HTTP. Исследуем useragent

Приветствую тебя, читатель!

Изучая access-лог Apache, я в очередной раз поразился многообразию существующих HTTP useragent. И в голове возникла мысль, интересно кто-нибудь их учитывает или может есть сервис, который позволяет получить по ним дополнительную информацию? Результат развития данной мысли ниже J

Splunk. Data Input's (Dynamic Options)

Приветствую, уважаемый читатель!

Сегодня я продолжу раскрывать тему создания дашбордов в Splunk, а если конкретнее, мы коснёмся раздела Dynamic Options, который присутствует у большинства селекторов (Data Inputs). Поняв принцип его работы, вы сможете очень сильно прокачать свои дашборды.

Splunk. Немного о Dashboard

Приветствую, уважаемый читатель!

Сегодня я расскажу о создании дашбордов в splunk, немного разберемся с токенами и запросами для визуальных элементов. Вообще, тема создания дашбордов и их настройки достаточно большая, и в одном посте всего не расскажешь, но основы заложим.

Начнем с простого, для чего могут быть необходимы дашборды в SIEM? Я выделяю две основные идеи, во-первых, конечно, для наглядной визуализации событий, в которых мы по каким-то критериям производим фильтрацию (объекты сетевой инфраструктуры, типы событий, сенсоры их породившие и т.д.), во-вторых дашборды в splunk хранят конкретные запросы к данным, и у нас нет необходимости постоянно помнить синтаксис кучи запросов.

Очень грубо можно назвать дашборд контейнером для запросов, которому мы средствами XML, CSS, JS, HTML придаём нужный вид. Начнем J

Masscan. Работаем по площадям.

Приветствую тебя, читатель!

Недавно задавался вопросом - "Вот выявил я в процессе мониторинга потенциально опасный IP-адрес или доменное имя, что дальше, с чего начать расследование инцидента?". Первое что можно сделать, это для безопасности заблокировать адрес на межсетевом экране, а дальше попытаться установить принадлежность и функциональность хоста. Любителям посканировать посвящается.

Особенно, когда вы видите что-то подобное :)

Автоматизируем борьбу со спамом

Привет, читатель!

Изучая приложение для Splunk - IPReputation, которое позволяет определить для каждого IP-адреса его репутацию, решил разобраться как оно работает и узнал для себя много интересного. Под репутацией понимается числовая характеристика каждого IP-адреса от 0 до 100, определяющая является ли IP-адрес спамерским. Чем выше число, тем спамер злобнее :)

Кому интересно, результаты ниже.

USB-носители. Часть 2.

В продолжение темы отображения подключенных USB-носителей, сегодня мы дополним числовые идентификаторы устройств человеческим описанием и посмотрим что получилось. Для этого воспользуемся файлом эталонов, которые немного переделаем под свои нужды

USB-носители. Часть 1.

Приветствую тебя, уважаемый читатель!

Тему сегодняшнего поста, я бы хотел посветить отображению подключенных USB-носителей (флешек, внешних хардов, токенов и т.д.). Тема контроля носителей вообще достаточно актуальная, особенно если в организации обрабатывается конфиденциальная информация или есть регламенты ограничивающие свободное использование носителей. Инструментом поиска подключенных носителей у нас будет powershell, а результаты мы упакуем в JSON-структуру и отправим на splunk . Кому интересно - жмём далее.