Análisis de registros de eventos de seguridad

La solución a este ejercicio requiere la instalación de Apache Spark y Rumble.

• Lea las instrucciones para instalar Rumble: Instalación de Spark.
• Descargue Apache Spark.
• Descargue Rumble (como  spark-rumble-1.0.jar).

1. Descargue Apache Spark con un navegador que se ejecute dentro de la máquina virtual. Según las instrucciones, mueva el archivo descargado a /usr/local/bin; para ello, ejecute el siguiente comando.

   tar zxvf spark-2.4.4-bin-hadoop2.7.tgz sudo mv spark-2.4.4-bin-hadoop2.7 /usr/local/bin

2. Agregue Apache Spark a su variable de entorno PATH ejecutando el siguiente comando.

   export SPARK_HOME=/usr/local/bin/spark-2.4.4-bin-hadoop2.7 export PATH=$SPARK_HOME/bin:$PATH

3. Ejecute el siguiente comando para verificar los pasos.

   cd $SPARK_HOME/bin spark-submit –version cd $HOME spark-submit –version

4. Use un navegador que se ejecute dentro de la máquina virtual para descargar Rumble.
5. Cree un directorio desde donde se ejecuta Rumble (por ejemplo, $HOME/pega8/rumble).
6. Mueva el archivo spark-rumble-1.0.jar descargado al directorio que creó.

Definir Rule-Utility-Functions en Rule-Utility-Library con el nombre Security

Security • LogCustomEventValueGroup() Void

• Parámetros: eventType String, outcome String, message String, customFlds ClipboardProperty
• Descripción: customFlds debe ser un valor Text ValueGroup. Llame a esta función cuando desee registrar un evento de seguridad personalizado.

Security • NumericTimestamp() String

• Parámetros: unit String, valores permitidos = "h", "m", "s"
• Descripción: devuelve la marca de tiempo actual en unidades de horas, minutos o segundos como una cadena.

Anular el punto de extensión FSG-Booking-Work OpenDefaults

Habilitar el registro de eventos de seguridad personalizados y geolocalización

El navegador Chrome no admite solicitudes de geolocalización a menos que el servidor esté protegido. Chrome permite solicitudes de geolocalización dentro de una máquina virtual Linux si su dirección IP está asignada al nombre localhost.

Ejemplo:

1. Ingrese la dirección IP ifconfig como la primera entrada para localhost.
2. Pruebe ejecutando ping localhost.
   
   La regla de decisión pyGeolocationTrackingIsEnabled debe devolver un valor true.
   
   La regla de decisión que se aplica a Data-Portal muestra la siguiente ventana emergente después de iniciar sesión.

3. Haga clic en Allow Location Access (Permitir acceso a la ubicación).
4. Verifique el conjunto de pxLatitude y pxLongitude dentro de la página pxRequestor en su Portapapeles.
5. Tip: Para mejores resultados, use Firefox como navegador.
6. Haga clic en Security > Tools > Security > Security Event Configuration (Seguridad > Herramientas > Seguridad > Configuración de eventos de seguridad) para iniciar la landing page Security Event Configuration.
7. En la parte inferior de la landing page, haga clic en ON para habilitar eventos personalizados.
8. Haga clic en Submit (Enviar).
   
9. Abra un caso de evento para su revisión y marque pyWorkPage en el Portapapeles o Trace OpenDefaults para ver los valores del grupo de valores de texto customFlds, como se muestra en la siguiente imagen.
   
10. Haga clic en System > Operations > Logs (Sistema > Operaciones > Registros).
11. A la derecha de SECURITYEVENT, haga clic en el enlace Text , haga clic en Log Files.
12. Si se le solicita, ingrese el nombre de usuario admin y la contraseña admin.
13. Abra el archivo SecurityEvent.log para ver si se han registrado los valores de customFlds.

Quitar comillas alrededor de valores numéricos (necesario para el formato JSON)

Use estos pasos para eliminar las comillas situadas alrededor de los valores numéricos (haga clic aquí para ver la fuente).

1. Copie y pegue el texto que desea que examine la expresión regular.
2. Reemplace cada valor numérico con (-?[0-9]*\.[0-9]*) si el valor puede ser negativo, o ([0-9]*\.[0-9]*) si el valor no puede ser negativo.
3. Use \1, \2, etc., para especificar qué valor analizado va dónde.

Reemplace las líneas nuevas dentro de un archivo completo, no una línea cada vez

Si existen nuevas líneas en un archivo leído por un script Unix, cada línea se procesa individualmente. Debe tratar todo el archivo como una sola cadena grande y luego reemplazar las nuevas líneas dentro de esa cadena (haga clic aquí para ver la fuente).

La salida del comando newline-removing sed se canaliza nuevamente a sed, esta vez para reemplazar: }{ with: }{

Tenga un archivo, test2.jq, que actúe como el inicio de la consulta, incluido el corchete izquierdo de la matriz JSON: let $log := [

Tenga un segundo archivo, restof_test1.jq, que contenga el final de la consulta JSONiq que comienza en el corchete derecho de la matriz JSON.

1. El script inicializa un nuevo archivo de consulta usando > test2.jq.
2. Luego, se generan los comandos sed consecutivos usando >> test2.jq
3. A continuación, se agrega restof_test1.jq usando >> test2.jq.

Lo que resta es la consulta JSONiq (restof_test1.jq). La distancia entre dos coordenadas se calcula en millas (3958,8 es el radio de la Tierra en millas) y luego se divide por la diferencia de tiempo entre las dos entradas del archivo de registro. La marca de tiempo se calcula como horas desde el 1-1-1970 GMT.

La condición de filtro garantiza que los pares de filas solo se examinarán cuando:

1. El valor de eventType es Open Work (consulte la anulación de FSG-Booking-Work OpenDefaults arriba).
2. Los valores de operatorID dentro de los dos registros son idénticos.
3. Las latitudes en ambas filas son > 20 (se usa para garantizar que ambas filas contengan coordenadas de geolocalización. Cualquier comparación puede ser suficiente).
4. La marca de tiempo en la segunda fila está en el futuro de la marca de tiempo en la primera fila (esto evita el cálculo redundante cuando la velocidad termina siendo negativa).

Enviar la consulta JSONiq a Apache Spark en lugar de ejecutar comandos usando el modo shell

Idealmente, hay una manera más fácil de enviar el contenido del archivo de consulta a Apache Spark y Rumble que abriendo el archivo, seleccionando todo, copiando y pegando en la línea de comando de Rumble (haga clic aquí para obtener el origen).

1. En lugar de: --shell yes
2. Use: --query-path file.jq --output-path results.out
3. En un directorio donde exista el .jar de Rumble en un sistema donde esté instalado Apache Spark, ejecute el siguiente comando:

El ejemplo test2.out se puede interpretar como:

Dos eventos de seguridad que se registraron uno tras otro. Para haber recorrido la distancia de 31,6 millas (50,9 km) dentro del tiempo entre el momento en que se registraron esos dos eventos de seguridad, se requiere que alguien haya viajado a una velocidad de 2634 millas por hora (4329 km/h).