איסוף יומנים של AlgoSec Security Management

גרסת כלי הניתוח: 4.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של AlgoSec Security Management ב-Google Security Operations באמצעות סוכן Bindplane.

חבילת AlgoSec Security Management Suite‏ (ASMS) מספקת ניהול של מדיניות אבטחת רשת בחומות אש, ב-SDN ובפלטפורמות ענן. הוא כולל את Firewall Analyzer לניתוח סיכונים ותאימות, את FireFlow לאוטומציה של ניהול שינויים ואת AppViz לשיפור הנראות של קישוריות האפליקציות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין מכשירי AlgoSec
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות ל-AlgoSec Firewall Analyzer, ל-FireFlow ול-AppViz

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/algosec:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ALGOSEC
        raw_log_field: body

service:
    pipelines:
        logs/algosec_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/algosec

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת syslog עבור Firewall Analyzer

  1. נכנסים למכשיר AFA באמצעות SSH.

  2. עוברים לספריית ההגדרות של syslog-ng:

    cd /etc/syslog-ng

  3. מגבים את ההגדרה הקיימת:

    cp syslog-ng.conf syslog-ng.conf.orig

  4. עורכים את קובץ ההגדרות של syslog-ng:

    vi syslog-ng.conf

  5. מוסיפים את השורות הבאות כדי להגדיר את שרת ה-syslog המרוחק:

    destination d_remote { udp("<BINDPLANE_IP>" port(514)); };
log { source(s_sys); destination(d_remote); };
    • מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane.

  6. שומרים ויוצאים מהעורך.

  7. מפעילים מחדש את שירות syslog-ng כדי שהשינויים ייכנסו לתוקף:

    service syslog-ng restart

  8. אופציונלי: מאמתים את ההגדרה של Syslog:

    1. עוברים אל ניהול > הגדרות של שרת Syslog.
    2. לוחצים על בדיקת קישוריות.

הגדרת syslog ל-FireFlow

  1. נכנסים למכונת FireFlow בתור root.

  2. פותחים את הקובץ /etc/syslog.conf לעריכה:

    vi /etc/syslog.conf

  3. מוסיפים את השורה הבאה לקובץ:

    local0.*@<BINDPLANE_IP>
    • מחליפים את <BINDPLANE_IP> בכתובת ה-IP של שרת הסוכן Bindplane.

הגדרת Syslog ל-AppViz

  1. נכנסים למכשיר AppViz באמצעות SSH.

  2. עוברים לספריית ההגדרות של syslog-ng:

    cd /etc/syslog-ng

  3. מגבים את ההגדרה הקיימת:

    cp syslog-ng.conf syslog-ng.conf.orig

  4. עורכים את קובץ ההגדרות של syslog-ng:

    vi syslog-ng.conf

  5. מוסיפים את השורה הבאה כדי להגדיר את שרת ה-syslog המרוחק:

    destination d_remote { udp("<BINDPLANE_IP>" port(514)); };
log { source(s_sys); destination(d_remote); };
    • מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane.

  6. שומרים ויוצאים מהעורך.

  7. מפעילים מחדש את שירות syslog-ng כדי שהשינויים ייכנסו לתוקף:

    service syslog-ng restart

  8. בודקים את ההגדרות של syslog:

    1. בממשק של AppViz, עוברים אל Administration > Syslog Server Settings (ניהול > הגדרות של שרת Syslog).
    2. לוחצים על בדיקת קישוריות.

הגדרת syslog לאירועי התחברות והתנתקות

  1. נכנסים אל ASMS appliance באמצעות SSH.

  2. עוברים לספריית ההגדרות של syslog-ng:

    cd /etc/syslog-ng

  3. מגבים את ההגדרה הקיימת:

    cp syslog-ng.conf syslog-ng.conf.orig

  4. עורכים את קובץ ההגדרות של syslog-ng:

    vi syslog-ng.conf

  5. מוסיפים את השורה הבאה כדי להגדיר את שרת ה-syslog המרוחק:

    destination d_remote { udp("<BINDPLANE_IP>" port(514)); };
log { source(s_sys); destination(d_remote); };
    • מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane.

  6. שומרים ויוצאים מהעורך.

  7. מפעילים מחדש את שירות syslog-ng כדי שהשינויים ייכנסו לתוקף:

    service syslog-ng restart

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
by_user principal.user.user_display_name הערך של השדה by_user מיומן הגולמי משויך לשדה הזה ב-UDM.
collection_time metadata.event_timestamp השדות seconds ו-nanos משולבים כדי ליצור חותמת זמן.
comm target.process.command_line הערך של השדה comm שחולץ מהשדה desc באמצעות grok מוקצה לשדה הזה ב-UDM.
datetime metadata.event_timestamp התאריך והשעה מחולצים מהיומן הגולמי ומשמשים לאכלוס חותמת הזמן של האירוע.
desc metadata.description הערך של השדה desc מיומן הגולמי מוקצה לשדה הזה ב-UDM כשאין תיאור אחר זמין.
dest_ip target.ip הערך של השדה dest_ip מיומן הגולמי משויך לשדה הזה ב-UDM.
dest_port target.port הערך של השדה dest_port מיומן הגולמי משויך לשדה הזה ב-UDM.
details security_result.summary הערך של השדה details מיומן הגולמי משויך לשדה הזה ב-UDM.
device principal.asset.hostname הערך של השדה device מיומן הגולמי משויך לשדה הזה ב-UDM.
dst_ip target.ip הערך של השדה dst_ip מיומן הגולמי משויך לשדה הזה ב-UDM.
dst_port target.port הערך של השדה dst_port מיומן הגולמי משויך לשדה הזה ב-UDM.
event_id metadata.product_event_type הערך של השדה event_id מיומן הגולמי משויך לשדה הזה ב-UDM. הוא משמש גם בלוגיקה של מנתח התוכן כדי לקבוע את הערך של metadata.event_type ושדות אחרים.
event_name metadata.product_event_type הערך של השדה event_name מיומן הגולמי משויך לשדה הזה ב-UDM.
firewall target.hostname הערך של השדה firewall מיומן הגולמי משויך לשדה הזה ב-UDM.
host principal.hostname הערך של השדה host מיומן הגולמי משויך לשדה הזה ב-UDM.
host_type principal.asset.category הערך של השדה host_type מיומן הגולמי משויך לשדה הזה ב-UDM.
iporhost principal.ip/principal.hostname/target.ip/target.hostname/observer.ip/observer.hostname אם הערך הוא כתובת IP, הוא ממופה ל-principal.ip,target.ip, או ל-observer.ip בהתאם למקור היומן ולסוג האירוע. אם מדובר בשם מארח, הוא ממופה ל-principal.hostname,target.hostname, או ל-observer.hostname.
IP principal.ip הערך של השדה IP מיומן הגולמי משויך לשדה הזה ב-UDM.
kv_data security_result.summary הערך של השדה kv_data מיומן הגולמי משויך לשדה הזה ב-UDM.
log_type metadata.log_type הוזן קוד קשיח ל-ALGOSEC.
metric security_result.action_details הערך של השדה metric מיומן הגולמי משויך לשדה הזה ב-UDM.
msg security_result.summary/security_result.description הערך של השדה msg מתוך יומן הגולמי משמש לאכלוס הסיכום או התיאור של תוצאת האבטחה, בהתאם להקשר. הוא משמש גם בשדות extractrisk_level,risk_count,risk_code, ו-risk_title.
pid target.process.pid הערך של השדה pid שחולץ מהשדה desc באמצעות grok מוקצה לשדה הזה ב-UDM.
product metadata.product_name הערך של השדה product מיומן הגולמי משויך לשדה הזה ב-UDM.
report security_result.description הערך של השדה report מתוך היומן הגולמי נכלל בתיאור של תוצאת האבטחה.
report_data.Device IP target.ip הערך של השדה Device IP מנתוני ה-JSON שנותחו מוקצה לשדה הזה ב-UDM.
report_data.Highest Risk Level security_result.description הערך של השדה Highest Risk Level מנתוני ה-JSON שנותחו כלול בתיאור של תוצאת האבטחה. הוא משמש גם לקביעת חומרת תוצאת האבטחה.
report_data.Security Rating Score security_result.description הערך של השדה Security Rating Score מנתוני ה-JSON שנותחו נכלל בתיאור של תוצאת האבטחה.
Requestor.Email principal.user.email_addresses הערך של השדה Email באובייקט Request מנתוני ה-JSON המנותחים מוקצה לשדה הזה ב-UDM.
Requestor.Name principal.user.user_display_name הערך של השדה Name באובייקט Requestor מנתוני ה-JSON המנותחים מוקצה לשדה הזה ב-UDM.
RequestType target.resource.attribute.labels הערך של השדה RequestType מיומן הגולמי מתווסף כתווית למשאב היעד.
risk_title security_result.summary הערך של השדה risk_title מיומן הגולמי משויך לשדה הזה ב-UDM.
src_ip principal.ip הערך של השדה src_ip מיומן הגולמי משויך לשדה הזה ב-UDM.
src_port principal.port הערך של השדה src_port מיומן הגולמי משויך לשדה הזה ב-UDM.
status security_result.description/security_result.action_details הערך של השדה status מיומן הגולמי כלול בתיאור של תוצאת האבטחה או בפרטי הפעולה, בהתאם להקשר. הוא משמש גם לקביעת חומרת תוצאת האבטחה.
target_app target.application הערך של השדה target_app מיומן הגולמי משויך לשדה הזה ב-UDM.
TemplateName metadata.description הערך של השדה TemplateName מיומן הגולמי משויך לשדה הזה ב-UDM.
url security_result.url_back_to_product הערך של השדה url מיומן הגולמי משויך לשדה הזה ב-UDM.
user principal.user.userid הערך של השדה user מיומן הגולמי משויך לשדה הזה ב-UDM.
vendor metadata.vendor_name הערך של השדה vendor מיומן הגולמי משויך לשדה הזה ב-UDM.
version metadata.product_version הערך של השדה version מיומן הגולמי משויך לשדה הזה ב-UDM.
WorkFlow target.resource.attribute.labels הערך של השדה WorkFlow מיומן הגולמי מתווסף כתווית למשאב היעד.
(Parser Logic) extensions.auth.type הוזן קוד קשיח ל-MACHINE.
(Parser Logic) security_result.action הערך נקבע על סמך event_id ושדות אחרים. בדרך כלל הערך הוא ALLOW or BLOCK.
(Parser Logic) security_result.category הערך מוצפן כ-POLICY_VIOLATION לאירועים של Firewall Analyzer.
(Parser Logic) security_result.description השדה הזה נוצר על סמך שדות אחרים, והוא מספק הקשר ופרטים על האירוע.
(Parser Logic) security_result.severity הערך נקבע על סמך event_id,msg, ושדות אחרים. בדרך כלל מוגדר ל-LOW,MEDIUM, או ל-HIGH.
(Parser Logic) metadata.event_type הערך נקבע על סמך event_id ושדות אחרים. לדוגמה, USER_LOGIN,USER_LOGOUT,USER_RESOURCE_ACCESS,GENERIC_EVENT,STATUS_UNCATEGORIZED,SCAN_HOST,NETWORK_CONNECTION, ו-STATUS_UPDATE.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.