【实践】实现GrayLog下产生攻击告警时联动防火墙自动封锁攻击源IP
【实践】实现GrayLog下产生攻击告警时联动防火墙自动封锁攻击源IP
一、需求场景
如下图所示
(图片点击放大查看)
接上一篇文章《GrayLog告警时自动执行脚本实现告警自动化处置》，解决提到的这个需求问题
安全设备例如入侵检测设备的安全日志发送到GrayLog，GrayLog配置了相应的入侵检测告警，需要GrayLog自动调用脚本去登录到防火墙执行攻击IP封锁，加入黑名单的操作，这样实现安全告警自动封锁攻击IP的安全自动化处置，实现初阶版的SOAR
二、实现思路
1、GrayLog上要获取攻击IP字段 2、解决防火墙API调用，实现将某个IP加入到黑名单 编写封锁IP的shell脚本，攻击IP字段作为参数传递给这个脚本 需要研究防火墙厂商的API接口文档 3、GrayLog上配置告警条件，当触发告警阀值时自动调用脚本实现自动封锁 可以的话，将封锁的结果用钉钉告警的方式返回
最终的告警与联动封锁效果如下
(图片点击放大查看)
三、具体实践过程
下面为具体实践的过程，防火墙为深某厂的防火墙设备
1、下面用Linux系统SSH暴力破解的日志获取攻击IP字段进行测试
跟实际用入侵检测设备的安全日志获取攻击IP字段的效果一致
例如当5分钟内密码登录次数超过6次时就认为是暴力破解，如下图所示 ssh_login_failed_ip的值就是需要进行联动封锁，在防火墙进行拉黑的对象
(图片点击放大查看)
(图片点击放大查看)
这时配置告警条件配置如下
(图片点击放大查看)
原文作者：WalkingCloud；如有侵权，请联系管理员删除。
请登录后发表评论
登录
全部评论
最新文章
- GrayLog常见问题收录-FAQ篇
- 使用GraylogDataNode作为内置OpenSearch日志存储的GrayLog6.1.2一键安装脚本
- 开源日志平台GrayLog最新版本6.1.0的一键安装脚本
- GrayLog6.0.X通过yum方式升级到最新版本
- 专业强大好用的SSH终端/SFTP客户端工具-Xshell8+XFTP8免费版
- GrayLog对接DLP并实现数据安全告警单独发送给员工主管
- 国产免费NAS系统-飞牛私有云fnOS安装初体验
- 使用RR(Redpill Recovery)引导安装最新群晖NAS系统DSM7.2.1
- 开源日志平台GrayLog最新稳定版本6.0.5的一键安装脚本
- shell脚本+webhook实现联动一键联动删除异常大小的文件
