איסוף יומנים מ-Appian Cloud

גרסת המנתח: 4.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Appian Cloud ב-Google Security Operations באמצעות סוכן Bindplane.

‫Appian Cloud היא פלטפורמת אוטומציה עם תכנות מינימלי שמאפשרת לארגונים ליצור אפליקציות ותהליכי עבודה ארגוניים. הזרמת יומנים מספקת יומני ביקורת ואירועי אבטחה מסביבת Appian Cloud דרך חיבור IPsec VPN.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• רישיון Professional או Signature עם Appian Cloud
• תיעוד של כתובות ה-URL של סביבת Appian
• IPsec VPN בין Appian Cloud לבין הסביבה שבה ייפרס הסוכן של Bindplane

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרת סוכן Bindplane להטמעת syslog ושליחה ל-Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:6514"
  
  exporters:
    chronicle/appian_cloud:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: APPIAN_CLOUD
      raw_log_field: body
  
  service:
    pipelines:
      logs/appian_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/appian_cloud
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 6514 היא היציאה המומלצת לסטרימינג של יומנים ב-Appian Cloud

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/appian_cloud:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: APPIAN_CLOUD
      raw_log_field: body
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הפעלת סטרימינג של יומנים ב-Appian Cloud

1. פותחים בקשת תמיכה ב-Appian עם הנושא Enable Log Streaming, וכוללים את הפרטים הבאים:
   • כתובות ה-URL של הסביבות
   • נתיב הרשת הרצוי, כמו IPsec VPN
   • כתובת ה-IP של סוכן Bindplane
   • מספר יציאת TCP של סוכן Bindplane (לדוגמה, 6514)
2. צוות התמיכה של Appian מתזמן חלון זמן לתחזוקה ומבצע את הפריסה של ההגדרה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
available_heap_space_label	additional.fields	ממוזג
cpu_core_count_label	additional.fields	ממוזג
daemon_thread_count_label	additional.fields	ממוזג
data_store_label	additional.fields	ממוזג
devicetimestamp_label	additional.fields	ממוזג
entity_label	additional.fields	ממוזג
execute_time_label	additional.fields	ממוזג
load_average_label	additional.fields	ממוזג
operation_name_label	additional.fields	ממוזג
operation_type_label	additional.fields	ממוזג
permanent_generation_available_label	additional.fields	ממוזג
permanent_generation_used_label	additional.fields	ממוזג
prepare_time_label	additional.fields	ממוזג
retcode_label	additional.fields	ממוזג
session_count_label	additional.fields	ממוזג
tenured_collection_count_label	additional.fields	ממוזג
tenured_collection_time_label	additional.fields	ממוזג
tenured_generation_available_label	additional.fields	ממוזג
tenured_generation_usage_after_collection_label	additional.fields	ממוזג
tenured_generation_used_label	additional.fields	ממוזג
thread_label	additional.fields	ממוזג
total_swap_space_label	additional.fields	ממוזג
total_system_memory_label	additional.fields	ממוזג
total_thread_count_label	additional.fields	ממוזג
transform_time_label	additional.fields	ממוזג
used_heap_space_label	additional.fields	ממוזג
used_swap_space_label	additional.fields	ממוזג
used_system_memory_label	additional.fields	ממוזג
young_cllection_time_label	additional.fields	ממוזג
young_collection_count_label	additional.fields	ממוזג
has_principal_user	extensions.auth.type	מופה: true ← AUTHTYPE_UNSPECIFIED
src_host	intermediary.hostname	מיפוי ישיר
src_ip	intermediary.ip	ממוזג
time	metadata.event_timestamp	נותח בתור yyyy-MM-dd HH:mm:ss
event_type	metadata.event_type	מיפוי ישיר
device	metadata.product_event_type	מיפוי ישיר
product_type	metadata.product_event_type	מיפוי ישיר
http_method	network.http.method	מיפוי ישיר
useragent	network.http.parsed_user_agent	שם שונה/מיפוי
useragent	network.http.user_agent	מיפוי ישיר
connectionid	network.session_id	מיפוי ישיר
sessionID	network.session_id	מיפוי ישיר
session_id	network.session_id	מיפוי ישיר
domain	principal.administrative_domain	מיפוי ישיר
application	principal.application	מיפוי ישיר
