📘 راهنمای آموزشی هفته دوم

Event Types، Tags، Macros و Lookup Files

در هفته اول با عادی‌سازی داده‌ها و آماده‌سازی لاگ‌های FortiGate آشنا شدیم. این هفته به ابزارهای طبقه‌بندی، غنی‌سازی و خودکارسازی تحلیل می‌پردازیم که به تحلیلگران امنیتی کمک می‌کنند داده‌ها را سریع‌تر تفسیر کنند، الگوهای تکراری را ذخیره کنند و اطلاعات تکمیلی مانند لیست تهدیدات را به لاگ‌ها اضافه نمایند.

۱. Event Types (انواع رویداد)

تعریف: Event Type یک جستجوی ذخیره‌شده با نام مشخص است که رویدادهای دارای یک الگوی خاص را دسته‌بندی می‌کند. پس از تعریف، می‌توان با استفاده از عبارت eventtype=نام در جستجو، به‌سرعت به آن مجموعه از رویدادها دست یافت.

کاربرد در امنیت: مثلاً تعریف Event Type برای «تلاش‌های ناموفق ورود» یا «ترافیک مشکوک به پورت‌های غیرعادی». به‌جای نوشتن کوئری طولانی، تحلیلگر فقط eventtype=brute_force_attempts را می‌نویسد.

مسیر ساخت در Splunk Web: Settings → Event types → New Event Type

۲. Tags (برچسب‌ها)

تعریف: Tag یک برچسب کلید-مقدار است که می‌تواند به فیلدها، مقادیر فیلد یا Event Type ها اختصاص یابد. به کمک Tag ها می‌توان چندین فیلد یا رویداد را تحت یک نام معنایی گروه‌بندی کرد.

ساختار: معمولاً به‌صورت tag::نام‌برچسب در جستجو استفاده می‌شود. مثلاً tag::suspicious تمام رویدادهایی را نشان می‌دهد که با این Tag برچسب خورده‌اند.

کاربرد: برچسب‌گذاری IPهای مشکوک، کشورهای پرخطر، یا Event Type های مهم. این کار باعث یکپارچگی و سادگی جستجوها می‌شود.

۳. Macros (ماکروها)

تعریف: Macro یک قطعه کد SPL قابل استفاده مجدد است که می‌تواند ورودی (آرگومان) دریافت کند و در کوئری‌ها با علامت backtick فراخوانی شود: `macro_name(arg)`.

کاربرد: کاهش تکرار، استانداردسازی کوئری‌ها و ساده‌سازی نگهداری. مثلاً یک Macro به نام brute_force_srcip(threshold) می‌تواند آستانه تعداد تلاش ناموفق را بگیرد و IPهای مشکوک را برگرداند.

مسیر ساخت: Settings → Advanced search → Search macros → New Macro

۴. Lookup Files (فایل‌های جستجو)

تعریف: Lookup ها امکان غنی‌سازی نتایج جستجو با داده‌های خارجی را فراهم می‌کنند. رایج‌ترین نوع، CSV Lookup است که یک فایل CSV را با فیلدهای موجود در رویدادها تطبیق می‌دهد و فیلدهای جدیدی به نتایج اضافه می‌کند.

انواع:

• Lookup Table File: فایل CSV ذخیره‌شده در Splunk.
• Lookup Definition: تعریف یک نام برای آن فایل و مشخص کردن فیلدهای کلیدی.
• Automatic Lookup: اجرای خودکار Lookup هنگام جستجو روی یک sourcetype.

کاربرد امنیتی: اضافه کردن سطح تهدید (threat_level)، کشور یا مالکیت IP به هر رویداد. مثلاً اگر فایل malicious_ips.csv شامل IPهای مخرب باشد، با Lookup می‌توانیم در هر جستجو بلافاصله IPهای مخرب را علامت‌گذاری کنیم.

🎯 سه چالش ارزیابی

index=firewall sourcetype=fortigate action=timeout

[brute_force_srcip(threshold)]
search index=firewall sourcetype=fortigate action=timeout
| stats count by srcip
| where count >= $threshold$

index=firewall sourcetype=fortigate
| lookup malicious_ips ip AS srcip OUTPUT threat_level
| ____________________