###### tags: `INT`
# INT-9-Омаров_Джамалутин
*Выполнил Омаров Джамалутин*
## Особенности работы инженеров ПТ

Порядок выполнения работы:

Установка `Elasticsearch`
Установка `Kibana` - веб-интерфейс
Установка `Logstash` - конвейер обработки событий `Logstash` состоит из трех этапов: входные -> фильтры -> выходы. Входные данные генерируют события, фильтры изменяют их, а выходные данные отправляют.
В `Kibana` необходимо добавить `Fleet`, чтобы использовать его для централизованного управления.
На `Fleet` мы добавляем интеграцию `Elastic Agent` для добавления мониторинга журналов, метрик и других типов данных на узел.
Установка модуля `Winlogbeat` на Windows+Sysmon. На Win хосте можно изменить конфигурацию (output. ...) и настроить отправку событий на `Elasticsearch`, либо на `Logstash`. Так как будет развернут обработчик событий, необходимо раскомментировать и изменить output.logstash. События будут отправляться на `Logstash`, обрабатываться там, и выходные данные будет получаться на `Elastic Agent` в интерфейсе `Kibana`.
Утилита `mimikatz` - используем ее для дампа хеша паролей. Возникнет событие обращения к `lsass.exe` Ранее настроенная конфигурация `Winlogbeat` подхватит данное событие из `sysmon` и отправит на `Logstash` и тд...
Добавляем дэшборд с группировкой данных событий. Аналогия с `MaxPatrol 10`
Далее группируем события по MSGID и настроим фильтр для удобства.

### Подготовка и настройка.

1. VPN

Elasticsearch - это популярное решение для организации полнотекстового поиска с открытым исходным кодом, на основе библиотеки Apache Lucene.

Установил VPN для успешной установки Elasticsearch.


Установим Java.


2. Установка Elasticsearch.


Служба установлена.


Проверка работоспособности успешна. При установке был сгенерирован пароль от суперпользователя elastic, который я вписал.


3. Kibana.

Для взаимодействиями с индексами Elasticsearch удобно использовать Kibana. Также он откроет нам веб-интерфейс.


Служба запущена.


Сгенерировали токен доступа.


Получен доступ к веб-интерфейсу. Необходимо вставить сгенерированный токен доступа.


Вставим токен доступа, сразу видим адрес и порт сервера.


Далее просят код верификации.


Мы его сгенерируем.


И вставим.


Вводим логин и пароль, указанный ранее. Мы его не меняли, поэтому он остался таким же.


Пропустили настройки, залогинились.


4. Fleet

Необходимо добавить Fleet. Чтобы использовать Fleet для централизованного управления, Fleet Server должен быть запущен и доступен для ваших хостов.


Указали URL-адрес узла, который эластичные агенты будут использовать для подключения к Fleet Server.


Переходим на вкладку `Agent` и следуйте инструкциям в продукте, чтобы добавить сервер Fleet.


5. Elastic Agent

Теперь добавим интерграцию Elastic Agent.
Elastic Agent — это единый унифицированный способ добавления мониторинга журналов, метрик и других типов данных на узел.


Необходимо установить и зарегистрировать Elastic Agent.


Добавим на хост.


6. Logstash

Также установил Logstash.


Много раз переустанавливал elastic, ставил на разные машины linux. Порт 5044 был недоступен. Я думаю возникла проблема с сопоставлением конфигураций. Я разобрался в том, что конфигурировать сервисы может через `.yml` файлы. Но добиться открытия порта 5044 не удалось. Даже после изменения конфигурации с указанием данного порта и рестарта сервисов, порт 5044 не был доступен.


### Windows + Sysmon

`Sysmon` скачиваем на официальной сайте Microsoft. Просто следуем инструкции, далее необходимо подтянуть конфигурацию, которая будет содержать правило на ID 10. `Sysmon` я установил, покажу правило ID 10. Это ProcessAccess.


А вот сам журнал.


Развернул Winlogbeat, нашел файл конфигурации `.yml`


Для нас тут 2 варианта. Либо связать его с elasticsearch по ip, либо с logstash по ip. Порт 5044 не доступен, поэтому есть смысл связывать с elasticsearch.
На данном этапе работы возникли трудности, не получается связать Winlogbeat на Win7 и elasticsearch на Ubuntu. Машины находятся в одной сети, но безуспешно.
Далее я решил поставить все на Win10, результат тот же, видимо ошибся в конфигурировании и окончательно запутался. Дамп хеша паролей не сложная штука, когда у тебя есть необходимые доступы и ты находишься в одной сети. Но отправить события на elasticsearch выполнить не смог.