Активные действия (5 шагов). Реализация цели с помощью списка активных действий От случая к случаю
Доброго времени суток, уважаемые читатели!
В этой статье хочу рассказать о реализации функционала активных списков, или как его называют на-английском — «active lists», в системах OSSIM/USM. Сперва пару слов о том, что же я имею ввиду, говоря «активные списки».
Например, у нас есть приложение А, которое используют пользователи. Это приложение регистрирует в своем журнале событий вход и выход пользователей. Предположим, что нам нужно фиксировать какие пользователи выполнили вход в приложение А в данный конкретный момент (т.е. залогинены в нем) и коррелировать эту информацию с другими данными. К примеру, мы хотим знать выполнил ли вход в приложение А пользователь, логинящийся на сервер Б.
В решении этой задачи помогут «активные списки». В момент появления определенного события (в нашем случае это событие пользовательского входа в А), определенное поле из этого события (имя пользователя) помещается в активный список. Другое событие (в нашем случае это событие выхода пользователя из приложения А) удаляет поле (имя пользователя) из активного списка. Кроме этого, в момент срабатывания определенного правила (в нашем случае правило срабатывает при входе пользователя на сервер Б) происходит проверка наличия имени пользователя, выполняющего вход на Б в активном списке. Вся процедура изображена на рисунке ниже.
Рис.1 – Работа Списка
Ниже я опишу реализацию функционала активных списков (далее — Списков) в OSSIM/USM при помощи скрипта на python, трех корреляционных директив и политик и специально разработанного плагина.
В этой статье я использую функционал Списков для отслеживания подключений пользователей к системам. Однако, в Списки можно помещать любую информацию: имена файлов, IP адреса, номера портов и все-все-все.
- Ход работы
На моем демонстрационном стенде Списки работают следующим образом(рисунок 3):
- Пользователь “root” подключается по ssh на сервер 192.168.2.30;
- Политика “Add to logged users list on BCKP” использующая корреляционную директиву “User logon on BCKP” запускает скрипт active_list_manager.py следующим образом:
в результате работы скрипта создается файл “logins_list” и в него добавляется имя пользователя, переданное в переменной $USERNAME;
- Пользователь(любой) подключается по SSH к серверу 192.168.10.2;
- Политика “Check logged users list on MAIL” использующая корреляционную директиву “User logon on MAIL” запускает скрипт active_list_manager.py следующим образом:
Если имя пользователя было найдено в logins_list скрипт создает syslog сообщение следующего вида:
Sep 6 15:40:25 siem active_list_log: Match |List:logins_list |Value:root
- Файл, в который попадает сообщение, читает созданный в OSSIM плагин “active_list_monitor” в результате чего в графическом интерфейсе OSSIM/USM появляется событие вида:
Рис. 2 – Совпадения со Списком
Можно настроить alert для данного типа сообщений;
- Пользователь, выполнивший вход на 192.168.2.30 (в пункте 1) закрывает сессию с 192.168.2.30;
- Политика “Remove user from logged users list on BCKP” использующая директиву “User logout from BCKP” запускает скрипт active_list_manager.py следующим образом:
в результате работы скрипта $USERNAME удаляется из “logins_list”.
Рис. 3 – Схема лабораторного стенда
- Необходимые ресурсы
Для решения поставленной задачи были созданы следующие объекты:
- Корреляционные директивы (directives):
- “ User logon on BCKP “;
- “ User logon on MAIL ”;
- “ User logout from BCKP ”;
- Политики:
- “ Add to logged users list on BCKP ”;
- “ Check logged users list on MAIL ”;
- “ Remove user from logged users list on BCKP ”;
- Скрипт “active_list_manager.py”;
- плагин “active_list_monitor”.
- Корреляционные директивы
Созданные директивы приведены на рисунке ниже.
User
logon
on
BCKP
”:
EVENT TYPE – 5501 (говорящий о событии успешного входа)
Я поместил объект “backup” в поле “TO”. IP адрес этого объекта — 192.168.2.30.
