Akeyless Vault-Logs erfassen

Parserversion:2.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Akeyless Vault-Logs mit Bindplane in Google Security Operations aufnehmen.

Akeyless Vault ist eine cloudnative Plattform zur Verwaltung von Secrets, die einen zentralen Zugriff auf Anmeldedaten, Zertifikate und Verschlüsselungsschlüssel bietet. Sie verwendet eine patentierte Distributed Fragments Cryptography-Technologie (DFC), die dafür sorgt, dass Secrets niemals an einem einzigen Ort gespeichert werden. So wird Zero-Knowledge-Sicherheit in Hybrid- und Multi-Cloud-Umgebungen geboten.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem Akeyless Gateway
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die Akeyless Gateway-Web-UI mit Administratorberechtigungen

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.

  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /status observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/akeyless_vault:
        compression: gzip
        creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
        customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: AKEYLESS_VAULT
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/akeyless_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/akeyless_vault

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • udplog: UDP-Syslog-Empfänger für die Akeyless Gateway-Logweiterleitung
    • 0.0.0.0:514: IP-Adresse und Port, auf dem gelauscht werden soll. Ersetzen Sie den Port nach Bedarf in Ihrer Infrastruktur.

  • Exporter-Konfiguration:

    • <PLACEHOLDER_CREDS_FILE_PATH>: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <PLACEHOLDER_CUSTOMER_ID>: Google SecOps-Kundennummer
    • malachiteingestion-pa.googleapis.com: Regionale Endpunkt-URL. Ersetzen Sie den Platzhalter durch den entsprechenden Endpunkt für Ihre Region:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Logs auf Fehler prüfen:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Services Console:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Logs auf Fehler prüfen:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung in Akeyless Vault konfigurieren

