Меню
Наши новости
Учебник CSS

Невозможно отучить людей изучать самые ненужные предметы.

Введение в CSS
Преимущества стилей
Добавления стилей
Типы носителей
Базовый синтаксис
Значения стилевых свойств
Селекторы тегов
Классы
CSS3

Надо знать обо всем понемножку, но все о немногом.

Идентификаторы
Контекстные селекторы
Соседние селекторы
Дочерние селекторы
Селекторы атрибутов
Универсальный селектор
Псевдоклассы
Псевдоэлементы

Кто умеет, тот делает. Кто не умеет, тот учит. Кто не умеет учить - становится деканом. (Т. Мартин)

Группирование
Наследование
Каскадирование
Валидация
Идентификаторы и классы
Написание эффективного кода

Самоучитель CSS

Вёрстка
Изображения
Текст
Цвет
Линии и рамки
Углы
Списки
Ссылки
Дизайны сайтов
Формы
Таблицы
CSS3
HTML5

Новости

Блог для вебмастеров
Новости мира Интернет
Сайтостроение
Ремонт и советы
Все новости

Справочник CSS

Справочник от А до Я
HTML, CSS, JavaScript

Афоризмы

Афоризмы о учёбе
Статьи об афоризмах
Все Афоризмы

Видео Уроки


Видео уроки
Популярные статьи
Наш опрос



РЕКЛАМА


ВАША РЕКЛАМА
30-09-2021, 00:00
Цифровой детектив. Используем Timesketch для работы с таймлайнами Plaso - «Новости»
Рейтинг:
Категория: Новости

«Тай­млайн все­го. Исполь­зуем Plaso для сбо­ра сис­темных событий», где мы извле­кали из обра­за ата­кован­ного компь­юте­ра все события и объ­екты, име­ющие хоть какую‑то вре­мен­ную мет­ку, и очер­тили при­мер­ную схе­му поис­ка инте­ресу­ющих нас событий.

Про­дук­тивнее и веселее решать задачи кол­лектив­но — для форен­зики это тоже впол­не спра­вед­ливо. Поэто­му homo forensicus воору­жены инс­тру­мен­тами кол­лектив­ной работы, и один из них — это Timesketch.


Это опен­сор­сный про­ект, пред­назна­чен­ный для сов­мес­тно­го ана­лиза тай­млай­нов событий. Внут­ри у него раз­меща­ется мощ­ный вось­мицилин­дро­вый elasticsearch (по ходу статьи буду исполь­зовать сок­ращение ES), что (при пра­виль­ной кон­фигура­ции) ведет к авто­мати­чес­кому нас­ледова­нию про­ектом всех его основных фишек: мас­шта­биру­емость, отка­зоус­той­чивость и высокую ско­рость при поис­ке сре­ди сотен мил­лионов событий вку­пе с повышен­ным рас­ходом ресур­сов тво­его ком­па.


 

Установка


Ус­тановить ты можешь как ре­лиз­ный вари­ант, так и dev-вер­сию. Во вто­ром слу­чае появит­ся воз­можность вно­сить свои прав­ки в код, а так­же накаты­вать самые све­жие ком­миты. Но если нар­вешь­ся на све­жие баги — пеняй на себя и не забывай репор­тить их.


Мы пос­тавим релиз­ную вер­сию на вир­туал­ку с Ubuntu 20.04 и прик­рутим свер­ху Kibana.



info


Ког­да име­ешь дело с про­екта­ми, пос­тро­енны­ми на ES, никог­да не лиш­ним будет добавить Kibana. Так мож­но всег­да без проб­лем разоб­рать­ся с про­исхо­дящи­ми внут­ри базы про­цес­сами и отло­вить неш­татные ситу­ации.



Пе­репе­чаты­вать коман­ды из офи­циаль­ной инс­трук­ции нет смыс­ла, поэто­му будем счи­тать, что уста­нов­ка завер­шилась успешно. Про­верить это мож­но вот такой коман­дой:


Ес­ли все сде­лано пра­виль­но, вывод дол­жен быть при­мер­но сле­дующим.


Те­перь выведем из докер‑кон­тей­нера порт с ES наружу — для того, что­бы до него мог­ла дос­тучать­ся Kibana.


В раз­дел elasticsearch добавим раз­дел ports с ука­зани­ем проб­расыва­емо­го пор­та.


Цифровой детектив. Используем Timesketch для работы с таймлайнами Plaso - «Новости»


warning


Эта кон­фигура­ция под­ходит толь­ко для сво­ей собс­твен­ной тес­товой вер­сии ES, к которой нет дос­тупа ни у кого пос­торон­него. ES не име­ет встро­енных механиз­мов авто­риза­ции, и любой жела­ющий при таком рас­кла­де зап­росто может получить дос­туп ко всей базе. Если тебе понадо­бит­ся ана­логич­ное решение в про­дак­шене, исполь­зуй надс­трой­ку X-Pack.



Ос­талось прик­рутить сюда Kibana. В нашем слу­чае из скри­на выше видим, что в про­екте исполь­зует­ся elasticsearch-oss:7.10.2, соот­ветс­твен­но, и Kibana дол­жна быть той же вер­сии. Ска­чива­ем и ста­вим kibana-oss:


$ tar -xzfkibana-oss-7.10.2-linux-x86_64.tar.gz
$ cd kibana-7.10.2-linux-x86_64

Под­пра­вим кон­фиг, что­бы до интерфей­са «Кибаны» мож­но было дос­тучать­ся:


Для это­го рас­коммен­тиру­ем параметр server.host и ука­жем IP-адрес вир­туал­ки. Стар­туем Kibana и смот­рим, что все успешно завелось.