Таким образом, эта директива срабатывает когда происходит успешный вход пользователя на 192.168.2.30.
Основные параметры директивы “User
logout
from
BCKP
”:
DATA SOURCE – AlienVault HIDS-syslog
EVENT TYPE – 5502 (закрытие сессии)
Для этой директивы я поместил объект “backup” в поле “FROM”.
Директива срабатывает, когда пользователь закрывает сессию с 192.168.2.30.
Основные параметры директивы “User
logon
on
MAIL
”:
DATA SOURCE – AlienVault HIDS-authentication_success
EVENT TYPE – 5501 (успешный вход на сервер)
Я поместил объект “mail” в поле “TO”. Его IP адрес — 192.168.10.2.
Эта директива срабатывает когда пользователь выполняет вход на сервер 192.168.10.2.
Рис. 4 – Корреляционные директивы
- Политики
Политики предназначены для запуска скрипта “active_list_manager.py” с различными параметрами в момент срабатывания соответствующей директивы.
Когда директива, включенная в группу источников (DS group), используемую в политике, срабатывает, выполняется действие, указанное в политике (“policy action”). Это действие выполняет запуск скрипта и передает ему параметры из события.
Настройки, выполненные для каждой из трех политик включают в себя:
- создание новой группы источников (DS group) на основе соответствующей директивы;
- создание действия, выполняемого политикой – «policy action».
Политика “Add to logged users list on BCKP” использует директиву “User logon on BCKP“, включенную в одноименную группу «DS group» и действие “Add user to active list”. Это означает, что в случае срабатывания директивы (пользователь выполнил вход на BCKP) политика запускает соответствующее действие — “Add user to active list”.
Политика “Remove user from logged users list on BCKP” использует директиву “User logout from BCKP “, включенную в одноименную «DS group» и действие “Remove user from active list”. Когда срабатывает директива, (пользователь закрывает сессию с BCKP) выполняется действие “Remove user from active list”.
Политика “Check logged users list on MAIL” использует директиву “User logon on MAIL “ посредством одноименной DS group и действие “Check user in active list”. Когда срабатывает директива, (пользователь выполнил вход на MAIL) выполняется действие “Check user in active list”.
Пример настройки политики приведен на рисунке ниже (для политики “Add to logged users list on BCKP”). Остальные политики настраиваются аналогичным образом, только в них используются другие DS groups и действия – «policy actions».
Рис .5 – Пример политики
4.1 Группы DS Groups
Для создания группы DS (data source) Group перейдите в меню “Configuration” – “Threat intelligence” – “Policy” – “Data source”. Нажмите на кнопку “Add new group” в левом верхнем углу окна. Введите имя группы в соответствующее поле (в этом примере оно совпадает с названием директивы). Нажмите кнопку “ADD BY EVENT TYPE” и введите ключевое слово (часть названия) директивы (я ввел “BCKP”). Нажмите “Search”. В появившейся таблице поставьте галочку рядом с нужным источником и нажмите “Add Selected”. После этого нажмите “Update”. Подробнее на рисунке ниже.
Рис .6 –DS Group
4.2 Действия, выполняемые политиками
Чтобы создать действие, которое будет выполняться политикой перейдите в меню “Configuration” – “Threat intelligence” – “Policy” – “Actions”. Нажмите кнопку “New” и заполните поля, как показано на рисунке ниже. На рисунке изображено создание действия “Add user to active list”. Остальные действия создаются аналогичным образом с использованием параметров перечисленных ниже.
Общие для всех действия параметры: для “Add user to active list”, “Remove user from active list” и “Check user in active list” используйте TYPE – “execute action”. Поля NAME и COMMAND у каждого действия свои уникальные. В поле COMMENT можно написать что угодно.
Для действия “Add user to active list” значение поля COMMAND — “python /usr/share/ossim/scripts/active_list_manager.py add logins_list USERNAME”
Задача этой команды – запуск скрипта с параметрами, которые добавят значение поля USERNAME из события в Список “login_list”.
