decidimos investigar. Usamos o “Anomaly Explorer” para saber quando cada um desses possíveis atores malignos estava atacando nosso ambiente.<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc441190af1573bef/5c583b644651cff70b650fc1/wazuh_3.png" data-sys-asset-uid="bltc441190af1573bef" alt="" style="display: block;margin: auto;"/><h2>Investigação de uma tentativa de invasão</h2>Como exemplo de análise de segurança, destacamos a investigação de um dos endereços IP identificados pelo trabalho de aprendizado de máquina. Esse endereço IP específico gerou vários alertas NIDS e HIDS em menos de um minuto, disparando uma ação Wazuh automatizada que bloqueia o endereço IP no firewall local do nosso servidor Web.<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt9943893542e7e7f3/5c583b5edfaabbd40b9c2c0c/wazuh_4.jpg" data-sys-asset-uid="blt9943893542e7e7f3" alt="" style="display: block;margin: auto;"/>Conforme mostrado na captura de tela anterior, o NIDS do Suricata detectou tráfego maligno partindo do endereço IP de origem indicado. Quatro regras coincidiram com o tráfego de entrada, gerando os seguintes alertas:<ul><li>ET DROP Dshield Block Listed Source group 1</li><li>ET CINS Active Threat Intelligence Poor Reputation IP group 77</li><li>SURICATA HTTP URI terminated by non-compliant character</li><li>SURICATA HTTP METHOD terminated by non-compliant character</li></ul>As duas primeiras regras, que fazem parte do conjunto de regras <a href="http://doc.emergingthreats.net/">Emerging Threats</a>, indicam que o endereço IP de origem é conhecido por ter uma baixa reputação de acordo com fontes de inteligência de ameaças: inteligência de ameaças <a href="https://www.dshield.org/">Dshield</a> e Active.Além disso, duas outras assinaturas detectaram atividade HTTP anômala partindo do mesmo endereço IP de origem, mais provavelmente parte de uma etapa de varredura em que o invasor coleta informações procurando potenciais vulnerabilidades.O componente HIDS do Wazuh também disparou diferentes alertas com base na análise dos logs de acesso do servidor Web. Essa abordagem, totalmente diferente da inspeção de pacotes de rede, acabou gerando os seguintes alertas:<ul><li>IP address found in AlienVault reputation database</li><li>Host Blocked by firewall-drop.sh Active Response</li><li>Host Unblocked by firewall-drop.sh Active Response</li></ul>O primeiro alerta indica que o endereço IP de origem também é conhecido como parte de outra fonte de inteligência de ameaça: Banco de dados de reputação IP <a href="https://otx.alienvault.com/">AlienVault OTX</a>.Os outros dois alertas são disparados pelo módulo Active Response do Wazuh que, como resultado dos alertas previamente mencionados, adicionaram automaticamente uma regra de firewall para bloquear o tráfego partindo desse endereço IP de origem específico durante exatamente 60 segundos (valor configurável). Essa ação foi suficiente para bloquear atividades de varredura e fez o ator maligno desistir da tentativa de invasão.<h2>Conclusão</h2>O emprego da detecção de invasões baseada tanto em assinaturas quanto em anomalias, por meio de tecnologias como Wazuh, Suricata e aprendizado de máquina do Elastic, pode tornar a detecção de ameaças mais fácil e as investigações mais eficientes.Além disso, a integração de IDS baseado em host (usado para monitorar sistema no nível do host) com IDS baseado em rede (usado para inspecionar o tráfego de rede) também pode aumentar a detecção de ameaças e a visibilidade da segurança. O Wazuh facilita essa tarefa porque ele pode ser usado para integrar sistemas IDS baseado em host e em rede com o Elastic Stack, além de fornecer um mecanismo para executar respostas automatizadas e bloquear ataques em tempo real.

ML_IDS_2000x415a.jpg

Blog.jpg

Improve Security Analytics with the Elastic Stack, Wazuh, and IDS

Melhore a análise de segurança com o Elastic Stack, Wazuh e IDS

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Santiago Bassett

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/elastic-cloud-account-terms" target="_self">Termos de Serviço</a> e também concorda em receber <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">comunicações especiais</a> por meio dos dados de contato que forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/serverless-preview-terms" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Ao enviar, você concorda com os <a href="/pt/agreements/global/cloud-services-monthly" rel="nofollow">Termos de Serviço do Elastic Cloud</a>. Seus dados pessoais serão tratados de acordo com a <a href="/pt/legal/privacy-statement">Declaração de Privacidade da Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/terms-of-use" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

Explore similar demos

Explore outras demonstrações semelhantes

Overview

Load More

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

O conteúdo desta página não está disponível no idioma selecionado. A Elastic está trabalhando para garantir que o conteúdo esteja disponível em vários idiomas.Agradecemos a compreensão.

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Consultar a hora de início do webinar no meu fuso horário

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Não vai conseguir participar? Inscreva-se e nós lhe enviaremos a gravação. Você também receberá um email com conteúdo relacionado.

Author

Articles by Santiago Bassett

Melhore a análise de segurança com o Elastic Stack, Wazuh e IDS

Sign up for Elastic Cloud free trial