Доброго времени суток, уважаемые читатели!
В этой статье хочу рассказать о реализации функционала активных списков, или как его называют на-английском — «active lists», в системах OSSIM/USM. Сперва пару слов о том, что же я имею ввиду, говоря «активные списки».
Например, у нас есть приложение А, которое используют пользователи. Это приложение регистрирует в своем журнале событий вход и выход пользователей. Предположим, что нам нужно фиксировать какие пользователи выполнили вход в приложение А в данный конкретный момент (т.е. залогинены в нем) и коррелировать эту информацию с другими данными. К примеру, мы хотим знать выполнил ли вход в приложение А пользователь, логинящийся на сервер Б.
В решении этой задачи помогут «активные списки». В момент появления определенного события (в нашем случае это событие пользовательского входа в А), определенное поле из этого события (имя пользователя) помещается в активный список. Другое событие (в нашем случае это событие выхода пользователя из приложения А) удаляет поле (имя пользователя) из активного списка. Кроме этого, в момент срабатывания определенного правила (в нашем случае правило срабатывает при входе пользователя на сервер Б) происходит проверка наличия имени пользователя, выполняющего вход на Б в активном списке. Вся процедура изображена на рисунке ниже.
Рис.1 – Работа Списка
Ниже я опишу реализацию функционала активных списков (далее — Списков) в OSSIM/USM при помощи скрипта на python, трех корреляционных директив и политик и специально разработанного плагина.
В этой статье я использую функционал Списков для отслеживания подключений пользователей к системам. Однако, в Списки можно помещать любую информацию: имена файлов, IP адреса, номера портов и все-все-все.
- Ход работы
На моем демонстрационном стенде Списки работают следующим образом(рисунок 3):
- Пользователь “root” подключается по ssh на сервер 192.168.2.30;
- Политика “Add to logged users list on BCKP” использующая корреляционную директиву “User logon on BCKP” запускает скрипт active_list_manager.py следующим образом:
в результате работы скрипта создается файл “logins_list” и в него добавляется имя пользователя, переданное в переменной $USERNAME;
- Пользователь(любой) подключается по SSH к серверу 192.168.10.2;
- Политика “Check logged users list on MAIL” использующая корреляционную директиву “User logon on MAIL” запускает скрипт active_list_manager.py следующим образом:
Если имя пользователя было найдено в logins_list скрипт создает syslog сообщение следующего вида:
Sep 6 15:40:25 siem active_list_log: Match |List:logins_list |Value:root
- Файл, в который попадает сообщение, читает созданный в OSSIM плагин “active_list_monitor” в результате чего в графическом интерфейсе OSSIM/USM появляется событие вида:
Рис. 2 – Совпадения со Списком
Можно настроить alert для данного типа сообщений;
- Пользователь, выполнивший вход на 192.168.2.30 (в пункте 1) закрывает сессию с 192.168.2.30;
- Политика “Remove user from logged users list on BCKP” использующая директиву “User logout from BCKP” запускает скрипт active_list_manager.py следующим образом:
в результате работы скрипта $USERNAME удаляется из “logins_list”.
Рис. 3 – Схема лабораторного стенда
- Необходимые ресурсы
Для решения поставленной задачи были созданы следующие объекты:
- Корреляционные директивы (directives):
- “ User logon on BCKP “;
- “ User logon on MAIL ”;
- “ User logout from BCKP ”;
- Политики:
- “ Add to logged users list on BCKP ”;
- “ Check logged users list on MAIL ”;
- “ Remove user from logged users list on BCKP ”;
- Скрипт “active_list_manager.py”;
- плагин “active_list_monitor”.
- Корреляционные директивы
Созданные директивы приведены на рисунке ниже.
User
logon
on
BCKP
”:
EVENT TYPE – 5501 (говорящий о событии успешного входа)
Я поместил объект “backup” в поле “TO”. IP адрес этого объекта — 192.168.2.30.
Таким образом, эта директива срабатывает когда происходит успешный вход пользователя на 192.168.2.30.
Основные параметры директивы “User
logout
from
BCKP
”:
DATA SOURCE – AlienVault HIDS-syslog
EVENT TYPE – 5502 (закрытие сессии)
Для этой директивы я поместил объект “backup” в поле “FROM”.