host	principal.asset.hostname	מיפוי ישיר
hostname	principal.asset.hostname	מיפוי ישיר
IpAddress	principal.asset.ip	ממוזג
host	principal.hostname	מיפוי ישיר
hostname	principal.hostname	מיפוי ישיר
IpAddress	principal.ip	ממוזג
src_port	principal.port	מיפוי ישיר
process_id	principal.process.pid	מיפוי ישיר
url	principal.url	מיפוי ישיר
roles	principal.user.attribute.roles	ממוזג
companyname	principal.user.company_name	מיפוי ישיר
email	principal.user.email_addresses	ממוזג
user_id	principal.user.email_addresses	מופה: N/A ← user_id
modified_by_uuid	principal.user.product_object_id	מיפוי ישיר
user	principal.user.product_object_id	מיפוי ישיר
modified_by_username	principal.user.userid	מיפוי ישיר
userId	principal.user.userid	מיפוי ישיר
user_id	principal.user.userid	מיפוי ישיר
username2	principal.user.userid	מיפוי ישיר
versionDetails	security_result.about.platform_version	מיפוי ישיר
outcome_result	security_result.action	ממוזג
security_result_action	security_result.action	ממוזג
act	security_result.action_details	מיפוי ישיר
status	security_result.action_details	מיפוי ישיר
sec_result_category	security_result.category	ממוזג
category	security_result.category_details	ממוזג
desc	security_result.description	מיפוי ישיר
details	security_result.description	מיפוי ישיר
details_label	security_result.detection_fields	ממוזג
endpoint_label	security_result.detection_fields	ממוזג
execution_count_label	security_result.detection_fields	ממוזג
maximum_execution_time_label	security_result.detection_fields	ממוזג
maximum_response_size_label	security_result.detection_fields	ממוזג
maximum_response_time_label	security_result.detection_fields	ממוזג
mean_execution_time_label	security_result.detection_fields	ממוזג
mean_response_size_label	security_result.detection_fields	ממוזג
minimum_execution_time_label	security_result.detection_fields	ממוזג
minimum_response_size_label	security_result.detection_fields	ממוזג
model_label	security_result.detection_fields	ממוזג
rolesAllow_label	security_result.detection_fields	ממוזג
sqlcmd_label	security_result.detection_fields	ממוזג
status_code_1xx_count_label	security_result.detection_fields	ממוזג
status_code_2xx_count_label	security_result.detection_fields	ממוזג
status_code_3xx_count_label	security_result.detection_fields	ממוזג
status_code_4xx_count_label	security_result.detection_fields	ממוזג
status_code_5xx_count_label	security_result.detection_fields	ממוזג
type_label	security_result.detection_fields	ממוזג
uuid_label	security_result.detection_fields	ממוזג
severity	security_result.severity	מיפוי: "INFORMATIONAL","INFORMATION","INFO" ← INFORMATIONAL, "WARNING", "MEDIUM" ← `M...
detail	security_result.severity_details	מיפוי ישיר
action1	security_result.summary	מיפוי ישיר
msg	security_result.summary	מיפוי ישיר
object	security_result.summary	מיפוי ישיר
operation_detail	security_result.summary	מיפוי ישיר
reason	security_result.summary	מיפוי ישיר
summary	security_result.summary	מיפוי ישיר
server_host	target.asset.hostname	מיפוי ישיר
tar_host	target.asset.hostname	מיפוי ישיר
src_ip1	target.asset.ip	ממוזג
hash	target.file.md5	מיפוי ישיר
document_name	target.file.names	ממוזג
server_host	target.hostname	מיפוי ישיר
tar_host	target.hostname	מיפוי ישיר
src_ip1	target.ip	ממוזג
commandline	target.process.command_line	מיפוי ישיר
action_label	target.resource.attribute.labels	ממוזג
environment_label	target.resource.attribute.labels	ממוזג
filters_label	target.resource.attribute.labels	ממוזג
new_value_label	target.resource.attribute.labels	ממוזג
original_value_label	target.resource.attribute.labels	ממוזג
page_group_invoved_label	target.resource.attribute.labels	ממוזג
page_involved_label	target.resource.attribute.labels	ממוזג
record_identifier_label	target.resource.attribute.labels	ממוזג
record_type_name_label	target.resource.attribute.labels	ממוזג
record_type_url_stub_label	target.resource.attribute.labels	ממוזג