Для действия “Remove user from active list” значение поля COMMAND — “python /usr/share/ossim/scripts/active_list_manager.py del logins_list USERNAME”
Задача – запуск скрипта с параметрами, удаляющими USERNAME из Списка “login_list”.
Для действия “Check user in active list” значение поля COMMAND — “python /usr/share/ossim/scripts/active_list_manager.py check logins_list USERNAME”
Задача – запуск скрипта с параметрами, проверяющими наличие значения поля USERNAME из события в Списке “login_list”. В случае успеха, скрипт создаст syslog сообщение.
Рис .7 – Действия, выполняемые политиками
- Скрипт “active_list_manager.py”
Данный скрипт предназначен для добавления, удаления и проверки наличия имени пользователя в Списке. Конечно, он применим не только для имен пользователей, но также и для любых данных, которые вы можете включить в Список (IPадреса, имена файлов и хостов и т.д.).
Синтаксис, используемый скриптом следующий:
# active_list_manager.py Использовать его можно, например, вот так: Тем самым мы добавили “mario” в Список “logins_list”. Timestamp hostname active_list_log: Match |List:list_name |Value:Value
Sep 7 15:57:00 siem active_list_log: Match |List:user_list |Value:alex
Файл, в который попадает это сообщение, считывается и парсится плагином агента OSSIM, описанном в следующем разделе.
#!/usr/bin/python
import sys
import os
import syslog
listfile="/usr/share/ossim/scripts/"+sys.argv
if len(sys.argv) <> 4:
print "Quit due to incorrect syntax.\nPlease check syntax:\nactive_list_manager.py (add|del|check) Скрипт следует разместить в /usr/share/ossim/scripts
# active_list_manager.py add logins_list mario
Это создаст файл “logins_list” в рабочей папке скрипта (/usr/share/ossim/scripts) и добавит “mario” в этот файл. Этот плагин читает файл журнала в который пишет сообщения скрипт. Когда найдено соответствие в списке, скрипт передает сообщение rsyslog демону с меткой LOCAL5. Демон rsyslog настроен на запись всех сообщений с меткой LOCAL5 в файл. В данной статье это /var/log/active_list_alerts.log Local5.* -/var/log/active_list_alerts.log
~
После чего перезапустим rsyslog командой /etc/init.d/rsyslog restart Plugin_id=9005
type=detector
enable=yes
source=log
location=/var/log/active_list_alerts.log
create_file=false
process=rsyslogd
start=no
stop=no
startup=/etc/init.d/rsyslog start
shutdown=/etc/init.d/rsyslog stop
Match=1
event_type=event
regexp=(?P Файл следует поместить в /etc/ossim/agent/plugins и назвать, например, active_list_monitor.cfg. Расширение файла обязательно должно быть “cfg”, это важно!
