Graylog MQTT Projekt

Schulungsprojekt: SIEM, IoT und Industrie 4.0 mit Graylog und Mosquitto

Für ein Schulungsprojekt zu SIEM, IoT und Industrie 4.0 ist Graylog in Kombination mit einem MQTT-Broker wie Mosquitto ideal, da praktische Erfahrungen in der Überwachung und Analyse von IoT-Datenströmen gesammelt werden können. Hier ist ein strukturierter Ansatz, um die Integration sinnvoll aufzubauen und Themen für die Schulung abzudecken:

Schulungsziele und Szenarien

• Überwachung von IoT-Events: Zeigen, wie man Verbindungs- und Authentifizierungsereignisse des MQTT-Brokers überwacht. Diese Logs geben Einblick in die Verbindungssicherheit und das Verhalten der Clients.

• Erkennung von Anomalien: Demonstriere die Identifikation ungewöhnlicher Aktivitäten, wie z.B. hohe Nachrichtenfrequenz, unerwartete Verbindungsversuche oder missbräuchliches Publishing. Hierbei wird gezeigt, wie wichtig die Anomalieerkennung für Industrie 4.0-Systeme ist.

• Reaktions- und Alarmierungsmechanismen: Erstelle in Graylog Regeln und Alarme für verdächtige Aktivitäten, um die Bedeutung proaktiver Sicherheitsüberwachung zu verdeutlichen.

• Datenspeicherung und Analyse: Nutze die Elasticsearch-Integration von Graylog zur Analyse und Darstellung von Daten über Zeitreihen. Das ist besonders relevant, um IoT-Daten langfristig auszuwerten und Trends zu erkennen.

Empfohlene Schritte für das Projekt

Mosquitto einrichten und konfigurieren

• Grundkonfiguration für Mosquitto zur Authentifizierung und zum Loggen der Ereignisse festlegen.

Graylog installieren und anpassen

• Graylog auf dem Server installieren, zusammen mit Elasticsearch und MongoDB, und die Anbindung für MQTT-Logs vorbereiten.

Logdaten senden und visualisieren

• Die Logs von Mosquitto an Graylog weiterleiten, um Verbindungen, Abmeldungen und Fehler detailliert zu erfassen.
• Eine Beispielvisualisierung erstellen, um typische IoT-Events darzustellen.

Alarmierung und Anomalieerkennung in Graylog einrichten

• Alarme für verdächtige oder fehlerhafte Aktivitäten einrichten (z. B. hohe Verbindungsfrequenz).
• Regeln erstellen, die automatisch eine Benachrichtigung auslösen, wenn bestimmte Schwellenwerte überschritten werden.

Graylog für die Erfassung von Mosquitto-Logs konfigurieren

Graylog-Eingang einrichten

• Öffne die Graylog-Weboberfläche unter `http://<DEINE_IP>:9000`.
• Melde dich mit deinem Admin-Benutzer an.
• Gehe zu System > Inputs und wähle Input hinzufügen.
• Wähle als Typ Syslog UDP und klicke auf Launch new input.
• Konfiguriere den Input:

 * Bind address: 0.0.0.0
 * Port: 1514 (oder ein anderer freier Port)
 * Klicke auf Speichern, um den Input zu aktivieren.

Rsyslog installieren

• Führe folgende Befehle aus, um Rsyslog zu installieren und zu aktivieren:

sudo apt update
sudo apt install rsyslog -y
sudo systemctl enable rsyslog --now

Mosquitto-Logs an Graylog senden

• Öffne die Mosquitto-Konfigurationsdatei, z.B. `/etc/mosquitto/conf.d/defaults.conf`.
• Füge folgende Zeilen hinzu, um die Logs an Graylog weiterzuleiten:

log_dest syslog

• Stelle sicher, dass dein System so konfiguriert ist, dass es Syslog-Nachrichten an den Graylog-Server weiterleitet. Füge dazu in der Datei `/etc/rsyslog.conf` (oder `/etc/rsyslog.d/50-default.conf`) folgende Zeile hinzu:

*.* @127.0.0.1:1514;RSYSLOG_SyslogProtocol23Format

• Starte den Rsyslog und Mosquitto Dienst neu:

sudo systemctl restart rsyslog mosquitto

Dashboard-Erstellung

Ein Dashboard hilft dabei, wichtige Metriken auf einen Blick zu sehen.

• Gehe in der Graylog-Weboberfläche zu Dashboards und klicke auf Create new dashboard.
• Gib dem Dashboard einen Namen (z.B. „IoT Monitoring“).

Widgets hinzufügen

• Öffne dein Dashboard und klicke auf Add Widget.
• Wähle einen Histogramm-Widget, um die Anzahl der Ereignisse im Laufe der Zeit darzustellen.
• Setze Filter für spezifische Ereignistypen wie Verbindungen (z.B. „New client connected“) oder Abmeldungen.
• Füge weitere Widgets hinzu, um z.B. Verbindungsfehler, MQTT-Publishing-Nachrichten und Client-IDs anzuzeigen.

Filter und Suchabfragen für spezifische Ereignisse

Suchabfragen helfen, relevante Ereignisse schnell zu identifizieren.

Ereignisse filtern

• Gehe zu Search und gib eine Abfrage ein, um nur bestimmte Log-Typen zu sehen.
• Beispiel: Um alle Verbindungen zu sehen, kannst du Folgendes eingeben:

message:"New client connected"

Suchabfrage speichern

• Speichere diese Abfrage als Stream für schnellen Zugriff.
• Klicke auf Create Stream und nenne ihn z.B. „Verbindungen“.
• Dieser Stream kann nun in Dashboards und für Alarme verwendet werden.

Alarme und Benachrichtigungen konfigurieren

Alarme sind wichtig, um über verdächtige Aktivitäten informiert zu werden.

Neuen Alarm erstellen

• Gehe zu Alerts > Event Definitions und klicke auf Create new event definition.
• Wähle eine Bedingung aus, z.B.:

 * Wenn die Anzahl der Verbindungen pro Minute über einen Schwellenwert steigt.
 * Wenn eine bestimmte Fehlermeldung in den Logs auftaucht.

Benachrichtigung konfigurieren

• Füge eine Benachrichtigung hinzu, z.B. eine E-Mail-Benachrichtigung.
• Lege fest, wann und an wen die Benachrichtigung gesendet werden soll.
• Teste die Benachrichtigung, um sicherzustellen, dass sie funktioniert.

Anomalieerkennung und Tests

Simuliere Anomalien, um die Reaktionsfähigkeit der Alarme zu überprüfen.

Hohe Nachrichtenfrequenz

• Verwende ein MQTT-Client-Tool, um Nachrichten in sehr schnellen Intervallen zu senden.
• Beobachte, ob der Alarm ausgelöst wird.

Schnelle Verbindungen und Trennungen

• Verbinde dich schnell und trenne die Verbindung wiederholt von einem MQTT-Client.
• Prüfe, ob ein Alarm für ungewöhnliche Verbindungsaktivität ausgelöst wird.

Zeitanalyse und Trend-Erkennung

Die Zeitanalyse hilft, langfristige Trends zu identifizieren.

Daten über Zeiträume analysieren

• Wähle in der Graylog-Suche längere Zeiträume aus (z.B. 1 Woche oder 1 Monat).
• Sieh dir Muster in den Logs an, z.B. Spitzenzeiten für Verbindungen oder häufige Fehlermeldungen.

Berichte erstellen

• Verwende Dashboards, um regelmäßige Berichte zu erstellen.
• Nutze die gespeicherten Streams und Widgets, um Entwicklungen über längere Zeiträume zu visualisieren.