Práctica: Detectar un ataque de fuerza bruta con Elastic Security

Lo que vas a aprender en este TP

• Producir eventos ECS
• Escribir una regla de umbral
• Escribir una regla EQL
• Clasificar e investigar

Introducción #

Lo que vas a aprender en esta sección

• Producir eventos ECS
• Escribir una regla de umbral
• Escribir una regla EQL
• Clasificar e investigar

Contexto. Un servidor expuesto sufre intentos de conexión. Escribes las reglas que detectan la ráfaga de fallos y la conexión exitosa que la sigue.

Requisitos: el laboratorio start-local de la práctica anterior, jq  ·  Duración estimada: 40 min

Licencia: esta práctica también funciona con la licencia Basic gratuita: incluye reglas de umbral y EQL, alertas, timelines y cases. Solo las reglas de tipo machine learning y las notificaciones hacia herramientas externas (Slack, Jira…) requieren una suscripción o la prueba.

Puesta en práctica #

Pasos guiados, con su corrección.

1. 1. Eventos de autenticación

   ¿Por qué? Las reglas de Elastic Security se basan en ECS: event.category, event.outcome, source.ip, user.name.

2. 2. Una regla de umbral

   Crea una regla que alerte a partir de 10 fallos desde una misma dirección IP.

3. 3. Una regla EQL

   ¿Por qué? Una ráfaga de fallos seguida de un éxito para la misma cuenta es mucho más grave que una ráfaga sola: la secuencia EQL lo expresa directamente.

4. 4. Las alertas

   Espera un minuto y lista las alertas generadas.

5. 5. Clasificar e investigar

   En Security › Alerts, abre la alerta crítica, examina la secuencia en una timeline, añádela a un case y pasa la alerta a «Acknowledged».

Nivel de dificultad : ●●●○○ (3/5)