# active_list_monitor.sql
DELETE FROM plugin WHERE id = "9005";
DELETE FROM plugin_sid where plugin_id = "9005";
INSERT IGNORE INTO plugin (id, type, name, description) VALUES (9005, 1, "Active list monitor", "Monitoring plugin for active lists functonality");
INSERT IGNORE INTO plugin_sid (plugin_id, sid, category_id, class_id, name) VALUES (9005, 1, NULL, NULL, "Active list Match detected");
Его можно создать в любом месте файловой системы, однако рекомендуется.sql файлы помещать в /usr/share/doc/ossim-mysql/contrib/plugins/ # ossim-db < active_list_monitor.sql И в завершение всего включите плагин через графический или консольный интерфейс OSSIM. Подключившись по ssh к серверу OSSIM перейдите в меню “Configure sensor” – “Configure Data Source Plugins”. Отметьте в списке новый плагин. Нажмите “OK” – “Back” – “Apply all changes”. После того как сервер перезапустится все должно работать. Результатом проделанной работы является следующее сообщение в интерфейсе OSSIM всякий раз, когда пользователь, подключившийся по ssh к BCKP выполняет подключение по ssh к MAIL. Рис.8
– Пример уведомления Для данного события можно настроить срабатывание Alert’а и, например, отсылку письма-оповещения или чего-то более жестокого. Например, выполнение принудительного отключения пользователя. УДК 316.612 ББК 88.492 Lizensausgabe des Rudolf Haufe Verlags, Bundesrepublik Deutschland, Freiburg i. Br. 2003 Licensed edition by the Rudolf Haufe Verlag, Federal Republic of Germany, Freiburg, 2003 Лицензионное издание «Издательства Рудольф Хауфе», ФРГ, Фрайбург, 2003 Бишоф, Анита. Б67 Самоменеджмент. Эффективно и рационально / Анита Бишоф, Клаус Бишоф; [пер. с нем. Д. А. Пергамент]. -2-е изд., испр. - М.: Омега-Л, 2006. - 127 с: ил.; табл. - (TASCHEN GUIDE. Просто! Практично!). - Доп. тит. л. нем. - ISBN 5-365-00123-0. 1. Бишоф, Клаус. Агентство CIP РГБ За словом «самоменеджмент» скрывается понятие и умение самоорганизации. Как добиться того, чтобы не делать «ничего лишнего», не совершать поступки «просто так», «зря», просто потому, что «так принято», как действовать осмысленно и целенаправленно, добиваясь максимального раскрытия своих способностей и возможностей и адекватного им высокого результата, - как всего этого достичь? Существуют специальные технологии, основанные на отработанных техниках и стратегиях, позволяющие приблизиться к поставленной цели. О них рассказано подробно и обстоятельно. Книга написана простым, ясным и доступным языком, обильно иллюстрирована примерами. Адресована широкому кругу читателей. все, что Вы должны знать Для всех, у кого мало времени и кто хочет знать суть дела. Для начинающих и профессионалов, которые хотят быстро освежить свои знания. Вы сэкономите время и сможете эффективно применить полученные знания на практике. Все разделы структурированы в соответствии с наиболее важными вопросами и проблемами, встречающимися на практике. Наглядный план содержания позволит Вам быстро и четко ориентироваться в книге. Подробное руководство «шаг за шагом», системы самопроверки и полезные советы будут для Вас необходимыми инструментами в работе. Данные издания могут послужить оперативным и наглядным пособием для трудовых коллективов различных организаций и предприятий. Нас очень интересует Ваше мнение! Присылайте свои отзывы и предложения на электронный адрес: [email protected]. Будем рады Вашим откликам. Предисловие
Каково Ваше место в профессиональной жизни?
Баланс удовлетворения - разочарования
Баланс производительности
Анализ сильных и слабых сторон
Определение и оценка компетентности
Как Вы определяете цели и достигаете их?
Поиск цели
Формулирование цели
Реализация цели с помощью списка активных действий
Знаете ли Вы ход процесса?
Как правильно организовать свое время?
Для чего нужна организация времени?
Принцип Эйзенхауэра: что важно, что срочно?
Рабочий протокол
Сначала
А,
затем В и уж только потом С
Определение и исключение тормозящего фактора Планируйте день с Alpen!
