איסוף יומנים של Kiteworks (לשעבר Accellion)

גרסת כלי הניתוח: 16.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Kiteworks (לשעבר Accellion) ב-Google Security Operations באמצעות Bindplane.

‫Kiteworks היא פלטפורמה מאובטחת לשיתוף קבצים ולניהול הרשאות גישה, שמספקת תקשורת תוכן ארגונית באימייל, בשיתוף קבצים, בהעברת קבצים מנוהלת ובטפסים באינטרנט. הוא מספק שקיפות, עמידה בדרישות ושליטה בתוכן רגיש שנכנס לארגון ויוצא ממנו.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מכשיר Kiteworks
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישה עם הרשאות למסוף הניהול של Kiteworks (תפקיד אדמין מערכת)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.

3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /status observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/accellion:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: ACCELLION
          raw_log_field: body
  
  service:
      pipelines:
          logs/accellion_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/accellion
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברה של syslog ב-Kiteworks (לשעבר Accellion)

1. נכנסים למסוף הניהול של Kiteworks כאדמינים של המערכת.
2. עוברים לדף מיקומים:
   • ממשק הניהול מדור קודם: עוברים אל מערכת > מיקומים.
   • ממשק משתמש חדש לאדמינים: עוברים אל הגדרת המערכת > מיקומים.
3. בוחרים את מיקום היעד מהרשימה.
4. עוברים לקטע שירותים חיצוניים.
5. מרחיבים את החלונית Syslog Settings (הגדרות Syslog).
6. כדי ליצור הגדרה חדשה של שרת syslog, לוחצים על הוספה.
7. מספקים את פרטי ההגדרה הבאים:
   • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • ‫Protocol (פרוטוקול): בוחרים באפשרות UDP או TCP, בהתאם להגדרות של מקלט סוכן Bindplane.
   • יציאה: מזינים את מספר היציאה של סוכן Bindplane (לדוגמה, 514).
   • שימוש ב-TLS: מסמנים את התיבה הזו אם רוצים להעביר הודעות syslog באמצעות TLS (האפשרות זמינה רק אם בוחרים באפשרות TCP כפרוטוקול).
   • פורמט: בוחרים באפשרות פורמט JSON (מומלץ לניתוח מובנה).

8. לוחצים על שמירה כדי להחיל את ההגדרה.

   הערה: בייצוא של Kiteworks syslog נכללים כל הנתונים והאירועים האדמיניסטרטיביים, כולל העברות קבצים, גישה לקבצים, שגיאות, שינויים בבקרת הגישה, שינויים בהרשאות, צירוף משתמשים או הסרתם, כניסות שנכשלו וכניסות מוצלחות, וכן כשלים בסריקה (AV,‏ ATP,‏ DLP).

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
acct	principal.user.user_display_name	הערך של acct מהשדה msg ביומן הגולמי.
acct	target.user.user_display_name	הערך של acct מהשדה msg ביומן הגולמי.
addr	principal.ip	הערך של addr מהשדה msg ביומן הגולמי.
a0	security_result.about.labels.value	הערך של a0 מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא a0.
a1	security_result.about.labels.value	הערך של a1 מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא a1.
a2	security_result.about.labels.value	הערך של a2 מהשדה msg ביומן הגולמי, שבו הערך התואם של key הוא a2.
a3	security_result.about.labels.value	הערך של a3 מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא a3.
arch	security_result.about.platform_version	הערך של arch מהשדה msg ביומן הגולמי. רלוונטי רק ל-type_name SYSCALL.
auid	about.user.userid	הערך של auid מהשדה msg ביומן הגולמי.
auid	security_result.detection_fields.value	הערך של auid מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא auid.
comm	principal.application	הערך של comm מהשדה msg ביומן הגולמי.
cmd	principal.process.command_line	הערך של cmd מהשדה msg ביומן הגולמי.
cwd	security_result.detection_fields.value	הערך של cwd מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא 'cwd'.
cwd	target.process.file.full_path	הערך של cwd מהשדה msg ביומן הגולמי.
exe	principal.process.file.full_path	הערך של exe מהשדה msg ביומן הגולמי.
exe	target.process.file.full_path	הערך של exe מהשדה msg ביומן הגולמי.
exit	security_result.about.labels.value	הערך של exit מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא Exit Code.
hostname	principal.hostname	הערך של hostname מהשדה msg ביומן הגולמי.
key	security_result.about.registry.registry_key	הערך של key מהשדה msg ביומן הגולמי. רלוונטי רק ל-type_name SYSCALL.
log_type	metadata.log_type	הערך של log_type מהיומן הגולמי.
msg	security_result.action_details	הערך אחרי res= בשדה msg ביומן הגולמי.
msg	security_result.summary	שילוב של שדות מהשדה msg ביומן הגולמי. הניתוח מתבצע בקטע audit של השדה msg ביומן הגולמי. ממופה על סמך השדה type ביומן הגולמי. לדוגמה, USER_START ממופה ל-USER_LOGIN,‏ CRED_DISP ממופה ל-USER_LOGOUT,‏ CRED_ACQ ממופה ל-USER_LOGIN,‏ USER_END ממופה ל-USER_LOGOUT,‏ CRED_REFR ממופה ל-USER_LOGIN,‏ USER_CMD ממופה ל-USER_LOGIN,‏ CWD ממופה ל-STATUS_UPDATE,‏ PROCTITLE ממופה ל-STATUS_UPDATE,‏ USER_ACCT ממופה ל-USER_UNCATEGORIZED ו-SYSCALL ממופה ל-USER_UNCATEGORIZED.
node	principal.hostname	הערך של node מהשדה msg ביומן הגולמי.
pid	principal.process.pid	הערך של pid מהשדה msg ביומן הגולמי.
ppid	principal.process.parent_process.pid	הערך של ppid מהשדה msg ביומן הגולמי.
proctitle	target.process.file.full_path	ערך הקסדצימאלי מפוענח של proctitle מהשדה msg ביומן הגולמי. הקוד הקשיח הוא LINUX. הערך הוא ALLOW אם res=success מופיע בשדה msg ביומן הגולמי.
ses	network.session_id	הערך של ses מהשדה msg ביומן הגולמי.
syscall	security_result.about.labels.value	הערך של syscall מהשדה msg ביומן הגולמי, כאשר הערך התואם של key הוא Syscall.
success	security_result.summary	השדה הזה משולב עם שדות אחרים כדי ליצור את הסיכום. לגבי אירועי SYSCALL, הלוגיקה היא: אם success=yes, אז yes, The System call succeeded, אחרת no, The System call failed.
terminal	principal.terminal	הערך של terminal מהשדה msg ביומן הגולמי.
timestamp	timestamp	הערך של timestamp מתוך רשומת היומן הגולמית.
tty	principal.terminal	הערך של tty מהשדה msg ביומן הגולמי.
type	metadata.product_event_type	הערך של type מהשדה msg ביומן הגולמי.
uid	about.user.userid	הערך של uid מהשדה msg ביומן הגולמי. רלוונטי רק ל-type_name SYSCALL.
uid	target.user.userid	הערך של uid מהשדה msg ביומן הגולמי. הערך הוא SETTING אם type הוא USER_ACCT.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.