SIEM
Nutzen Sie unser SIEM, um Informationen über die Sicherheitslage Ihres IT-Netzwerks zu sammeln und zu analysieren
Sichern Sie Ihre Daten mit unserem leistungsstarken SIEM: Kontaktieren Sie unsere Experten über sales@enginsight.com, um schnellstmöglich durchzustarten und erhalten Sie Unterstützung bei Ihrer Installation!
Aufbau
Vorbereitung
Für die Installation des SIEMs benötigen Sie folgende Komponenten
Komponente | Anforderung |
---|---|
1x SIEM Management Server | 4CPU, 8GB RAM, 200GB Disk |
1X SIEM Index Server | 4CPU, 8GB RAM, 200GB Disk |
Dieses Setup ist ausschließlich für einen Workload von 10 GB Pro Tag ausgelegt! Falls Sie höhere Anforderungen haben, lassen Sie sich gern von uns individuell beraten.
Weiterhin müssen folgende Firewall Regeln freigegeben werden:
NGS APP Server -> SIEM Management Server - Port 443
SIEM Index Server <- SIEM Management Server - Port 8983
Erstellen Sie auf allen VMs einen Swap, sollten Sie diesen bisher nicht haben.
Erstellen Sie eine URL für Ihren SIEM Server z.B.:
ngs-siem.ihre-domain.de
. Für diese muss ein Zertifikat im PEM Format vorliegen. Nutzen Sie ein selbst signiertes Zertifikat beachten Sie bitte diese Anleitung.
Bitte verändern Sie nicht die unten bereitgestellten Docker Konfigurationen, da diese aufeinander abgestimmt sind.
Installation SIEM Management Server
Der SIEM Management Server empfängt die Logs über die API und sendet diese an den SIEM Index Server weiter, wo sie vearbeitet werden.
Hierfür werden folgende Komponenten installiert:
nginx
docker-ce
docker-ce-cli
containerd.io
docker-buildx-plugin
docker-compose-plugin
Enginsight Loggernaut
Docker installieren
Erstellen Sie einen Ordner für Docker und navigieren Sie in diesen
Passen Sie die docker-compose.yml an
Fügen und ergänzen Sie folgende Konfiguration
Die <IPvomSIEMManagementServer> entspricht der internen IP Adresse des SIEM-Management Servers. Diese muss sowohl von dem Management Server, als auch von den anderen SIEM Index Server(n) erreichbar sein.
Legen Sie die Verzeichnisse an, die in der docker-compose definiert sind:
Starten Sie den Docker Container
Prüfen Sie, ob Ihr Docker Container läuft
nginx installieren
Installieren Sie nginx
Erstellen Sie Benutzername und Passwort für die Authentifizierung am SIEM Management Server.
Hierbei werden Benutzername und Passwort automatisch generiert. (BasicAuth)
Sie erhalten folgenden Output:
Speichern Sie den Code ab, da Sie diesen später für die Anpassung des App Servers benötigen.
Passen Sie die nginx Konfiguration an:
Hierfür öffnen Sie die Konfiguration:
und passen diese wie folgt an:
Überprüfen Sie die nginx Konfiguration:
Starten Sie den nginx neu, um die Konfiguration zu übernehmen:
Installation SIEM Index Server
Docker installieren
Erstellen Sie einen Ordner für Docker und navigieren Sie in diesen:
Passen Sie die docker-compose.yml an:
Fügen und ergänzen Sie folgende Konfiguration:
<IPvomSIEMIndexServer> entspricht der IP, des SIEM Index Servers
<IPvomSIEMManagementServer> entspricht der IP des SIEM Management Servers
Bei SOLR_JAVA_MEM muss der RAM für den Container eingestellt werden. Die Empfehlung ist, mindestens immer 1/4 des gesamten RAMs zu vergeben.
Legen Sie Verzeichnisse an und vergeben Sie Rechte, um darauf zuzugreifen:
Die Verwendung des Nutzers 8983 aus dem Docker-Container ist korrekt und bedeutsam. Führen Sie diesen Schritt zwingend durch, um die Installation erfolgreich durchführen zu können.
Starten Sie den Docker Container:
Überprüfen Sie, ob der Port ausschließlich für die interne Adresse offen ist. Hier für können Sie die
net-tools
installieren (sudo apt install net-tools
).
Das Ergebnis sollte wie folgt aussehen:
Achten Sie darauf, dass unter Host die richtige IP Adresse erscheint.
Anpassung APP Server
Passen Sie die Konfiguration des Enginsight APP Servers und den Zugriff an, um mit Ihrem SIEM Management Server zu kommunizieren.
Wechseln Sie in die Konfigurationsdatei:
fügen Sie in die Konfiguration folgenden Abschnitt ein
Füllen Sie "basicAuth" mit Ihren Credentials aus, die Sie im Proxy hinterlegt haben.
Bei der URL tragen Sie die URL des SIEMs Servers ein oder dessen IP Adresse.
numShards sind für das parallele Abarbeiten der Anfragen zuständig. Hier sollten mindestens 2 angegeben werden. Bei größeren Instanzen sollte die hälfte der Kerne hinterlegt werden. Bei einem Server mit 8 Kernen, entsprechend 4. Der replicationFactor ist für die Replication verantwortlich. Die Daten werden auf mehreren Servern verteilt. Der Vorteil ist, dass die anderen Index Server bei einem Ausfall eingreifen können. Jedoch steigt der Verbauch des Speichers. Sie können, wenn gewünscht, die Anzahl Ihrer Index Server für die Replikation eintragen. Alternativ lassen Sie das auf 1.
