איסוף יומנים של Absolute Secure Endpoint

גרסת כלי הניתוח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Absolute Secure Endpoint (לשעבר Absolute Data & Device Security) ב-Google Security Operations באמצעות סוכן Bindplane. הכלי לניתוח מחלץ שדות מיומני המחברים של SIEM בפורמט SYSLOG + או KV ‏ (CEF). הוא משתמש בתבניות grok כדי לזהות ולחלץ שדות, ואז משתמש בלוגיקה מותנית שמבוססת על נוכחות של נתוני kv_pair או cef כדי למפות את השדות שחולצו לסכימת ה-UDM. מיפויים והמרות ספציפיים מוחלים בהתאם לשדות שזוהו ולערכים שלהם, ומטפלים גם בנתוני פעימות לב של סטטוס וגם בנתוני אירועי אבטחה.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • מארח Windows 2016 ואילך או Linux עם systemd להרצת סוכן Bindplane
  • ‫Windows Server (גרסה 2012 ואילך) לאירוח של שירות Absolute SIEM Connector
  • ‫Microsoft .NET Framework 4.0 ואילך מותקן ב-Windows Server שמארח את SIEM Connector
  • גישה עם הרשאות למסוף Absolute Secure Endpoint עם שילוב SIEM מופעל
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.
  1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
  2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
  3. לוחצים על יצירת חשבון שירות.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.
  12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו להגדרת כלי הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agent (הגדרות SIEM > סוכן איסוף).
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

  1. כדי לגשת לקובץ התצורה:

    • פותחים את הקובץ config.yaml: /opt/observiq-otel-collector/config.yaml ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\config.yaml ב-Windows.
    • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

  2. עורכים את הקובץ config.yaml באופן הבא:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    endpoint: chronicle.googleapis.com
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    # Replace with your actual customer ID
    customer_id: '<CUSTOMER_ID>'
    # Adjust the path to the service account key file you saved in Option 1
    creds_file_path: '/path/to/secops-key.json'
    compression: gzip
    log_type: 'ABSOLUTE'
    raw_log_field: body
    # Add optional ingestion labels for better organization
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
    • מחליפים את <LOCATION> באזור של מכונת Google SecOps. הערך הזה מתווסף כקידומת ל-chronicle.googleapis.com בקובץ המיוצא.
    • מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
    • מחליפים את <CUSTOMER_ID> במזהה הלקוח בפועל.
    • מעדכנים את /path/to/secops-key.json לנתיב הקובץ שבו נשמר המפתח של חשבון השירות.

כלי לייצוא נתונים מ-Legacy ingestion API

  • אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא.

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the ingestion authentication file you downloaded in Option 2
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'ABSOLUTE'
    raw_log_field: body
    ingestion_labels:

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים

  1. כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

    net stop observiq-otel-collector && net start observiq-otel-collector

התקנת Absolute SIEM Connector ב-Windows Server

‫Absolute SIEM Connector הוא שירות Windows שמחלץ נתוני אירועים של התראות מ-Absolute Monitoring Center ומעביר אותם דרך syslog בפורמט CEF. המחבר SIEM מגיע כקובץ MSI להתקנה, והוא זמין להורדה בחינם ללקוחות Absolute Data & Device Security (DDS) Professional ו-Premium ממרכז הלקוחות של Absolute.

  1. נכנסים ל-Absolute Secure Endpoint Console בכתובת https://cc.absolute.com/.
  2. עוברים לקטע מרכז הלקוחות או הורדות.
  3. מורידים את קובץ ה-MSI של תוכנת ההתקנה של Absolute SIEM Connector.
  4. מעבירים את קובץ ההתקנה ל-Windows Server.
  5. מריצים את קובץ ההתקנה ב-Windows Server כאדמין.
  6. פועלים לפי ההוראות באשף ההתקנה כדי להשלים את ההתקנה.
  7. שימו לב לספריית ההתקנה (בדרך כלל C:\Program Files\Absolute Software\Absolute SIEM Connector).