Планирование времени
Список звонивших по телефону Список активных действий Преодоление стресса Как эффективно работать в команде? Готовьтесь к переговорам! Умелое представление и изложение Рецепты от волнения перед выступлением Уверенно держитесь перед публикой Используйте средства визуализации! Каковы Ваши коммуникативные способности? О чем идет речь? Протестируйте свои коммуникативные способности! Анализируйте и устраняйте трудности в общении Организация Вашего рабочего места Позаботьтесь о порядке на рабочем месте Система ведения архива по категориям Заключение Оригиналы для копирования Предисловие Самоменеджмент - ключевая техника, которой владеют немногие, и в этом нет ничего удивительного, потому что ни в школе, ни в университете нас не учат тому, как ставить перед собой профессиональные цели и достигать их, организовывать свою работу, правильно использовать время и эффективно сотрудничать с коллегами или развивать коммуникативные способности. Уже будучи сотрудниками или руководителями различных предприятий, мы осознаем, что неорганизованный стиль работы обходится нам слишком дорого (если учитывать как деньги, так и время и нервы). Эта книга поможет Вам спланировать рабочий день и достичь профессиональных целей. Учитесь организовывать себя, и Вы будете быстро продвигаться вперед по карьерной лестнице! Анита Бишоф, д-р Клаус Бишоф Каково Ваше место в профессиональной жизни? Тот, кто хочет осознанно нести ответственность за свою профессиональную карьеру, должен прежде всего определить, чего он уже достиг. Возможности и шансы достижения успеха должны быть изучены с первого шага на пути к самоменеджменту. Ниже мы представим Вам некоторые испытанные инструменты, с которыми Вам будет проще и быстрее определить свое сегодняшнее положение. Баланс удовлетворения - разочарования.
Баланс производительности.
Анализ сильных и слабых сторон.
Оценка компетентности.
Позднее, когда мы сформулируем Ваши возможные цели и запишем их, эти инструменты необходимо будет пополнить. Предположим, при анализе сильных и слабых сторон Вы определяете, что Вам труднее всего дается работа с коллективом и Вы значительно лучше работаете в одиночку. Но в будущем Вы хотите сотрудничать с определенной фирмой, например, по сборке двигателей. Вам известно, что тогда придется работать вместе с инженерами, поэтому Вы должны, естественно, задаться вопросом: «А смогу ли я работать в коллективе?». Тогда, возможно, Вы сочте- те бы, что будете успешнее совсем в другой области деятельности, которой и стоит отдать предпочтение. Затем спросите себя, не растратите ли Вы впустую свой талант, если в будущем найдете работу без контакта с людьми. Обязательно запишите результаты нижеследующих анализов. Тот, у кого ответы на поставленные вопросыостаютсятольковголове, рискуетполучитьрасплывчатые малоконкретные ответы. Что незаписанонабумаге,непродуманодоконца,чаще всего забываетсяили вдальнейшеминтерпретируетсясовсеминаче, чемпервоначально, Баланс удовлетворения - разочарования Прежде всего необходимо, чтобы Вы правильно оценивали свою действительную профессиональную ситуацию. Речь при этом идет не о фактах, а о Ваших эмоциях, которые Вы определяете письменно в балансе удовлетворения - разочарования. На основе этого баланса Вы сможете узнать, какая работа доставляет Вам удовольствие и выполняется легко, а какая является Вашим слабым местом и вызывает разочарование.
Баланс отражает Вашу реальную ситуацию. Позднее с его помощью Вы сможете легко увидеть то, как изменилось Ваше положение.
Ваши действия 1
Сопоставьте ряд факторов, определите их влияние на Вашу рабочую удовлетворенность или неудовлетворенность. Такими факторами могли бы быть: задания из разных областей знаний, совместная работа с руководством или коллегами, рабочий климат, Ваши отношения с клиентами и поставщиками и т. п.
2
Теперь письменно зафиксируйте в левой стороне баланса то, что Вам приносит радость, а в правой - то, что вызывает неудовольствие.