Ос­талось соз­дать поль­зовате­лей — и мож­но логинить­ся в сис­тему.


 

Использование


Соз­дадим новый скетч (кноп­ка New investigation) и заль­ем в него дан­ные, которые мы сге­нери­рова­ли в прош­лый раз (кноп­ка Upload timeline). Я соз­дал два скет­ча и залил дан­ные в каж­дый. Пос­ле неп­родол­житель­ного ожи­дания заг­лянем в Kibana, и в раз­деле dev tools выпол­ним коман­ду:


GET /_cat/indicies?v

Как видим, для каж­дого скет­ча в ES соз­дает­ся отдель­ный индекс, в который попада­ют события из каж­дого заг­ружен­ного фай­ла Plaso, т. е. один и тот же файл Plaso при заг­рузке его в раз­ные скет­чи будет обра­баты­вать­ся пов­торно.


Пос­мотрим, как дан­ные мап­пятся, что­бы понимать, как потом эффектив­но с ними работать


GET /9024dbca65494d1da2dc4758b169f1d9/_mapping

Все тек­сто­вые дан­ные мап­пятся по сле­дующей схе­ме:


{
"type":"text",
"fields":{
"keyword":{
"type":"keyword",
"ignore_above":256
}
}
}

Ес­ли ты нем­ного зна­ком с ES, то в кур­се, что перед тобой динами­чес­кий мап­пинг. Такая схе­ма исполь­зует­ся, потому что раз­работ­чикам было лень замора­чивать­ся Timesketch может гру­зить абсо­лют­но любые пос­ледова­тель­нос­ти событий из раз­личных источни­ков, и пре­дус­мотреть уни­вер­саль­ную схе­му мап­пинга с чет­ким наз­вани­ем всех полей не так‑то и прос­то. Зато такая схе­ма поз­воля­ет осу­щест­влять как пол­нотек­сто­вый поиск, так и агре­гиро­вать и сор­тировать дан­ные по каж­дому полю в индексе, что несом­ненно дает мно­го пре­иму­ществ, если ты уме­ешь этим поль­зовать­ся (и пле­вать на исчезно­вение сво­бод­ных гигабай­тов на тво­ем жес­тком дис­ке).


Да­вай перехо­дить к осмотру паци­ента. Пос­мотрим, какие инс­тру­мен­ты у нас для это­го есть.


 

Explore


Эта вклад­ка — основной инс­тру­мент для поис­ка событий в тай­млай­не, в том чис­ле с при­мене­нием филь­тров и гра­фиков. У тебя так­же есть воз­можность добав­лять ком­мента­рии к инте­ресу­ющим событи­ям, соз­давать помет­ки и сох­ранять view для их даль­нейше­го исполь­зования в Stories.



info


Пос­коль­ку каж­дый скетч — отдель­ный индекс в ES, мож­но не боять­ся пов­редить в ходе работы чужие ком­мента­рии или помет­ки в дру­гом скет­че. Это край­не важ­но в мно­гополь­зователь­ских forensic-сис­темах. Имен­но поэто­му в дан­ном про­екте при­меня­ется не самая логич­ная с виду сис­тема хра­нения дан­ных (с пов­торной заг­рузкой и дуб­лирова­нием хра­нимых дан­ных).



Да­вай не будем пока что копать­ся в отдель­ных событи­ях, а поп­робу­ем визу­аль­но оце­нить наш скетч. Для это­го перед­винем пол­зунок chart в положе­ние «вкл» под стро­кой с зап­росом и пос­мотрим на пос­тро­енную диаг­рамму событий.


Са­мый высокий стол­бик озна­чает, что в сис­теме в этот момент про­изош­ло край­не мно­го событий, что зачас­тую сви­детель­ству­ет о чем‑то любопыт­ном с точ­ки зре­ния форен­зики. Давай наж­мем на него — в резуль­тате авто­мати­чес­ки при­менит­ся вре­мен­ной филь­тр и мож­но будет деталь­нее пос­мотреть на про­исхо­дящие в этот момент про­цес­сы.


Лю­бопыт­но! Мы бук­валь­но в два кли­ка сумели обна­ружить события из прош­лой статьи. Напом­ню: они сви­детель­ству­ют о том, что наш про­тив­ник с исполь­зовани­ем авто­мати­чес­кого инс­тру­мен­та обхо­дил содер­жимое дис­ка в поис­ках инте­рес­ных вещей.


Да­вай сох­раним этот зап­рос, нажав кноп­ку Save this search, и поп­робу­ем понять, нашел ли зло­умыш­ленник то, что искал.


Теги: CSS

Просмотров: 70
Комментариев: 0:   30-09-2021, 00:00
Уважаемый посетитель, Вы зашли на сайт как незарегистрированный пользователь. Мы рекомендуем Вам зарегистрироваться либо войти на сайт под своим именем.

 
Еще новости по теме:



Другие новости по теме:
Комментарии для сайта Cackle