Директива срабатывает, когда пользователь закрывает сессию с 192.168.2.30.
Основные параметры директивы “User
logon
on
MAIL
”:
DATA SOURCE – AlienVault HIDS-authentication_success
EVENT TYPE – 5501 (успешный вход на сервер)
Я поместил объект “mail” в поле “TO”. Его IP адрес — 192.168.10.2.
Эта директива срабатывает когда пользователь выполняет вход на сервер 192.168.10.2.
Рис. 4 – Корреляционные директивы
- Политики
Политики предназначены для запуска скрипта “active_list_manager.py” с различными параметрами в момент срабатывания соответствующей директивы.
Когда директива, включенная в группу источников (DS group), используемую в политике, срабатывает, выполняется действие, указанное в политике (“policy action”). Это действие выполняет запуск скрипта и передает ему параметры из события.
Настройки, выполненные для каждой из трех политик включают в себя:
- создание новой группы источников (DS group) на основе соответствующей директивы;
- создание действия, выполняемого политикой – «policy action».
Политика “Add to logged users list on BCKP” использует директиву “User logon on BCKP“, включенную в одноименную группу «DS group» и действие “Add user to active list”. Это означает, что в случае срабатывания директивы (пользователь выполнил вход на BCKP) политика запускает соответствующее действие — “Add user to active list”.
Политика “Remove user from logged users list on BCKP” использует директиву “User logout from BCKP “, включенную в одноименную «DS group» и действие “Remove user from active list”. Когда срабатывает директива, (пользователь закрывает сессию с BCKP) выполняется действие “Remove user from active list”.
Политика “Check logged users list on MAIL” использует директиву “User logon on MAIL “ посредством одноименной DS group и действие “Check user in active list”. Когда срабатывает директива, (пользователь выполнил вход на MAIL) выполняется действие “Check user in active list”.
Пример настройки политики приведен на рисунке ниже (для политики “Add to logged users list on BCKP”). Остальные политики настраиваются аналогичным образом, только в них используются другие DS groups и действия – «policy actions».
Рис .5 – Пример политики
4.1 Группы DS Groups
Для создания группы DS (data source) Group перейдите в меню “Configuration” – “Threat intelligence” – “Policy” – “Data source”. Нажмите на кнопку “Add new group” в левом верхнем углу окна. Введите имя группы в соответствующее поле (в этом примере оно совпадает с названием директивы). Нажмите кнопку “ADD BY EVENT TYPE” и введите ключевое слово (часть названия) директивы (я ввел “BCKP”). Нажмите “Search”. В появившейся таблице поставьте галочку рядом с нужным источником и нажмите “Add Selected”. После этого нажмите “Update”. Подробнее на рисунке ниже.
Рис .6 –DS Group
4.2 Действия, выполняемые политиками
Чтобы создать действие, которое будет выполняться политикой перейдите в меню “Configuration” – “Threat intelligence” – “Policy” – “Actions”. Нажмите кнопку “New” и заполните поля, как показано на рисунке ниже. На рисунке изображено создание действия “Add user to active list”. Остальные действия создаются аналогичным образом с использованием параметров перечисленных ниже.
Общие для всех действия параметры: для “Add user to active list”, “Remove user from active list” и “Check user in active list” используйте TYPE – “execute action”. Поля NAME и COMMAND у каждого действия свои уникальные. В поле COMMENT можно написать что угодно.
Для действия “Add user to active list” значение поля COMMAND — “python /usr/share/ossim/scripts/active_list_manager.py add logins_list USERNAME”
Задача этой команды – запуск скрипта с параметрами, которые добавят значение поля USERNAME из события в Список “login_list”.
Для действия “Remove user from active list” значение поля COMMAND — “python /usr/share/ossim/scripts/active_list_manager.py del logins_list USERNAME”
Задача – запуск скрипта с параметрами, удаляющими USERNAME из Списка “login_list”.
Для действия “Check user in active list” значение поля COMMAND — “python /usr/share/ossim/scripts/active_list_manager.py check logins_list USERNAME”
Задача – запуск скрипта с параметрами, проверяющими наличие значения поля USERNAME из события в Списке “login_list”. В случае успеха, скрипт создаст syslog сообщение.
