איסוף יומנים של רשימת ההיתרים של Airlock Digital Application

גרסת המנתח: 1.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של רשימת ההיתרים של Airlock Digital Application באמצעות סוכן Bindplane.

‫Airlock Digital היא פלטפורמה להוספת אפליקציות לרשימת ההיתרים ולבקרת הפעלה, שאוכפת מודל אבטחה של דחייה כברירת מחדל בנקודות קצה, כדי לוודא שרק אפליקציות, סקריפטים ותהליכים מהימנים מורשים לפעול. הפלטפורמה מספקת בקרת מדיניות מפורטת ברמת הקובץ, הנתיב, בעל התוכן הדיגיטלי והתהליך הראשי, וגם נתיבי ביקורת מקיפים לניהול תאימות ואיומים. ‫Airlock Digital יוצרת יומנים של אירועי הפעלה, הפעלות חסומות, שינויים במדיניות ופעולות ניהוליות, שאפשר להעביר לפתרונות SIEM באמצעות syslog,‏ CEF,‏ JSON או HTTP(S).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת Airlock Digital
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • שרת Airlock Digital (מקומי או בענן) עם הרשאת אדמין
  • ‫Airlock Digital בגרסה 4.7 ואילך (לתמיכה ברישום ביומן חיצוני של syslog)

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים מספר לקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/airlock_digital:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: AIRLOCK_DIGITAL
    raw_log_field: body

service:
  pipelines:
    logs/airlock_digital:
      receivers:
        - tcplog
      exporters:
        - chronicle/airlock_digital

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫tcplog: סוג המקלט לפי הפרוטוקול:
      • ‫udplog ל-UDP syslog
      • ‫tcplog ל-syslog של TCP
      • ‫syslog ל-syslog של RFC 3164/5424
    • ‫0.0.0.0: כתובת ה-IP להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • כתובת IP ספציפית להאזנה בממשק אחד
    • ‫514: מספר היציאה להאזנה (לדוגמה, 514,‏ 1514,‏ 6514)

  • הגדרת הייצוא:

    • ‫<customer_id>: מספר הלקוח מהשלב הקודם
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
    • משנים את creds_file_path לנתיב של קובץ מפתח ה-JSON של חשבון השירות (אפשרות 1), בהתאם לפלטפורמה:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/airlock_digital:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: AIRLOCK_DIGITAL
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת רישום ביומן חיצוני ב-Airlock Digital

מגדירים את Airlock Digital Server כך שיעביר יומנים באמצעות syslog לסוכן Bindplane. ‫Airlock Digital תומך בכמה פורמטים של רישום ביומן חיצוני, כולל Generic Syslog,‏ CEF,‏ JSON,‏ HTTP(S) ו-GELF.

  1. נכנסים למסוף השרת של Airlock Digital באמצעות חשבון אדמין.
  2. עוברים אל System > External Logging.
  3. לוחצים על Add כדי ליצור הגדרת רישום ביומן חיצונית חדשה.

  4. בתפריט הנפתח Logging Type, בוחרים באפשרות Generic Syslog.

  5. ממלאים את פרטי ההגדרה הבאים:

    • כתובת השרת: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane (לדוגמה, 192.168.1.100)
    • יציאה: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane)
    • Protocol: בוחרים באפשרות TCP

  6. בקטע Log Categories, בוחרים את סוגי האירועים שרוצים להעביר:

    • אירועי הפעלה (הפעלות חסומות ומותרות)
    • שינויים במדיניות
    • פעולות ניהוליות
    • אירועים של הסוכן
    • פעילות בשרת

  7. לוחצים על שמירה כדי להחיל את הגדרת הרישום ביומן החיצוני.

  8. כדי לוודא שהיומנים מועברים, בודקים את יומן הפעילות של סוכן Bindplane או את הסטטוס External Logging (רישום ביומן חיצוני) במסוף Airlock Digital Server.

מידע נוסף על שילובי SIEM של Airlock Digital זמין בדף השילוב של Airlock Digital SIEM.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
event_type extensions.auth.type מופה: ServerActivityMessage ← SSO
product_event_type extensions.auth.type מופה: (?i)Login ← SSO
task extensions.auth.type מופה: Login ← AUTHTYPE_UNSPECIFIED, Logout ← AUTHTYPE_UNSPECIFIED
intermediary_hostname intermediary.hostname מיפוי ישיר
description metadata.description מיפוי ישיר
metadata_description metadata.description מיפוי ישיר
event_timestamp metadata.event_timestamp נותח בתור yyyy-MM-dd HH:mm:ss.SSS
ingestion_time metadata.event_timestamp נותח בתור RFC 3339
event_type metadata.event_type מיפוי: FileActivityMessage ← STATUS_UPDATE, ServerActivityMessage ← USER_LOGIN, `Se...
has_principal metadata.event_type מופה: true ← FILE_UNCATEGORIZED
product_event_type metadata.event_type מופה: (?i)Login ← USER_LOGIN
task metadata.event_type מופה: Login ← USER_LOGIN, Logout ← USER_LOGOUT
event_type metadata.product_event_type מיפוי ישיר
product_event_type metadata.product_event_type מיפוי ישיר
checkpoint metadata.product_log_id מיפוי ישיר
browser network.http.user_agent מיפוי ישיר
netdomain principal.administrative_domain מיפוי ישיר
asset_category principal.asset.category מיפוי ישיר
hostname principal.asset.hostname מיפוי ישיר
srcip principal.asset.ip ממוזג
software principal.asset.software ממוזג
hostname principal.hostname מיפוי ישיר
principal_hostname principal.hostname מיפוי ישיר
srcip principal.ip ממוזג
process_file_path principal.process.file.full_path מיפוי ישיר
file_md5 principal.process.file.md5 מיפוי ישיר
process_file_name principal.process.file.names ממוזג
file_sha256 principal.process.file.sha256 מיפוי ישיר
parent_process_file principal.process.parent_process.file.full_path מיפוי ישיר
principal_user_userid principal.user.userid מיפוי ישיר
description security_result.action מופה: Invalid login attempt ← security_result_action
metadata_description security_result.action מופה: logged in success ← security_result_action
security_result_action security_result.action ממוזג
file_sha128_label security_result.detection_fields ממוזג
policyname_label security_result.detection_fields ממוזג
policyver_label security_result.detection_fields ממוזג
ppolicy_label security_result.detection_fields ממוזג
sha128_label security_result.detection_fields ממוזג
sha384_label security_result.detection_fields ממוזג
sha512_label security_result.detection_fields ממוזג
type_label security_result.detection_fields ממוזג
source_file src.file.full_path מיפוי ישיר
source_file_name src.file.full_path מיפוי ישיר
filename target.file.full_path מיפוי ישיר
sha256 target.file.sha256 מיפוי ישיר
commandline target.process.command_line מיפוי ישיר
filename target.process.file.full_path מיפוי ישיר
InstanceURL target.url מיפוי ישיר
principal_user_userid target.user.userid מיפוי ישיר
user target.user.userid מיפוי ישיר
לא רלוונטי extensions.auth.type קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי metadata.event_type קבוע: USER_LOGIN
לא רלוונטי metadata.product_name קבוע: Airlock Digital
לא רלוונטי metadata.vendor_name קבוע: Airlock Digital

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.