הפעלת שילוב SIEM במסוף Absolute Secure Endpoint

כדי שמחבר SIEM יוכל לאחזר אירועים, צריך להפעיל את שילוב SIEM ב-Absolute Secure Endpoint Console.

  1. נכנסים ל-Absolute Secure Endpoint Console בכתובת https://cc.absolute.com/.
  2. עוברים לקטע הגדרות או ניהול.
  3. עוברים להגדרות של SIEM Integration.
  4. לוחצים על הפעלת שילוב SIEM או מעבירים את ההגדרה של שילוב SIEM למצב מופעל.
  5. בוחרים את סוגי האירועים שרוצים להעביר ל-SIEM.
    • אפשר גם לבחור באפשרות כל סוגי האירועים כדי להעביר את כל היומנים הזמינים.
  6. לוחצים על שמירה או על החלה של ההגדרה.

הגדרת המחבר Absolute SIEM

אחרי שמתקינים את SIEM Connector ומפעילים את השילוב של SIEM במסוף, צריך להגדיר את המחבר לשליחת אירועים לסוכן Bindplane באופן הבא:

  1. ב-Windows Server שבו מותקן Absolute SIEM Connector, פותחים את Absolute SIEM Connector Configuration Tool.
    • אפשר למצוא את המידע הזה בתפריט התחלה בקטע Absolute Software או בספריית ההתקנה.
  2. מספקים את פרטי ההגדרה הבאים:
    • מארח שרת Syslog: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • יציאת שרת Syslog: מזינים 514 (או את היציאה שהוגדרה ב-Bindplane).
    • פרוטוקול: בוחרים באפשרות UDP או TCP בהתאם להגדרות של Bindplane.
    • פורמט: מוודאים שהפורמט CEF (Common Event Format) נבחר.
    • מרווח עדכון: הגדרת התדירות שבה המחבר מאחזר אירועים מ-Absolute. המינימום הוא 2 דקות, והמקסימום הוא 1,440 דקות או 24 שעות. ברירת המחדל היא 60 דקות.
    • אזור זמן: האירועים מועברים באזור הזמן UTC כדי לשמור על עקביות אוניברסלית בין המערכות.
  3. לוחצים על Save.
  4. מפעילים או מפעילים מחדש את השירות Absolute SIEM Connector:
    • פותחים את Services (services.msc).
    • בוחרים בשירות Absolute SIEM Connector.
    • לוחצים על התחלה או על הפעלה מחדש.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
pid about.process.pid מיפוי ישיר
hostname intermediary.hostname מיפוי ישיר
dvc_ip intermediary.ip ממוזג
Alert Time metadata.event_timestamp ניתוח הכתובות שברשימה: RFC3339
date metadata.event_timestamp ניתוח הכתובות שברשימה: yyyy-MM-dd HH:mm:ss UTC
event_type metadata.event_type מיפוי ישיר
eventType metadata.product_event_type מיפוי ישיר
event_class metadata.product_event_type מיפוי ישיר
device_version metadata.product_version מיפוי ישיר
Serial Number principal.asset.asset_id מיפוי ישיר
Computer Name principal.hostname מיפוי ישיר
actorName principal.hostname מיפוי ישיר
objectName principal.hostname מיפוי ישיר
objectID principal.resource.product_object_id מיפוי ישיר
objectType principal.resource.resource_type מיפוי ישיר
roles principal.user.attribute.roles ממוזג
actorID principal.user.product_object_id מיפוי ישיר
actorName principal.user.userid מיפוי ישיר
Condition security_result.description מיפוי ישיר
esn_label security_result.detection_fields ממוזג
kv_pair security_result.detection_fields מיפוי: ESN → esn_label
verb security_result.summary מיפוי ישיר
Alert ID security_result.threat_id מיפוי ישיר
Alert Name security_result.threat_name מיפוי ישיר
field_ target.resource.attribute.labels ממוזג
לא רלוונטי metadata.event_type קבוע: GENERIC_EVENT
לא רלוונטי metadata.product_name קבוע: ABSOLUTE_PLATFORM
לא רלוונטי metadata.vendor_name קבוע: ABSOLUTE

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.