Рис .7 – Действия, выполняемые политиками
- Скрипт “active_list_manager.py”
Данный скрипт предназначен для добавления, удаления и проверки наличия имени пользователя в Списке. Конечно, он применим не только для имен пользователей, но также и для любых данных, которые вы можете включить в Список (IPадреса, имена файлов и хостов и т.д.).
Синтаксис, используемый скриптом следующий:
# active_list_manager.py Использовать его можно, например, вот так: Тем самым мы добавили “mario” в Список “logins_list”. Timestamp hostname active_list_log: Match |List:list_name |Value:Value
Sep 7 15:57:00 siem active_list_log: Match |List:user_list |Value:alex
Файл, в который попадает это сообщение, считывается и парсится плагином агента OSSIM, описанном в следующем разделе.
#!/usr/bin/python
import sys
import os
import syslog
listfile="/usr/share/ossim/scripts/"+sys.argv
if len(sys.argv) <> 4:
print "Quit due to incorrect syntax.\nPlease check syntax:\nactive_list_manager.py (add|del|check) Скрипт следует разместить в /usr/share/ossim/scripts
# active_list_manager.py add logins_list mario
Это создаст файл “logins_list” в рабочей папке скрипта (/usr/share/ossim/scripts) и добавит “mario” в этот файл. Этот плагин читает файл журнала в который пишет сообщения скрипт. Когда найдено соответствие в списке, скрипт передает сообщение rsyslog демону с меткой LOCAL5. Демон rsyslog настроен на запись всех сообщений с меткой LOCAL5 в файл. В данной статье это /var/log/active_list_alerts.log Local5.* -/var/log/active_list_alerts.log
~
После чего перезапустим rsyslog командой /etc/init.d/rsyslog restart Plugin_id=9005
type=detector
enable=yes
source=log
location=/var/log/active_list_alerts.log
create_file=false
process=rsyslogd
start=no
stop=no
startup=/etc/init.d/rsyslog start
shutdown=/etc/init.d/rsyslog stop
Match=1
event_type=event
regexp=(?P Файл следует поместить в /etc/ossim/agent/plugins и назвать, например, active_list_monitor.cfg. Расширение файла обязательно должно быть “cfg”, это важно!
# active_list_monitor.sql
DELETE FROM plugin WHERE id = "9005";
DELETE FROM plugin_sid where plugin_id = "9005";
INSERT IGNORE INTO plugin (id, type, name, description) VALUES (9005, 1, "Active list monitor", "Monitoring plugin for active lists functonality");
INSERT IGNORE INTO plugin_sid (plugin_id, sid, category_id, class_id, name) VALUES (9005, 1, NULL, NULL, "Active list Match detected");
Его можно создать в любом месте файловой системы, однако рекомендуется.sql файлы помещать в /usr/share/doc/ossim-mysql/contrib/plugins/ # ossim-db < active_list_monitor.sql И в завершение всего включите плагин через графический или консольный интерфейс OSSIM. Подключившись по ssh к серверу OSSIM перейдите в меню “Configure sensor” – “Configure Data Source Plugins”. Отметьте в списке новый плагин. Нажмите “OK” – “Back” – “Apply all changes”. После того как сервер перезапустится все должно работать. Результатом проделанной работы является следующее сообщение в интерфейсе OSSIM всякий раз, когда пользователь, подключившийся по ssh к BCKP выполняет подключение по ssh к MAIL. Рис.8
– Пример уведомления Для данного события можно настроить срабатывание Alert’а и, например, отсылку письма-оповещения или чего-то более жестокого. Например, выполнение принудительного отключения пользователя. Привет, друзья! Самый частый вопрос, с которым ко мне обращаются пользователи MyLifeOrganized — Не понимаю, что нужно делать дальше со списком активных действий. И дальше идет дополнение, что этот список: Не буду пытаться вместить все ответы в одну статью — рассмотрю по очереди основные проблемы использования видов активных действий. Обращаю внимание, что причина, в большинстве своем, кроется не в активных действиях. Списки ТоДо — это следствие. Слышали про закон причины и следствия? Так вот причина — это то, что вы напланировали и наназначали всевозможных свойств. А то что показала программа в списке — это отображение хода ваших мыслей и планов. Основная причина прокрастинации — из списка наших задач не понятно что нужно делать. Задачи вроде бы есть. Даже проставили какие-то свойства. И даже чувствуется что список задач «по нашей теме». Но вот что нужно нам с этим делать — не понятно. Те, которые требуют от нас не только действия, но и дополнительных мыслительных потоков. Посмотрите на эти задачи, взятые из стандартного шаблона: В стандартном шаблоне они заявлены как ожидаемые причины, после которых следует конкретное действие. На практике встречается, что в таком виде пользователи пытаются выполнять свои задачи. Правильно! Начинает задавать умные вопросы: Они должны требовать только конкретных действий! Все размышления закончились во время еженедельного обзора или