Tietoturvapoikkeamien havainnointi ElastAlert-työkalulla

Abstract

Tietoturvahyökkäyksien taloudellisia ja muita negatiivisia vaikutuksia on mahdollista minimoida sen aikaisella havaitsemisella. Traditionaalisten tietoturvajärjestelmien ja kontrollien pettäessä tietoturvapoikkeaman havainnointi on ainoa keino estää hyökkääjää saavuttamasta tavoitteitaan. Hyökkääjien käyttämien toimintatapojen ja teknologioiden kehittyessä on tärkeää, että tietojärjestelmien puolustajat eivät jää kehityksessä jälkeen.

Opinnäytetyön tarkoituksena oli tutkia ElastAlert-työkalun käyttöä tietoturvapoikkeamien havainnointiin. Opinnäytetyössä tarkasteltiin ElastAlertin toimintaa Elasticsearch-tietokannan sekä muiden Elastic Stackin komponenttien kanssa.

Työssä testattiin ElastAlertin eri toiminnallisuuksia, sekä käsiteltiin ElastAlertista havaittuja puutteita ja mahdollisia ei-haluttuja ominaisuuksia. ElastAlertin eri toiminnalisuuksista ja ominaisuuksista sai työn avulla kattavan kuvan. Työssä luotiin ElastAlertin toiminnan testaamista varten testiympäristö. Työssä testattiin myös password spray -hyökkäyksen havainnoimista Windows-toimialueella. Kootun tiedon avulla ElastAlertin käyttöönottoa harkitseva organisaatio pystyi tekemään päätöksen siitä, että onko ElastAlert heille sopiva työkalu.

The financial and other negative effects caused by cyberattacks be minimized by their early detection. When traditional security appliances and controls fail, detecting the incident is the only solution to stop the attackers from reaching their goals. In a time when the methods and technologies used by attackers are constantly evolving, it is important that the defenders of IT-infrastructure come up with up-to-date counter measures.

The objective of the thesis was to review the usage of ElastAlert for detecting and monitoring cybersecurity incidents. In the thesis, the means in which ElastAlert interacts with an Elasticsearch database and the other components of the Elastic Stack are examined.

Different functionalities of ElastAlert were tested in the thesis and the detected shortcomings and possibly unwanted properties of ElastAlert were considered. The thesis provided a comprehensive picture of the different functionalities and properties of ElastAlert. A testing environment was created in the thesis. Detection of a password spraying attack against a Windows domain was also tested. With the information combined in the thesis, an organization which was considering using ElastAlert was able to decide whether ElastAlert was a suitable tool for their needs.