케세라세라: Elasticsearch 활용(Logon Event 분석)

2017년 7월 9일 일요일

Elasticsearch 활용(Logon Event 분석)

로그온 이벤트를 분석해보자. winlogbeat 설정에 로그온 성공 및 실패 이벤트 4624, 4625 추가.

winlogbeat가 알아서 필드별 정규화를 해주지만, 몇몇 정보는 가독성을 높이기 위한 가공이 필요하다.

다음은 LogonType 필드의 숫자값을 문자열로 바꾸고, ProcessName 필드값을 경로와 파일명으로 분리하는 Logstash 설정.

#4624, 4625 이벤트 type 지정
if [event_id] in [4624, 4625] {
 mutate {
  replace => { "type" => "logon_event" }
 }

 #LogonType별 값 변경
 if [event_data][LogonType] == "0" {
  mutate {
   replace => { "[event_data][LogonType]" => "system_start" }
  }
 }

 if [event_data][LogonType] == "2" {
   mutate {
    replace => { "[event_data][LogonType]" => "interactive" }
   }
 }

 if [event_data][LogonType] == "3" {
   mutate {
    replace => { "[event_data][LogonType]" => "network" }
   }
 }

 if [event_data][LogonType] == "4" {
   mutate {
    replace => { "[event_data][LogonType]" => "batch" }
   }
 }

 if [event_data][LogonType] == "5" {
   mutate {
    replace => { "[event_data][LogonType]" => "service" }
   }
 }

 if [event_data][LogonType] == "7" {
   mutate {
    replace => { "[event_data][LogonType]" => "unlock" }
   }
 }

 if [event_data][LogonType] == "8" {
   mutate {
    replace => { "[event_data][LogonType]" => "network_cleartext" }
   }
 }

 if [event_data][LogonType] == "9" {
   mutate {
    replace => { "[event_data][LogonType]" => "new_credentials" }
   }
 }

 if [event_data][LogonType] == "10" {
   mutate {
    replace => { "[event_data][LogonType]" => "rdp" }
   }
 }

 if [event_data][LogonType] == "11" {
   mutate {
    replace => { "[event_data][LogonType]" => "cache_interactive" }
   }
 }
}

#ProcessName 값을 경로와 파일명으로 분리
if [event_id] == 4624 {
 grok {
  match => { "[event_data][ProcessName]" => "(?<proc_path>.+\\).+" }
 }
 grok {
  match => { "[event_data][ProcessName]" => ".+\\(?<proc_name>.+)" }
 }
}