разбора входящих. Должно быть четко понятно — выполнена задача или нет. Мой любимый пример — «Не бывает почти не беременная!» Есть только два варианта — либо да — либо нет. Если это соблюдается — очень легко ставить галочки выполнения задач. Давайте посмотрим еще на задачи из стандартного шаблона МЛО: Задача прописана таким образом, что четко понятно сделана она или нет: Но ведь можно и плохо протереть зеркало. Это выполнено или нет? — найдутся умники, которые зададут такой вопрос. А это уже ваше личное дело! И ответственность за него тоже полностью лежит на вас. Лично я когда протираю зеркала, делаю это сразу так, чтобы отметить задачу как выполнено. Такими элементарными действиями можно половину жизни запустить на автопилот ! Определение следующих конкретных действий — один из основных вопросов разбора входящей информации. От него будет зависеть насколько качественно создадутся списки активных действий и будет ли понятно что нужно делать. На этом сегодня все. Избавляйтесь от прокрастинации и будьте продуктивны! Если возникнут вопросы — пишите в комментариях! Обязательно на них отвечу. Спасибо за чтение этой статьи — я потратил много времени, создавая её для вас. Буду благодарен, если вы дадите свою обратную связь. Без информации от вас этот блог не может быть полным. Так что давайте оставаться на связи! Итак, Вы четко сформулировали свои цели. Теперь начинается самое главное - осуществление действий, направленных на их достижение. В противном случае это уже не цели, а только намерения. Чтобы Вам действительно изменить себя и достичь своих целей, разработайте список активных действий, в котором определите все необходимые задания для достижения цели (см. также «Список активных действий» в разделе «Как правильно организовать свое время?»). Для чего нужен список активных действий?
· Вы можете в любой момент получить представление о поставленных перед Вами задачах. Кроме того, Вы можете с помощью этого инструмента лучше отслеживать и контролировать свою активность. · Ваше планирование становится реальностью и должно преодолеть все напасти, которые приходят к Вам извне. · У каждого сотрудника есть свои ежедневные дела. Поэтому на случай изменений Вы должны зарезервировать дополнительное время в своем ежедневном рабочем процессе. Так Вы будете уверены, что действительно достигнете поставленные цели. · Ваши действия Планирование действий и расстановка приоритетов
Вы отмечаете все необходимые действия, которые связаны с Вашей целью, проверив каждое из них на логическую связь друг с другом, и располагаете их в той последовательности, в которой они затем будут выполняться. Вашим слабым местом может оказаться время, предоставляемое в Ваше распоряжение. Это связано с тем, что помимо Вашего самосовершенствования есть еще и обычная повседневная работа, также требующая выполнения. Поэтому Вы можете заниматься реализацией своих целей только от случая к случаю. Еще одним слабым местом для достижения определенной цели выступают внешние условия, не зависящие от Вас. Они рассчитаны на помощь извне. Чтобы внешние обстоятельства сильно не тормозили реализацию цели, запланируйте необходимое задание, предварительно предусмотрев время для его выполнения. УПРАВЛЕНИЕ ДЕЛОВОЙ КАРЬЕРОЙ И СЛУЖЕБНО-ПРОФЕССИОНАЛЬНЫМ ПРОДВИЖЕНИЕМ ПЕРСОНАЛА
СИТУАЦИЯ
«СОСТАВЛЕНИЕ ЛИЧНОГО ЖИЗНЕННОГО ПЛАНА»
Описание ситуации
Менеджер по персоналу находится на полпути к достижению конечной цели своей карьеры. В организации, где он работает, наметились структурные изменения, которые могут привести к непредвиденным ранее дополнительным перестановкам. Постановка задачи
Менеджеру необходимо дать оценку сложившейся ситуации в организации и взвесить свои возможности и перспективы продвижения по службе. Для этого необходимо составить (если его нет) или уточнить свой личный жизненный план карьеры (рис. 6.1). Методические указания
ЛИЧНЫЙ ЖИЗНЕННЫЙ ПЛАН Оценка жизненной ситуации
1.1. Работа
Имею ли я четкую картину о своей работе и ее целях? Помогает ли моя работа в достижении других жизненных целей? Каковы мои цели развития и продвижения по отношению к работе? Какую работу я хотел бы выполнять через пять лет? Есть ли у меня воодушевление и мотивация? Что является для меня мотиватором сейчас? Через пять лет? Каковы сильные и слабые стороны моей мотивации? К каким мероприятиям я могу прибегнуть, чтобы убедиться, что моя работа будет в ближайшие годы отвечать моим личным потребностям? 1.2. Экономическое состояние
Каково мое экономическое положение? Есть ли у меня личный бюджет - каков он, и придерживаюсь ли я его рамок? Какие меры я могу в случае необходимости применить для улучшения экономического положения? 1.3. Физическое состояние Какова моя общая форма?
