איסוף יומנים של Array Networks SSL VPN

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Array Networks SSL VPN ב-Google Security Operations באמצעות סוכן Bindplane.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• מארח עם Windows 2016 ואילך או Linux עם systemd
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת הרשאת-יתר למסוף הניהול או למכשיר של Array Networks SSL VPN (סדרת AG או vxAG)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'ARRAYNETWORKS_VPN'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
   • מחליפים את <CUSTOMER_ID> במזהה הלקוח בפועל.
   • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ האימות בשלב 1.
   • נקודת הקצה malachiteingestion-pa.googleapis.com היא לאזור ארה"ב. אם מופע Google SecOps שלכם נמצא באזור אחר, צריך להשתמש בנקודת הקצה המתאימה להעברה שמופיעה במסמכי התיעוד של הדייר.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברה של Syslog ב-Array Networks SSL VPN

1. נכנסים למסוף הניהול של Array Networks SSL VPN (ממשק משתמש באינטרנט).
2. בתפריט הניווט השמאלי, לוחצים על כלי ניהול.
3. לוחצים על מעקב.
4. לוחצים על הכרטיסייה Logging (רישום ביומן).
5. לוחצים על כרטיסיית המשנה Syslog Servers (שרתי Syslog).
6. בקטע REMOTE SYSLOG SERVER CONFIGURATION (הגדרת שרת syslog מרוחק), לוחצים על Add Server Entry (הוספת רשומה של שרת).
7. מספקים את פרטי ההגדרה הבאים:
   • כתובת ה-IP של המארח: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאת המארח: מזינים את מספר היציאה של סוכן Bindplane (לדוגמה, 514).
   • פרוטוקול: בוחרים באפשרות UDP או TCP, בהתאם להגדרות של סוכן Bindplane.
   • ‫Source Port (יציאת מקור): אפשר להשאיר את ברירת המחדל או לציין יציאה אם נדרש בהגדרת הרשת.
   • רמה: בוחרים את רמת החומרה המינימלית להעברה (לדוגמה, מידע, אזהרה, שגיאה).
8. לוחצים על הוספה או על שמירה כדי להחיל את ההגדרה.

9. לוחצים על Save Configuration (שמירת ההגדרה) בחלק העליון של הדף כדי לשמור את השינויים.

   הערה: נתיבי ממשק המשתמש שמוצגים למעלה מבוססים על קושחת Array Networks AG Series ו-vxAG. אם גרסת הקושחה שונה, יכול להיות ששמות התפריטים יהיו שונים מעט. הוראות ספציפיות לגרסת הקושחה מפורטות במדריך האדמיניסטרציה של Array Networks.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
clientip	principal.ip	כתובת ה-IP של הלקוח שחולצה מהשדה clientip בהודעת היומן הגולמית.
column1	principal.ip	כתובת ה-IP שחולצה מ-column1 ביומן הגולמי.
column1	principal.asset.ip	כתובת ה-IP שחולצה מ-column1 ביומן הגולמי.
column3	network.received_bytes	מספר הבייטים שהתקבלו, אחרי המרה למספר שלם לא חתום.
column4	network.http.method	שיטת ה-HTTP שחולצה מ-column4 ביומן הגולמי.
column7	target.ip	כתובת ה-IP של היעד שחולצה מ-column7 ביומן הגולמי.
dport	target.port	יציאת היעד, שהומרה למספר שלם.
dst	target.ip	כתובת ה-IP של היעד.
dst	target.asset.ip	כתובת ה-IP של היעד.
hostname	principal.hostname	שם המארח שחולץ מהשדה hostname בהודעת היומן הגולמית.
hostname	principal.asset.hostname	שם המארח שחולץ מהשדה hostname בהודעת היומן הגולמית.
http_method	network.http.method	ה-method של ה-HTTP שחולצה מהודעת היומן הגולמית.
id	principal.application	מזהה האפליקציה מיומן הרישום הגולמי.
mac	principal.mac	כתובת ה-MAC שחולצה מהשדה mac בהודעת היומן הגולמית.
msg	metadata.product_event_type	שדה ההודעה מיומן הגולמי, שמשמש כסוג אירוע המוצר. משמש גם ל-security_result.description אחרי שמסירים את התווים '\' והמרכאות.
product_name	metadata.product_name	שם המוצר שחולץ מהודעת היומן הגולמית.
prxy_ip	intermediary.ip	כתובת ה-IP של שרת ה-Proxy.
prxy_port	intermediary.port	יציאת ה-proxy, הומרה למספר שלם.
response_code	network.http.response_code	קוד תגובת HTTP, שהומר למספר שלם.
security_result.action	security_result.action	הערך נקבע על ידי לוגיקת הניתוח על סמך הערך של column2. ‫'BLOCK' אם column2 מכיל 'TCP_MISS', אחרת 'UNKNOWN_ACTION'.
security_result.description	security_result.description	שדה ההודעה מיומן הגולמי, אחרי הסרת לוכסנים הפוכים ומרכאות.
sport	principal.port	יציאת המקור, שהומרה למספר שלם.
src	principal.ip	כתובת ה-IP של המקור.
src	principal.asset.ip	כתובת ה-IP של המקור.
target_hostname	target.hostname	שם המארח של היעד שחולץ מהודעת היומן הגולמית.
timestamp	metadata.event_timestamp	חותמת הזמן שחולצה מהודעת היומן הגולמית ונותחה לאובייקט חותמת זמן.
uri	target.url	חלק מכתובת ה-URL של היעד. השילוב בין מה שתזינו בשדה הנתיב ומה שתזינו בשדה כתובת היעד ייצור את כתובת ה-URL שמוצגת במודעה שלכם.uri_param
uri_param	target.url	חלק מכתובת ה-URL של היעד. השילוב בין מה שתזינו בשדה הנתיב ומה שתזינו בשדה כתובת היעד ייצור את כתובת ה-URL שמוצגת במודעה שלכם.uri
user	target.user.userid	שם המשתמש שחולץ מהודעת היומן הגולמית.
user_agent_string	network.http.user_agent	מחרוזת סוכן המשתמש שחולצה מהודעת היומן הגולמי.
vpn	target.user.group_identifiers	שם ה-VPN שחולץ מהודעת היומן הגולמית.
metadata.event_type	metadata.event_type	הערך נקבע על ידי הלוגיקה של כלי הניתוח על סמך שילוב של שדות כמו has_principal,‏ has_target,‏ has_http_value ו-user. הערך יכול להיות NETWORK_HTTP,‏ NETWORK_CONNECTION,‏ STATUS_UPDATE,‏ USER_UNCATEGORIZED או GENERIC_EVENT.
network.ip_protocol	network.ip_protocol	הערך הוא TCP אם ההודעה מכילה את המחרוזת TCP.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.