收集 Kiteworks (前身為 Accellion) 記錄

支援的國家/地區：

本文說明如何使用 Bindplane，將 Kiteworks (舊稱 Accellion) 記錄檔擷取至 Google Security Operations。剖析器會從 SYSLOG 訊息中擷取 audit_message 欄位，並處理 JSON 格式的訊息 (使用 grok 擷取 textPayload) 和純文字訊息。接著，系統會套用 auditd.include 中定義的一組常見轉換，並為 SYSCALL 類型事件新增特定對應，從而以擷取的資料擴充 UDM 欄位。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 搭載 systemd 的 Windows 2012 SP2 以上版本或 Linux 主機
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Kiteworks (前身為 Accellion) 管理控制台或裝置的特殊存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具備根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    1. 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
    2. 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ACCELLION'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • 視基礎架構需求，替換通訊埠和 IP 位址。
    • 將 <CUSTOMER_ID> 替換為實際的客戶 ID。
    • 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart bindplane-agent

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

    net stop BindPlaneAgent && net start BindPlaneAgent

在 Kiteworks (舊稱 Accellion) 上設定 Syslog 轉送

  1. 以管理員身分登入 Kiteworks 管理控制台。
  2. 使用下列任一方式前往「地點」頁面：
    • 舊版使用者介面：依序前往「系統」>「位置」。
    • 新版使用者介面：依序前往「系統設定」>「位置」。
  3. 從清單中選取目標位置。
  4. 前往「外部服務」部分。
  5. 展開「系統記錄設定」面板。
  6. 按一下「新增」，建立新的系統記錄伺服器設定。
  7. 提供下列設定詳細資料：
    • Syslog 伺服器：輸入 Bindplane 代理程式 IP 位址。
    • 通訊協定：根據實際的 Bindplane 代理程式設定，選取「UDP」或「TCP」。
    • 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號 (例如 514)。
    • 格式：選取「JSON 格式」 (建議用於結構化剖析)。
    • 時區：選取世界標準時間時區，確保系統間的時間一致。
  8. 按一下「儲存」即可套用設定。

UDM 對應表

記錄欄位 UDM 對應 邏輯
acct principal.user.user_display_name 原始記錄檔 msg 欄位中的 acct 值。
acct target.user.user_display_name 原始記錄檔 msg 欄位中的 acct 值。
addr principal.ip 原始記錄檔 msg 欄位中的 addr 值。
a0 security_result.about.labels.value 原始記錄 msg 欄位中的 a0 值，對應的 key 為「a0」。
a1 security_result.about.labels.value 原始記錄 msg 欄位中的 a1 值，其中對應的 key 為「a1」。
a2 security_result.about.labels.value 原始記錄 msg 欄位中的 a2 值，其中對應的 key 為「a2」。
a3 security_result.about.labels.value 原始記錄 msg 欄位中的 a3 值，其中對應的 key 為「a3」。
arch security_result.about.platform_version 原始記錄檔 msg 欄位中的 arch 值。僅適用於 type_name SYSCALL。
auid about.user.userid 原始記錄檔 msg 欄位中的 auid 值。
auid security_result.detection_fields.value 原始記錄 msg 欄位中的 auid 值，其中對應的 key 為「auid」。
comm principal.application 原始記錄檔 msg 欄位中的 comm 值。
cmd principal.process.command_line 原始記錄檔 msg 欄位中的 cmd 值。
cwd security_result.detection_fields.value 原始記錄 msg 欄位中的 cwd 值，其中對應的 key 為「cwd」。
cwd target.process.file.full_path 原始記錄檔 msg 欄位中的 cwd 值。
exe principal.process.file.full_path 原始記錄檔 msg 欄位中的 exe 值。
exe target.process.file.full_path 原始記錄檔 msg 欄位中的 exe 值。
exit security_result.about.labels.value 原始記錄檔 msg 欄位中的 exit 值，對應的 key 為「Exit Code」。
hostname principal.hostname 原始記錄檔 msg 欄位中的 hostname 值。原始記錄的 msg 欄位中硬式編碼的值「zing-h2」。
key security_result.about.registry.registry_key 原始記錄檔 msg 欄位中的 key 值。僅適用於 type_name SYSCALL。
log_type metadata.log_type 原始記錄中的 log_type 值。
msg security_result.action_details 原始記錄的 msg 欄位中，res= 後方的值。
msg security_result.summary 原始記錄的 msg 欄位組合。例如「session_open success」或「setcred success」。從原始記錄的 msg 欄位 audit 區段剖析而來。根據原始記錄中的 type 欄位對應。舉例來說，「USER_START」會對應至「USER_LOGIN」、「CRED_DISP」會對應至「USER_LOGOUT」、「CRED_ACQ」會對應至「USER_LOGIN」、「USER_END」會對應至「USER_LOGOUT」、「CRED_REFR」會對應至「USER_LOGIN」、「USER_CMD」會對應至「USER_LOGIN」、「CWD」會對應至「STATUS_UPDATE」、「PROCTITLE」會對應至「STATUS_UPDATE」、「USER_ACCT」會對應至「USER_UNCATEGORIZED」，而「SYSCALL」會對應至「USER_UNCATEGORIZED」。原始記錄檔 msg 欄位的 type 欄位值。從原始記錄的「msg」欄位「audit」部分擷取。
node principal.hostname 原始記錄檔 msg 欄位中的 node 值。
pid principal.process.pid 原始記錄檔 msg 欄位中的 pid 值。
ppid principal.process.parent_process.pid 原始記錄檔 msg 欄位中的 ppid 值。
proctitle target.process.file.full_path 原始記錄檔 msg 欄位的 proctitle 解碼十六進位值。已硬式編碼為「LINUX」。如果原始記錄的 msg 欄位中含有 res=success，請設為「ALLOW」。
ses network.session_id 原始記錄檔 msg 欄位中的 ses 值。
syscall security_result.about.labels.value 原始記錄 msg 欄位中的 syscall 值，對應的 key 為「Syscall」。
success security_result.summary 與其他欄位合併，形成摘要。如果是 SYSCALL 事件，邏輯如下：如果 success=yes，則為「yes, The System call succeeded」(是，系統呼叫成功)，否則為「no, The System call failed」(否，系統呼叫失敗)。
terminal principal.terminal 原始記錄檔 msg 欄位中的 terminal 值。
timestamp timestamp 原始記錄項目的 timestamp 值。
tty principal.terminal 原始記錄檔 msg 欄位中的 tty 值。
type metadata.product_event_type 原始記錄檔 msg 欄位中的 type 值。
uid about.user.userid 原始記錄檔 msg 欄位中的 uid 值。僅適用於 type_name SYSCALL。
uid target.user.userid 原始記錄檔 msg 欄位中的 uid 值。如果 type 為「USER_ACCT」，請設為「SETTING」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。