На чем основана моя оценка (собственное представление, тесты и т.д.)? Бываю ли я регулярно на осмотрах у врача? 1.4. Социальное состояние - человеческие отношения
Искренне ли я интересуюсь мнением и точкой зрения других? Как я их учитываю? Интересуют ли меня чужие заботы и проблемы? Интересует ли меня другое мнение? Если вы уже присоединились к команде Agel, давайте посмотрим, что поможет достичь больших целей и успеха в Agel. Думаю, что, как и в любом деле, нужны активные действия. В компании Agel есть разработанная система дуплицирования — пошаговый план действий, необходимо использовать эту систему в работе, важно посещать мероприятия компании, регулярно рассказывать о возможностях Agel людям, помогать проводить регулярные мероприятия, работать над личным развитием, поддерживать позитивный настрой — вот основные активные действия. Эти действия можно обобщить в пять шагов, которые помогут Вам развить ваш бизнес в Agel. И давайте рассмотрим их подробнее.
Шаг 1: Станьте Agel
Первый и очень важный шаг — стать продуктом продукта компании, это значит, что вам нравится продукция компании, вы используете всю продукцию, приобретаете ее и всегда имеете с собой. Шаг 2: Постановка целей.
Следующий важный шаг — это постановка целей. Решите, чего Вы хотите добиться в Agel. Хотите ли Вы просто использовать продукцию и зарабатывать на ее приобретение? Или Вы хотите получать несколько тысяч рублей, чтобы оплачивать свои счета? А может Вы хотите построить бизнес, который поможет Вам стать финансово независимым? Для того чтобы достичь своей цели, сначала надо понять, какова Ваша цель.
Затем важно поставить временные рамки для достижения этой цели. Так как компания Agel работает в индустрии здоровья, предлагаю Вам поставить и цели, связанные с Вашим здоровьем. Возможно, Вы хотите похудеть, бросить курить, начать делать зарядку каждый день. Поставьте цель, которая поможет Вам укрепить здоровье. Научите тому же людей их Вашей команды. Запишите цели…
Известно, что цели — это мечты, обрамленные во временные рамки. Когда Вы ставите цели, убедитесь, что они конкретны и реальны. И обязательно запишите их. Обычный человек может достичь финансовой независимости в бизнесе в период от двух до четырех лет. Подумайте, чего Вы хотите прямо сейчас и чего Вы хотите достичь через 2-4 года.
Часто, в повседневной рутине жизни мы забываем о своих целях и мечтах. Подумайте над этим вместе с супругом/супругой, помечтайте. Пробудите свои желания и мечты, пусть они помогут Вам фокусироваться и мотивируют Вас, помогая строить карьеру с Agel.
Продвижение по рангам
Одной из Ваших первых целей должно стать достижение первого ранга Супервайзера как можно быстрее. Для достижения этого ранга Вам необходимо иметь 1000 CV в меньшей ветке. (см
. . Когда Вы достигаете ранга Супервайзера в первый месяц, Вы становитесь хорошим примером для Вашей команды. Ваша активновность заряжает энергией Вашу команду. Это становится целью и для них.