Die organisation entspricht der Organsisations ID, welche die Verwaltung der SIEM Cluster übernimmt. Wählen Sie dafür eine Organisation (wir empfehlen Ihre "Hauptorga").
Fügen Sie in der Konfiguration unter "api" noch
hinzu. Sodass Ihre Konfiguration wie folgt aussieht:
Wechseln Sie ins Enginsight Verzeichnis und starten Sie die setup.sh
Regulieren Sie den Speicherbedarf der Docker Logs, in dem Sie diese wie folgt auf 100 Mb beschränken:
Folgendes einfügen:
Docker Dienst neustarten:
Stellen Sie einen Access Key für den SIEM Management Server aus.
Loggernaut installieren
Der Loggernaut dient dazu die Logs entgegen zu nehmen und zu verarbeiten
Loggen Sie sich auf Ihrem SIEM Management Server ein
Installieren Sie den Loggernaut wie folgt:
Der Login mittels Username und Passwort erfolgt über Basic Authentification.
Wechseln Sie in die Enginsight Instanz und klicken Sie in den Reiter "SIEM". Die Oberfläche baut eine Verbindung zu den Servern auf, das kann einige Sekunden dauern.
Mögliche Probleme:
Sollte Ihnen die Plattform anzeigen, dass sie keine Verbindung herstellen konnte, prüfen Sie bitte folgende Punkte:
Kann der APP Server den SIEM Management Server erreichen? Testen Sie dies mittels
curl.
Hierbei muss Status Code 200 zurückkommen
Kann der SIEM Server den APP Server erreichen?
Wurden alle Firewall Freigaben aus dem Punkt Vorbereitung gesetzt?
Selbstsignierte Zertifikate:
Sollten Sie für Ihre SIEM URL ein selbstsigniertes Zertifiakt oder eine Windows PKI nutzen, müssen Sie das root Zertifikat zunächst auf dem SIEM Management sowie auf dem App Server trusten. Weiterhin benötigt es eine Anpassung in der docker-compose.yml des App Servers.
Zertifiakt trusten:
Kopieren Sie ihr root Zertifiakt auf dem SIEM Management nach /usr/local/share/ca-certificates/
und updaten Sie den CA Store
sudo cp foo.crt /usr/local/share/ca-certificates/foo.crt
sudo update-ca-certificates
ca.crt bitte durch den Namen Ihres Root Zertifiakts ersetzen.
Wiederholen Sie dies für den App Server
docker-compose.yml anpassen auf dem App Server:
Navigieren Sie in den Ordner /opt/enginsight/enterprise auf dem App Server und öffnen Sie die Datei mittels:
Ergänzen Sie unter enviroment und volumes folgendes:
Der Pfad /etc/nginx/cert.pem:/etc/ssl/cert.pem teilt sich wie folgt auf:
Links: Pfad der Chain auf dem Server Rechts: Pfad im Docker Container
Fügen Sie die ersten Logs hinzu:
Sie werden zu Beginn feststellen, dass das SIEM sich bereits mit Logs füllt. Diese kommen standardmäßig aus dem IDS, IPS, FIM, etc. Die Quellen können Sie unter SIEM -> Data Lake -> ngs.source einsehen.
Logs vom Agent
Um die Logs, wie Syslog (Linux), EventLog (Windows) und Unified Logs (MacOs) zu erhalten, müssen Sie dies zunächst im Policy Manager erlauben. Navigieren Sie hierfür zu Hosts -> Policy Manager und erstellen Sie eine neue Policy namens SIEM.
Bestimmen Sie mittels Tags, welcher Host Logs schicken darf und aktivieren Sie unter Erweiterte Einstellungen "Auswertung von Systemlogs erlauben".
Navigieren Sie nun zurück in den Reiter SIEM. Unter Integrierte Kollektoren finden Sie die einzelnen Betriebssysteme. Hier können Sie oben rechts einen neuen Kollektor hinzufügen.
Vergeben Sie einen Namen für das jeweilige Betriebssystem was geloggt werden soll. Aktivieren Sie das Logging und ordnen Sie es einem Tag zu. Im Anschluss können Sie die Kanäle auswählen, über die die Logs gesammelt werden sollen.
Anbindung von Geräten, ohne Agent (z.B. Firewall)
Sie können an das SIEM auch Geräte anbinden, welche keinen Agent installiert haben. Hierfür definieren Sie einen Agent, welcher die Logs einsammeln soll. Navigieren Sie dafür in das SIEM -> Event Relais.
Wählen Sie einen Namen, mit der Sie eindeutig Ihren Kollektor identifizieren können. Aktivieren Sie erneut das Logging und definieren Sie unter Host einen Client oder Server, welcher die Logs von dem Gerät (z.B.) Firewall entgegen nehmen soll. Wählen Sie zudem das Format aus und entscheiden Sie, über welchen Port und welchem Protokoll die Daten gesendet werden sollen.
Es ist möglich mehrere Kollektoren zu konfigurieren. Das ist vor allem bei mehreren Netzen sinnvoll, um keine neuen Firewall Regeln konfigurieren zu müssen, da pro Netz ein Kollektor genutzt werden kann.
Last updated