setting_new_value_label	target.resource.attribute.labels	ממוזג
setting_old_value_label	target.resource.attribute.labels	ממוזג
site_involved_label	target.resource.attribute.labels	ממוזג
site_url_stub_label	target.resource.attribute.labels	ממוזג
view_label	target.resource.attribute.labels	ממוזג
database	target.resource.name	מיפוי ישיר
property	target.resource.name	מיפוי ישיר
record_type_name	target.resource.name	מיפוי ישיר
resourcename	target.resource.name	מיפוי ישיר
site_involved	target.resource.name	מיפוי ישיר
id	target.resource.product_object_id	מיפוי ישיר
oid	target.resource.product_object_id	מיפוי ישיר
queryid	target.resource.product_object_id	מיפוי ישיר
sessionID	target.resource.product_object_id	מיפוי ישיר
transactionId	target.resource.product_object_id	מיפוי ישיר
action	target.resource.resource_subtype	מיפוי ישיר
name	target.resource.resource_subtype	מיפוי ישיר
user_uuid	target.user.product_object_id	מיפוי ישיר
username1	target.user.userid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: GENERIC_EVENT
לא רלוונטי	metadata.log_type	קבוע: APPIAN_CLOUD
לא רלוונטי	metadata.product_name	קבוע: Cloud Platform
לא רלוונטי	metadata.vendor_name	קבוע: Appian
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
sessionID	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
transactionId	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
versionDetails	event.idm.read_only_udm.security_result.about.platform_version	מופה מיומן השינויים
application	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
IpAddress	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
IpAddress	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
userId	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
rolesAllow	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
userRole	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
status	event.idm.read_only_udm.section_result.action_details	מופה מיומן השינויים
resourcename	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
commandline	event.idm.read_only_udm.target.process.command_line	מופה מיומן השינויים
devicetimestamp	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
email	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
document_name	target.files.names	מופה מיומן השינויים
msg" and "reason	security_result.summary	מופה מיומן השינויים
original_value", "setting_new_value", "setting_old_value", and "new_value	target.resource.attribute.labels	מופה מיומן השינויים
page_involved", "site_involved", and "page_group_involved	target.resource.attribute.labels	מופה מיומן השינויים
total_thread_count", "daemon_thread_count", used_heap_space", "available_heap_space", "tenured_generation_usage_after_collection", "tenured_generation_used", "tenured_generation_available", "permanent_generation_used", and "permanent_generation_available	additional.fields	מופה מיומן השינויים
young_collection_count", "young_cllection_time", "tenured_collection_count", "tenured_collection_time", "cpu_core_count", "total_system_memory", "used_system_memory", "total_swap_space", "used_swap_space", "load_average", and "session_count	additional.fields	מופה מיומן השינויים
record_identifier", "record_type_url_stub", "view", "filters", "environment", and "site_url_stub	target.resource.attribute.labels	מופה מיומן השינויים
data_store", "entity", and "operation_type	additional.fields	מופה מיומן השינויים
operation_name", "prepare_time", "transform_time", and "execute_time	additional.fields	מופה מיומן השינויים
connectionid	network.session.id	מופה מיומן השינויים
minimum_execution_time", "execution_count", "status_code_1xx_count", "status_code_2xx_count", "status_code_3xx_count", "status_code_4xx_count", "status_code_5xx_count", "minimum_response_size", "maximum_response_time", "maximum_response_size", "mean_execution_time", and "maximum_response_size	security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.