Как пример, можно составить цели по таким разделам:
— Мои цели по укреплению здоровья (перечислить по пунктам)
— Я хочу использовать продукцию Agel, чтобы …. (перечислить по
пунктам) — Я начал бизнес Agel, потому что …. (перечислить по пунктам) — Через 6 месяцев я буду зарабатывать ……… в месяц. Продвижение по рангам. — Я стану Супервайзером: ____________________________ (укажите месяц) — Я стану Менеджером: _____________________________ — Я стану Старшим Менеджером: _____________________ Мои планы на 2-4 года: (изложить по пунктам) Шаг 3: Работайте с ежедневником!
Следующий шаг, тоже очень важен. Ваш рост в Agel зависит от того, чем вы будете заниматься те 10-15 часов в неделю, которые вы выделили для этого бизнеса. Постарайтесь выполнять как можно больше результативных действий, исключайте то, что не дает результата и просто занимает Ваше время. Заведите ежедневник, в котором планируйте звонки лидерам, проведение встреч, презентаций, раздачу презентационных материалов, повторные звонки и встречи. Фокусируйтесь только на том, что действительно укрепит Ваш бизнес. Шаг 4: Приобретите инструменты для бизнеса
Как и в любом другом бизнесе Вам нужны инструменты, которые помогут эффективно работать. Приобретите разработанные компанией Agel бизнес-инструменты для работы — диски, брошюры, флайеры, листовки, журналы. Если Вы будете использовать проверенные инструменты, Вы добьетесь большого успеха с Agel и научитесь дуплицировать. Эти инструменты помогут Вам подробно и грамотно рассказать интересующимся о возможностях Agel. Разработанные компанией Agel инструменты могут облегчить Вашу работу и сделает ее более эффективной. Шаг 5: Начните вести список контактов, в котором всегда будет минимум 100 имен.
Разработка вашего списка контактов — это важнейший шаг на начальном этапе вашего бизнеса. Этот шаг прост — начните записывать имена всех, кого вы знаете. Не принимайте решения за других, думая: «Он и так много получает, его это не заинтересует» или «Она не умеет продавать, она даже не будет меня слушать». Подобная ошибка может стоить Вам десятков и даже сотен потерянных людей в организации. В вашем списке, наверняка, будет пара будущих Бриллиантов, несколько Старших и Корпоративных Директоров, много Менеджеров и Директоров. Но Вы также найдете и тех, кого сейчас не интересуют новые возможности, но захотят просто приобретать продукт, став Привилегированными покупателями. Вы не узнаете, кто есть кто, пока не начнете общаться с ними. Вот почему важно дать возможность всем, даже если у вас есть сомнения. Начните свой список и не делайте самую распространенную ошибку, когда в список вносят пять-шесть человек, которые должны быть заинтересованы и на этом список заканчивается. Это приведет только к разочарованию. Пишите список, люди из этого списка сами решат, кому это интересно. Вот эти пять несложных шагов помогут вам укрепить и развить ваш бизнес, следуйте этим шагам, обратитесь к вашему спонсору помочь сделать эти первые активные шаги.
Если запускать скрипт с ключом “check”, то происходит проверка переданного значения на присутствие в Списке. Если совпадение найдено, то скрипт создает syslog сообщение уровня LOCAL5. Сообщение имеет следующий формат:
Листинг скрипта “active_list_manager.py” ниже:
Можно разместить его и в другой папке, но тогда нужно будет его немного подредактировать. Скрипт можно протестировать из консоли, например, вот так:
Для настройки описанной конфигурации создадим новый файл (назовем его active_list_alerts.conf) в папке /etc/rsyslog.d/. Содержимое файла:
Ниже приведен листинг файла.cfg созданного плагина:
active_list_monitor.cfg
Ниже приведен листинг файла.sql, который добавляет в БД ossim информацию о новом плагине:
Добавим информацию о плагине в БД ossim следующей командой:Непонимание что нужно делать — первая причина ничегонеделания
Какие задачи не будут выполняться
Как работает в этот момент ваш мозг?
Как должны выглядеть ваши задачи в списке следующих конкретных действий
Основное требование к следующим конкретным действиям
Что эти задачи отличает, от первого примера?
Как я решаю этот вопрос на своих тренингах
На что я обращаю внимание:
Загрузка...