  1. Melden Sie sich in der Weboberfläche von Akeyless Gateway an.
  2. Rufen Sie Log Forwarding (Logweiterleitung) auf.
  3. Klicken Sie das Kästchen Aktivieren an.
  4. Wählen Sie das Logformat aus – JSON.
  5. Geben Sie im Feld Audit Log Server (Server für Audit-Log) https://audit.akeyless.io/ ein.
  6. Wählen Sie in der Drop-down-Liste Log Service (Protokolldienst) die Option Syslog aus.
  7. Geben Sie die folgenden Konfigurationsdetails an:
    • Syslog Network: Wählen Sie das Netzwerkprotokoll aus, das vom Bindplane-Agent verwendet wird, z. B. UDP.
    • Syslog-Host: Geben Sie den Hostnamen oder die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100:514).
    • Syslog-Tag: (Optional) Geben Sie das Tag für Audit-Logs ein. Der Standardwert ist audit-export.
    • Syslog Formatter (Syslog-Formatierung): Wählen Sie Text oder CEF aus.
    • TLS: Optional können Sie das Kästchen TLS aktivieren und das TLS-Zertifikat Ihres Logservers hochladen, wenn eine TLS-Verschlüsselung erforderlich ist.
  8. Klicken Sie auf Änderungen speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
access_id metadata.product_log_id Direkt aus dem Feld access_id zugeordnet. Wenn nicht vorhanden, wird der Wert mithilfe von regulären Ausdrücken aus dem Nachrichtenfeld extrahiert.
account_id target.user.userid Direkt aus dem Feld account_id zugeordnet.
action security_result.action_details Direkt aus dem Feld action zugeordnet.
component target.resource.name Direkt aus dem Feld component zugeordnet.
duration network.session_duration.seconds Direkt aus dem Feld duration zugeordnet und in eine Ganzzahl konvertiert.
remote_addr principal.ip Aus dem Feld remote_addr extrahiert, durch Kommas getrennt und dem Array principal.ip hinzugefügt.
request_parameters.access_type target.resource.attribute.labels (Schlüssel: access_type) Direkt aus dem Feld request_parameters.access_type zugeordnet. Wenn nicht vorhanden, wird der Wert mithilfe von regulären Ausdrücken aus dem Nachrichtenfeld extrahiert.
request_parameters.comment target.resource.attribute.labels (Schlüssel: comment) Direkt aus dem Feld request_parameters.comment zugeordnet.
request_parameters.operation target.resource.attribute.labels (Schlüssel: operation) Direkt aus dem Feld request_parameters.operation zugeordnet.
request_parameters.product target.resource.attribute.labels (Schlüssel: product) Direkt aus dem Feld request_parameters.product zugeordnet. Wenn nicht vorhanden, wird der Wert mithilfe von regulären Ausdrücken aus dem Nachrichtenfeld extrahiert.
request_parameters.token_id target.resource.attribute.labels (Schlüssel: token_id) Direkt aus dem Feld request_parameters.token_id zugeordnet.
request_parameters.transaction_type target.resource.attribute.labels (Schlüssel: transaction_type) Direkt aus dem Feld request_parameters.transaction_type zugeordnet und in einen String konvertiert. Wenn nicht vorhanden, wird der Wert mithilfe von regulären Ausdrücken aus dem Nachrichtenfeld extrahiert.
request_parameters.unique_id target.resource.attribute.labels (Schlüssel: unique_id) Direkt aus dem Feld request_parameters.unique_id zugeordnet. Wenn nicht vorhanden, wird der Wert mithilfe von regulären Ausdrücken aus dem Nachrichtenfeld extrahiert.
request_parameters.universal_identity_rotate_type target.resource.attribute.labels (Schlüssel: universal_identity_rotate_type) Direkt aus dem Feld request_parameters.universal_identity_rotate_type zugeordnet.
request_parameters.user_agent target.resource.attribute.labels (Schlüssel: user_agent) Direkt aus dem Feld request_parameters.user_agent zugeordnet.
severity security_result.severity Zugeordnet aus dem Feld severity: Info bis INFORMATIONAL, Error bis ERROR, Warning bis MEDIUM, andernfalls UNKNOWN_SEVERITY.
status network.http.response_code Direkt aus dem Feld status zugeordnet und in eine Ganzzahl konvertiert.
timestamp metadata.event_timestamp Direkt aus dem Zeitstempelfeld des Logeintrags zugeordnet.
– metadata.log_type Hartcodiert auf AKEYLESS_VAULT.
– metadata.event_type Wird auf STATUS_UPDATE gesetzt, wenn eine IP-Adresse vorhanden ist. Andernfalls wird standardmäßig GENERIC_EVENT verwendet.
– metadata.vendor_name Aus dem Nachrichtenfeld extrahiert, indem das CEF-Regex-Muster verwendet wird.
– metadata.product_name Aus dem Nachrichtenfeld extrahiert, indem das CEF-Regex-Muster verwendet wird.
– metadata.product_version Aus dem Nachrichtenfeld extrahiert, indem das CEF-Regex-Muster verwendet wird.
– metadata.product_event_type Aus dem Nachrichtenfeld extrahiert, indem das reguläre Ausdrucksmuster für den Syslog-Header verwendet wird.
– target.namespace Mit einem regulären Ausdruck aus dem Nachrichtenfeld extrahiert.
action network.http.method Zugeordnet vom Feld action: get bis GET, put und Authentication bis PUT, post bis POST, delete bis DELETE.
remote_addr event.idm.read_only_udm.intermediary.ip Aus dem Änderungsprotokoll zugeordnet
syslog_hostname event.idm.read_only_udm.observer.hostname Aus dem Änderungsprotokoll zugeordnet
process_name event.idm.read_only_udm.observer.application Aus dem Änderungsprotokoll zugeordnet
pid event.idm.read_only_udm.observer.process.pid Aus dem Änderungsprotokoll zugeordnet
severity event.idm.read_only_udm.security_result.severity Aus dem Änderungsprotokoll zugeordnet
request_parameters.unique_id event.idm.read_only_udm.principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
item_type event.idm.read_only_udm.target.resource.resource_subtype Aus dem Änderungsprotokoll zugeordnet
request_parameters.session_id event.idm.read_only_udm.network.session_id Aus dem Änderungsprotokoll zugeordnet
duration_in_ms event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
request_parameters.source event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
request_parameters.item_accessibility event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
remote_addr array principal.ip Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten