企业安全建设之云上落地开源SIEM初级实践指南

首发于Freebuf ，此处仅摘录部分内容
https://www.freebuf.com/articles/es/252504.html

文章目录
前言
云上创建SELKS镜像
具体操作
完善SELKS基本配置
查看SELKS各个服务运行情况
配置ElasticSearch服务
配置Kibana服务
配置Suricata服务
云上流量镜像
解决方案：
解决遇到的几个问题
解决关机时，关闭logstash服务占用太长时间
解决Kibana启动报错：Kibana server is not ready yet
清除elasticsearch数据
解决存储不够的问题
解决重启网络无法连接问题
优化Suricata规则
定制Kibana展示
总结
参考

万物上云的时代，如何让开源SIEM落地云环境？

前言

由于笔者所在公司业务环境使用的是华为云，所以就以华为云环境部署开源SIEM落地为例，其他云环境情况也应大致相同。

笔者所采用的开源SIEM系统是由Stamus Networks开发的SELKS，介于Freebuf上已有相关介绍和部署文章，所以安装部署部分的内容就不再赘述了（话说还是我留言给作者介绍简洁干练的SELKS系统，自己却一直拖着没写文章分享出来）。

云上创建SELKS镜像

首先，从Stamus Networks官网下载对应ISO镜像文件到本地，推荐第一次部署使用桌面版，图像化界面更容易熟悉基本操作。

我们需要将ISO文件部署到云ECS上，所以下面进行：

进入华为云控制台，参考其帮助文档，将本地的SELKS-6.0-desktop.iso镜像文件导入至镜像服务IMS私有镜像中，操作流程图如下：

云上流量镜像

我们知道SELKS系统的核心就是Suricata，而我们一般部署在本地的话都是以旁路方式，利用交换机的流量镜像功能，将业务往来流量导入到Suricata中，再根据其规则进行威胁告警。

然而，笔者并未在华为云控制台中找到有关流量镜像的功能，Googel搜索一番，似乎大部分云平台都还未支持这一功能，仅看到AWS提供VPC Traffic Mirroring功能。

如果不能将云业务流量导入到Suricata中，那SELKS所依托Suricata告警规则的核心告警功能就基本废了。

解决方案

经过不断的搜索相关解决方案，终于，在Github中找到一位大牛的开源项目Netis Packet Agent。

Netis Packet Agent是一个用于解决如下问题的开源项目：设备A上抓取的数据包，之后在设备B上使用分析。

在很多时候，当你希望监控网络的流量，但是并没有可用的设备，例如：

物理环境中不存在TAP和SPAN设备。

虚拟环境中，Virtual Switch Flow Table不支持SPAN功能。

因此，该项目提供一套低开销但是高性能的抓包工具，用于应对上述困难。

pktminerg是第一个发布的工具。该工具可以轻松地在网卡上抓数据包，用GRE头进行封装并发送到远端的设备，来进行数据包监控和分析。

由于笔者所在公司基本都是用CentOS系统，所以仅以此为例来介绍实践部署方式。
。。。。。。略。。。。。。

首发于Freebuf ，此处仅摘录部分内容
https://www.freebuf.com/articles/es/252504.html