‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של AIDE (Advanced Intrusion Detection Environment)

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של AIDE ‏ (Advanced Intrusion Detection Environment) ב-Google Security Operations באמצעות Bindplane. ‫AIDE הוא כלי לניטור תקינות קבצים שמזהה שינויים בקבצים במערכות Linux/Unix.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps
מארח Linux עם systemd שפועל ב-AIDE בגרסה 0.18 ומעלה (לתמיכה בפורמט JSON)
אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישת אדמין לקובצי ההגדרות של AIDE

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Linux לפי ההוראות הבאות.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

ניגשים לקובץ התצורה:
- מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux.
- פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano או vi).

עורכים את הקובץ config.yaml באופן הבא:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AIDE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
מחליפים את <CUSTOMER_ID> במזהה הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ האימות בשלב 1.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```

הגדרת העברה של Syslog ב-AIDE

פותחים את קובץ ההגדרות של AIDE:
```
sudo vi /etc/aide/aide.conf
```
עוברים לקטע הדיווח.
מוסיפים את ההגדרה הבאה:
- ‫report_level: מזינים list_entries.
- ‫report_format: מזינים json (ל-AIDE 0.18 ואילך) או plain.
- ‫report_url: מזינים syslog:authpriv.
הגדרה לדוגמה:
```
```ini
report_level=list_entries
report_format=json
report_url=syslog:authpriv
```
```
שומרים את ההגדרה.
מגדירים את rsyslog להעברת יומני AIDE לסוכן Bindplane. פותחים את ההגדרה של rsyslog:
```
sudo vi /etc/rsyslog.d/aide-forward.conf
```
מוסיפים את ההגדרה הבאה כדי להעביר את יומני המתקנים של authpriv לסוכן Bindplane:
```
authpriv.* @<BINDPLANE_AGENT_IP>:514
```
- מחליפים את <BINDPLANE_AGENT_IP> בכתובת ה-IP של המארח של סוכן Bindplane.
- משתמשים ב-@ להעברת UDP או ב-@@ להעברת TCP.
מפעילים מחדש את rsyslog:
```
sudo systemctl restart rsyslog
```
אם זו התקנה חדשה, מאתחלים את מסד הנתונים של AIDE:
```
sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
```
בודקים את ההגדרה:
```
sudo aide --check
```
הגדרת בדיקות אוטומטיות באמצעות cron:
```
sudo crontab -e
```
מוסיפים את השורה הבאה כדי להריץ את AIDE מדי יום בשעה 04:05:
```
05 4 * * * root /usr/sbin/aide --check
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`added_label`	`principal.asset.attribute.labels`	ממוזג
`changed_label`	`principal.asset.attribute.labels`	ממוזג
`old_acl_label`	`principal.asset.attribute.labels`	ממוזג
`old_md5_label`	`principal.asset.attribute.labels`	ממוזג
`old_perms_label`	`principal.asset.attribute.labels`	ממוזג
`old_sha256_label`	`principal.asset.attribute.labels`	ממוזג
`old_ts_label`	`principal.asset.attribute.labels`	ממוזג
`removed_label`	`principal.asset.attribute.labels`	ממוזג
`total_label`	`principal.asset.attribute.labels`	ממוזג
`file_path`	`principal.file.full_path`	מיפוי ישיר
`path`	`principal.file.full_path`	מיפוי ישיר
`old_size`	`principal.file.size`	מיפוי ישיר
`host`	`principal.hostname`	מיפוי ישיר
`sr`	`security_result`	ממוזג
`new_acl_label`	`target.asset.attribute.labels`	ממוזג
`new_md5_label`	`target.asset.attribute.labels`	ממוזג
`new_perms_label`	`target.asset.attribute.labels`	ממוזג
`new_sha256_label`	`target.asset.attribute.labels`	ממוזג
`new_ts_label`	`target.asset.attribute.labels`	ממוזג
`path`	`target.file.full_path`	מיפוי ישיר
`new_size`	`target.file.size`	מיפוי ישיר
לא רלוונטי	`metadata.event_type`	קבוע: `GENERIC_EVENT`
לא רלוונטי	`metadata.product_name`	קבוע: `AIDE`
לא רלוונטי	`metadata.vendor_name`	קבוע: `AIDE`
לא רלוונטי	`principal.application`	קבוע: `aide`
לא רלוונטי	`principal.file.size`	קבוע: `sizedata`
לא רלוונטי	`target.file.size`	קבוע: `sizedata_target`
`total_files", "added_files", "removed_files", "changed_files", "old_timestamp", "old_perms", "old_sha256", "old_md5", and "old_acl`	`principal.asset.attribute.labels`	מופה מיומן השינויים
`new_timestamp", "new_perms", "new_sha256", "new_md5", and "new_acl`	`target.asset.attribute.labels`	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.