תרגיל סיכום על ElasticSearch
פרקי ההרצאה: תרגיל סיכום על ElasticSearch
תמלול ההרצאה: תרגיל סיכום על ElasticSearch
הטקסט המלא של הדקות הראשונות בהרצאה «תרגיל סיכום על ElasticSearch» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, אנחנו בפרק האחרון על סדר העדיפויות. לפי מה אנחנו קובעים סדר עדיפויות באלרטים, בהתראות שלנו? כמובן שיש לנו את ההתראה הראשונית, אנחנו מסווגים אותה לאיזושהי קבוצה לפי סבריטי, לפי דרגת חומרה.
האם זה סתם משהו בשוליים או שזה משהו ממש חשוב? אנחנו אוספים עוד אינדיקציות לחדירה, מתחילים לאסוף מידע, מתחילים לעשות קורלציה, קשר בין כל מיני אירועים שקורים לנו ברשת לחדירה הזאת.
האמת זה די ברור שאנחנו מנתחים מידע ואין פה משהו חדש, מזעיקים את הצוות שנקרא incident response, צוות התגובה שלנו. יש לנו את תוכניות התגובה, אנחנו מתחילים לבצע תוכניות התגובה, קוראים גם לאנשי צוות של incident response.
מתחילים להגיב בקיצור, גם לפי הנהלים וגם מקפיצים את המומחים. במקביל גם מדברים עם אנשי IT, מנהלי רשת, ומתחילים להגיב. אם צריך עושים אסקלציה, מעלים רמה, קוראים למומחים חיצוניים, קוראים לצוות יותר מקצועי.
אם צריך גם נקרא למשטרה. בקיצור זה נקרא אסקלשן, העלאה בדרגה, בדרגת התגובה שלנו. כל הזמן אנחנו עושים מוניטורינג, עוקבים אחרי כל מה שקורה, אחרי כל המערכות, ובסוף כשהכל מסתדר אנחנו עושים די אסקלציה.
טוב, זה די ברור מאליו, זה הכל מילים כלליות, נעשה מרק אנד קומפליט, ונעבור לפרק סיכום, תראו בסוף יש סקיל אססטמנט, כאילו בדיקת יכולות שלנו, כמו סיכום של כל הפרק, ופה הם מספרים שקיבלנו תפקיד בסוק טיר אחד, כאילו אנחנו עובדים בצוות של סוק בשכבה הכי נמוכה,
אלו שמקבלים את ההתראה. בקיצור אנחנו אמורים להגיב ונותנים לנו פה סיפור. מה שהכי מעניין בסיפור הזה שיש תחנה בשם פאו והתחנה הזאת זה למעשה ראשי תיבות של Privileged Admin Workstation.
תחנת עבודה של מנהלי הרשת וכל מה שמנהל רשת רוצה לעשות שזה לא רק לבדוק את המיילים שלו אלא דברים שהם דורשים הרשאות מתקדמות פריבילגיות מתקדמות של אדמין.
בקיצור כל העבודה של אדמיניסטרטורים הרשאות פריבילג'ד, עם הרשאות של אדמיניסטרטור, האדמיניסטרטורים אמורים לעשות דרך התחנה הזאת, ולא מתוך המחשב שעומד להם בשולחן העבודה.
המחשב בשולחן העבודה אמור להיות לדברים הרגילים, לשימוש הרגיל כמו כל היוזרים ברשת. הדברים של הניהול מתבצעים רק מתחנה מיוחדת שנקראת פאו.
זאת אומרת שנניח לוגין של אדמיניסטרטור אמור לצאת רק מהתחנה הזאת. תראו, הם נותנים לנו פה סיפורים על כל ויזואליזציה, ופה למטה הם שואלים אותנו שאלות.
אז לדוגמה השאלה הראשונה אומרת כנס לדשבורד שנקרא socalerts ותראה האם בוויזואליזציה הזאת fade logon attempts כישלונות של לוגין צריך להגיב על ידי אסקלציה לדרגים הבכירים לקרוא לאנשים מומחים סתם להתייעץ עם מנהלי רשת אולי היה איזשהו שינוי בגלל זה קפצה התראה סתם רק להתייעץ או בכלל להתעלם מזה.
זו הייתה התרעה, לא משהו חשוב, זה משהו תקני. בקיצור, אנחנו צריכים להיכנס עכשיו לפייד לוגון אטמפס, ניסיונות לוגין שלא הצליחו, ולראות האם יש לנו פה משהו חשוד.
לפני שאנחנו עונים לשאלה הזאת, יש לנו פה גם סיפור למעלה שמדבר על החלון הזה. הוא אומר שיכול להיות שכישלונות לוגין זה אומר שמישהו מנסה לעשות ברוט פורס אטאק, מישהו מנסה בכוח לפרוץ איזושהי סיסמה, מנסה מלא סיסמאות ורוצה לפרוץ בכוח.
ובשביל הדבר הזה צריך ממש הרבה ניסיונות, איזה מיליונים, כי יש הרבה וריאציות לעבור עליהם, הרבה סיסמאות.
בואו נראה, אנחנו נכנסים כאן לדשבורדס, אז אנחנו מסתכלים על זה, ומה אנחנו רואים פה? שמתחנה של פאו, של אדמיניסטרטורים, היו ארבע לוגינים כושלים, דרך הרשת, זאת אומרת נניח שיתוף קבצים, לא הקשה של שם וסיסמה אינטראקטיבית, מישהו ניסה לגשת לשיתוף, התבלבל בשם וסיסמה נניח.
אדמיניסטרטור ניסה להיכנס ל-DC1 אינטראקטיבית, זאת אומרת יוזר בשם אדמיניסטרטור ניסה בצורה אינטראקטיבית, אינטראקטיבית זה אומר שהוא ממש יושב על התחנה ועושה לוגין על שרת DC1, אז היו שלושה ניסיונות.
הדבר היחיד שקצת מוזר שיש יוזר בשם SQL Service, היוזר הזה, SQL Service, שזה אמור להיות יוזר שרץ ברקע אוטומטי, זה לא בן אדם שמתבלבל בסיסמה, היוזר הזה פעמיים התבלבל בסיסמה כשהוא ניסה לגשת למשהו ברשת.
וזה קצת מוזר. למה? כי זה לא משהו שבן אדם מקיש בעצמו. אז הייתי מדבר פה עם מנהלי הרשת. זאת אומרת, אני חושב שזה אנומליה, שזו התנהגות לא נורמלית, והייתי אומר, תקשיב, מנהל רשת, מה קרה שם?
מה הסיפור שם? אולי הסיסמה לא נכונה? אולי התבלבלת בסיסמה שנתת לסרוויס? אז נראה לי שזאת התשובה שאני הייתי בוחר. בואו נראה אם אני צודק או לא.
כן, הם מסכימים איתי.