Баланс удовлетворения - разочарования, разъясняющий негативные и позитивные эмоции ЕслиВы неможете сразу ответить, когда Вы были довольны, а когда рассержены, поразмышляет» над тем,какиезаданияВыпостояннооткладываетевдолгий ящик, а какие делаете быстро? Выполняя какую работу, Вы спокойны или, наоборот, раздражены? Скакими коллегами, руководителями и клиентами Вы предпочитаете иметь дело, а каких избегаете? Баланс производительности Знаете ли Вы, что сделали, например, за последний год? Ваш персональный баланс проделанной работы даст ответ на то, в каких областях Вы были успешны, и наоборот. Он поможет узнать Вашу производительность и определить, в каком направлении дальше работать. Привет, друзья! Самый частый вопрос, с которым ко мне обращаются пользователи MyLifeOrganized — Не понимаю, что нужно делать дальше со списком активных действий. И дальше идет дополнение, что этот список: Не буду пытаться вместить все ответы в одну статью — рассмотрю по очереди основные проблемы использования видов активных действий. Обращаю внимание, что причина, в большинстве своем, кроется не в активных действиях. Списки ТоДо — это следствие. Слышали про закон причины и следствия? Так вот причина — это то, что вы напланировали и наназначали всевозможных свойств. А то что показала программа в списке — это отображение хода ваших мыслей и планов. Основная причина прокрастинации — из списка наших задач не понятно что нужно делать. Задачи вроде бы есть. Даже проставили какие-то свойства. И даже чувствуется что список задач «по нашей теме». Но вот что нужно нам с этим делать — не понятно. Те, которые требуют от нас не только действия, но и дополнительных мыслительных потоков. Посмотрите на эти задачи, взятые из стандартного шаблона: В стандартном шаблоне они заявлены как ожидаемые причины, после которых следует конкретное действие. На практике встречается, что в таком виде пользователи пытаются выполнять свои задачи. Правильно! Начинает задавать умные вопросы: Они должны требовать только конкретных действий! Все размышления закончились во время еженедельного обзора или разбора входящих. Должно быть четко понятно — выполнена задача или нет. Мой любимый пример — «Не бывает почти не беременная!» Есть только два варианта — либо да — либо нет. Если это соблюдается — очень легко ставить галочки выполнения задач. Давайте посмотрим еще на задачи из стандартного шаблона МЛО: Задача прописана таким образом, что четко понятно сделана она или нет: Но ведь можно и плохо протереть зеркало. Это выполнено или нет? — найдутся умники, которые зададут такой вопрос. А это уже ваше личное дело! И ответственность за него тоже полностью лежит на вас. Лично я когда протираю зеркала, делаю это сразу так, чтобы отметить задачу как выполнено. Такими элементарными действиями можно половину жизни запустить на автопилот ! Определение следующих конкретных действий — один из основных вопросов разбора входящей информации. От него будет зависеть насколько качественно создадутся списки активных действий и будет ли понятно что нужно делать. На этом сегодня все. Избавляйтесь от прокрастинации и будьте продуктивны! Если возникнут вопросы — пишите в комментариях! Обязательно на них отвечу. Спасибо за чтение этой статьи — я потратил много времени, создавая её для вас. Буду благодарен, если вы дадите свою обратную связь. Без информации от вас этот блог не может быть полным. Так что давайте оставаться на связи!
Если запускать скрипт с ключом “check”, то происходит проверка переданного значения на присутствие в Списке. Если совпадение найдено, то скрипт создает syslog сообщение уровня LOCAL5. Сообщение имеет следующий формат:
Листинг скрипта “active_list_manager.py” ниже:
Можно разместить его и в другой папке, но тогда нужно будет его немного подредактировать. Скрипт можно протестировать из консоли, например, вот так:
Для настройки описанной конфигурации создадим новый файл (назовем его active_list_alerts.conf) в папке /etc/rsyslog.d/. Содержимое файла:
Ниже приведен листинг файла.cfg созданного плагина:
active_list_monitor.cfg
Ниже приведен листинг файла.sql, который добавляет в БД ossim информацию о новом плагине:
Добавим информацию о плагине в БД ossim следующей командой:
Непонимание что нужно делать — первая причина ничегонеделания
Какие задачи не будут выполняться
Как работает в этот момент ваш мозг?
Как должны выглядеть ваши задачи в списке следующих конкретных действий
Основное требование к следующим конкретным действиям
Что эти задачи отличает, от первого примера?
Как я решаю этот вопрос на своих тренингах
На что я обращаю внимание:
