Active Countermeasures AC-Hunter 로그 수집

파서 버전: 3.0

다음에서 지원:

이 문서에서는 Bindplane을 사용하여 Active Countermeasures AC-Hunter 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

AC-Hunter는 Active Countermeasures의 네트워크 위협 감지 플랫폼으로, 네트워크 트래픽을 분석하여 명령 및 제어 서버와 통신하는 손상된 시스템을 식별하여 자동화된 위협 헌팅을 실행합니다. AC-Hunter는 Linux 서버의 Docker 컨테이너에서 실행되며 syslog 프로토콜을 통해 SIEM 또는 중앙 집중식 로깅 서버로 위협 알림을 전달할 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Windows Server 2016 이상 또는 systemd가 있는 Linux 호스트
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • 구성 파일을 수정하기 위한 Active Countermeasures AC-Hunter 서버에 대한 권한 있는 액세스 (sudo를 사용하는 SSH)
  • AC-Hunter 버전 5.3.0 이상 (이전 버전에는 syslog 메시지 전송을 차단하는 버그가 포함되어 있음)
  • 선택한 syslog 포트 (UDP 또는 TCP)의 AC-Hunter 서버에서 Bindplane 에이전트 호스트로의 네트워크 경로
  • Docker 컨테이너가 외부 서버로 syslog를 전송할 수 있도록 AC-Hunter 호스트에서 IP 전달 사용 설정

Bindplane 에이전트의 Google SecOps 사용자 인증 정보 가져오기

Bindplane 에이전트를 Google SecOps에 인증하려면 다음 방법 중 하나를 선택하세요.

  • 새 배포: Chronicle API (옵션 1)를 사용합니다.
  • 기존 배포: 2027년 7월 20일에 Ingestion API가 중단될 때까지 데이터 수집 인증 파일 (옵션 2)을 계속 사용합니다.
  1. Google Cloud 콘솔에 로그인하고 Google SecOps 인스턴스에 연결된 Google Cloud 프로젝트를 선택합니다.
  2. IAM 및 관리자 > 서비스 계정 으로 이동합니다.
  3. 서비스 계정 만들기 를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 서비스 계정 이름: 계정 이름을 입력합니다 (예: bindplane-ingest).
    • 서비스 계정 설명: 설명을 입력합니다 (예: Bindplane agent log ingestion).
  5. 만들고 계속하기 를 클릭합니다.
  6. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 역할 선택 을 클릭하고 Chronicle 편집자 를 선택합니다.
  7. 계속을 클릭한 다음 완료를 클릭합니다.
  8. 만든 서비스 계정을 클릭한 다음 키 탭으로 이동합니다.
  9. 키 추가 > 새 키 만들기 를 클릭합니다.
  10. JSON 을 선택하고 만들기 를 클릭합니다. 키 파일이 컴퓨터에 다운로드됩니다.
  11. 키 파일을 Bindplane 수집기 디렉터리(/opt/observiq-otel-collector/ingestion-auth.json(Linux) 또는 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json(Windows))에 ingestion-auth.json으로 저장하거나 config.yaml에서 creds_file_path를 저장하는 경로와 일치하도록 업데이트합니다.
  12. IAM 및 관리자 > 설정 으로 이동하여 프로젝트 번호 를 복사합니다. 내보내기 도구 구성에 필요합니다.

옵션 2: 데이터 수집 인증 파일 다운로드 (기존)

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트 로 이동합니다.
  3. 데이터 수집 인증 파일 을 다운로드합니다.
  4. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필 로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID 를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell 을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

추가 설치 리소스

추가 설치 옵션은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

  • 다음 구성으로 config.yaml의 전체 콘텐츠를 바꿉니다.

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ac_hunter:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: AI_HUNTER
    raw_log_field: body

service:
  pipelines:
    logs/ac_hunter_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/ac_hunter

구성 매개변수

다음 자리표시자를 바꿉니다.

  • 수신 도구 구성:

    • udplog: UDP syslog의 경우 udplog를 사용하고 TCP syslog의 경우 tcplog를 사용합니다. AC-Hunter에 구성된 프로토콜과 일치합니다.
    • 0.0.0.0:514: 리슨할 IP 주소 및 포트입니다. 0.0.0.0을 사용하여 모든 인터페이스에서 리슨합니다.

  • 내보내기 도구 구성:

    • <CUSTOMER_ID>: 이전 단계에서 복사한 Google SecOps 고객 ID입니다.
    • /opt/observiq-otel-collector/ingestion-auth.json: 서비스 계정 JSON 키 파일의 전체 경로 (옵션 1)
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • location: <LOCATION>을 Google SecOps 인스턴스의 리전 (예: us, europe 또는 asia-southeast1)으로 바꿉니다. 내보내기 도구는 이 값으로 chronicle.googleapis.com에 접두사를 추가합니다. 전체 목록은 리전 엔드포인트를 참고하세요.
    • project: <PROJECT_NUMBER>을(를) IAM 및 관리자 > 설정의 프로젝트 번호로 바꿉니다.
    • endpoint: chronicle.googleapis.com으로 설정된 상태로 유지합니다.

기존 Ingestion API 내보내기 도구

  • 옵션 2의 데이터 수집 인증 파일을 사용하는 경우 exporters 블록을 다음으로 바꿉니다. creds_file_path를 데이터 수집 인증 파일의 경로로 설정하고 인스턴스가 미국 외부에 있는 경우 malachiteingestion-pa.googleapis.com을(를) 리전 엔드포인트(예: europe-malachiteingestion-pa.googleapis.com)로 바꿉니다.

    exporters:
  chronicle/ac_hunter:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: AI_HUNTER
    raw_log_field: body

Bindplane 에이전트를 다시 시작하여 변경사항 적용

Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 단계를 따르세요.

  1. 다음 명령어를 실행합니다.

    sudo systemctl restart observiq-otel-collector

  2. 서비스가 실행 중인지 확인합니다.

    sudo systemctl status observiq-otel-collector

  3. 로그에서 오류를 확인합니다.

    sudo journalctl -u observiq-otel-collector -f

Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 안내를 따르세요.

  1. 다음 옵션 중 하나를 선택합니다.

    • 관리자 권한으로 명령 프롬프트 또는 PowerShell:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 서비스 콘솔:
      1. Win+R을 누르고 services.msc를 입력한 후 Enter 키를 누릅니다.
      2. observIQ OpenTelemetry Collector 를 찾습니다.
      3. 마우스 오른쪽 버튼을 클릭하고 다시 시작 을 선택합니다.

  2. 서비스가 실행 중인지 확인합니다.

    sc query observiq-otel-collector

  3. 로그에서 오류를 확인합니다.

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Active Countermeasures AC-Hunter에서 syslog 전달 구성

  1. 권한 있는 액세스 권한으로 SSH를 통해 AC-Hunter 서버 에 로그인합니다.

  2. 기존 구성 파일을 백업합니다.

    sudo cp /etc/AI-Hunter/config.yaml /etc/AI-Hunter/config.yaml.backup

  3. 텍스트 편집기에서 구성 파일을 엽니다.

    sudo nano /etc/AI-Hunter/config.yaml

  4. Alert: 섹션과 중첩된 Syslog: 섹션을 찾습니다. 다음 구성 세부정보를 제공합니다.

    Alert:
    Syslog:
        Threshold: 20
        Protocol: "udp"
        Address: "BINDPLANE_IP:514"
        Tag: " AC-Hunter "
    • Threshold: 알림을 트리거할 최소 위협 점수를 입력합니다 (예: 20). 점수가 이 값 이상인 시스템은 syslog 알림을 생성합니다.
    • 프로토콜: Bindplane 에이전트 수신 도구 구성과 일치하도록 "udp" 또는 "tcp"를 선택합니다. "" (빈 문자열)을 사용하여 rsyslog 전달을 위해 호스트 /dev/log에 씁니다.
    • 주소: Bindplane 에이전트 IP 주소 및 포트 (예: "10.1.2.3:514")를 입력합니다.
    • 태그: 로그 식별을 위한 태그(예: " AC-Hunter ")를 입력합니다(선택 사항). 태그가 메시지 텍스트와 겹치지 않도록 닫는 따옴표 앞에 후행 공백을 포함합니다.

  5. 구성 파일을 저장하고 편집기를 종료합니다.

  6. AC-Hunter를 다시 시작하여 변경사항을 적용합니다.

    hunt up -d --force-recreate

  7. 다음 시간에서 약 20분 정도 기다립니다. AC-Hunter는 센서에서 새 시간별 로그를 가져오고 이 가져오기 주기 동안 구성된 기준점을 초과하는 시스템에 대해 syslog 알림을 전송합니다.

  8. 로컬 syslog 로그 파일을 확인하여 syslog 메시지가 Bindplane 에이전트 호스트에 도착하는지 확인합니다.

    sudo tail -f /var/log/syslog

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
api_msg_label additional.fields 병합됨
prev_score metadata.description 직접 매핑됨
score metadata.description 직접 매핑됨
ts_date metadata.event_timestamp MMM dd HH:mm:ss로 파싱됨
ts_iso8601 metadata.event_timestamp ISO8601로 파싱됨
has_principal metadata.event_type 매핑됨: true → STATUS_UNCATEGORIZED
src_ip principal.asset.ip 병합됨
src_ip principal.ip 병합됨
blacklist_avg_bytes_label principal.labels 병합됨
blacklist_in_label principal.labels 병합됨
blacklist_out_label principal.labels 병합됨
database_label principal.labels 병합됨
dns_txt_query_label principal.labels 병합됨
invalid_cert_label principal.labels 병합됨
max_beacon_label principal.labels 병합됨
max_duration_label principal.labels 병합됨
prev_score_label principal.labels 병합됨
rare_client_label principal.labels 병합됨
score_label principal.labels 병합됨
unexpected_proto_label principal.labels 병합됨
source_module_label principal.resource.attribute.labels 병합됨
domain target.asset.hostname 직접 매핑됨
domain target.hostname 직접 매핑됨
해당 사항 없음 metadata.event_type 상수: STATUS_UNCATEGORIZED
해당 사항 없음 metadata.product_name 상수: AI hunter
해당 사항 없음 metadata.vendor_name 상수: Active Countermeasures

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.