איסוף יומנים של Avigilon Access Control Manager

גרסת מנתח הנתונים: 1.0

נתמך ב:

Google secops SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Avigilon Access Control Manager ב-Google Security Operations באמצעות סוכן Bindplane.

‫Avigilon Access Control Manager (ACM) היא מערכת פיזית לבקרת גישה שמפיקה יומני אירועים בפורמט XML לאירועי גישה לדלתות, לאזעקות, לפעילויות של אישורים ולפעולות מערכת.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת Avigilon ACM
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• ‫Avigilon Access Control Manager מגרסה 6.38 ואילך
• גישת אדמין למסוף האינטרנט של Avigilon Access Control Manager

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. הורדת קובץ אימות להטמעת נתונים

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע עם הערך RUNNING.

התקנה של Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של Bindplane agent להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/avigilon_access_logs:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: AVIGILON_ACCESS_LOGS
          raw_log_field: body
  
  service:
      pipelines:
          logs/avigilon_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/avigilon_access_logs
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog נפוצה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרות של הכלי לייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • endpoint: Regional endpoint URL:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת XML של אירועים עבור Avigilon Access Manager

1. נכנסים לממשק המשתמש באינטרנט של Avigilon ACM.
2. עוברים אל הגדרות > שיתופי פעולה > הוספת שיתוף פעולה.
3. בוחרים את המכשיר המתאים.
4. מגדירים את הסוג לאירועים – XML כללי.
5. מזינים את פרטי ההגדרה הבאים:
   • שם: מזינים שם ייחודי לשיתוף הפעולה הזה.
   • מארח: מזינים את כתובת ה-IP של סוכן Bindplane.
   • מספר יציאה: מזינים את מספר היציאה של סוכן Bindplane.
   • מסמנים את תיבת הסימון מותקנת כדי להפעיל את ההגדרה הזו.
   • מסמנים את תיבת הסימון Require TCP (נדרש TCP).
6. לוחצים על Save.
7. לוחצים על הכרטיסייה אירועים.
8. בוחרים לוח זמנים להפעלה של שיתוף הפעולה ב-XML.
9. מסמנים את תיבת הסימון שליחת אישורי קבלה כדי לכלול אישורי קבלה.
10. מסמנים את תיבת הסימון שליחת ניקויים כדי לכלול ניקויים.
11. בקטע Members, בוחרים את קטגוריות האירועים לייצוא.
12. לוחצים על Save.

טבלת מיפוי UDM

שדה היומן	מיפוי UDM	לוגיקה
cn_label	additional.fields	ממוזג
plasectrxActivdat_label	additional.fields	ממוזג
plasectrxBackgroundColor_label	additional.fields	ממוזג
plasectrxCardno_label	additional.fields	ממוזג
plasectrxEvtypeaddress_label	additional.fields	ממוזג
plasectrxEvtypename_label	additional.fields	ממוזג
plasectrxExpiredat_label	additional.fields	ממוזג
plasectrxFacilityCode_label	additional.fields	ממוזג
plasectrxForegroundColor_label	additional.fields	ממוזג
plasectrxGatewayDN_label	additional.fields	ממוזג
plasectrxHasCamera_label	additional.fields	ממוזג
plasectrxHasNotes_label	additional.fields	ממוזג
plasectrxHasSoftTriggerSet_label	additional.fields	ממוזג
plasectrxIdentityDN_label	additional.fields	ממוזג
plasectrxIdentityUUID_label	additional.fields	ממוזג
plasectrxIssuedat_label	additional.fields	ממוזג
plasectrxLastacc_label	additional.fields	ממוזג
plasectrxPaneldateUTC_label	additional.fields	ממוזג
plasectrxPaneldate_label	additional.fields	ממוזג
plasectrxPanelname_label	additional.fields	ממוזג
plasectrxPointDN_label	additional.fields	ממוזג
plasectrxPointaddress_label	additional.fields	ממוזג
plasectrxPri_label	additional.fields	ממוזג
plasectrxRecdateUTC_label	additional.fields	ממוזג
plasectrxRecdate_label	additional.fields	ממוזג
plasectrxSeqno_label	additional.fields	ממוזג
plasectrxShowVideo_label	additional.fields	ממוזג
plasectrxSourceDN_label	additional.fields	ממוזג
plasectrxSourcename_label	additional.fields	ממוזג
plasectrxSourcetype_label	additional.fields	ממוזג
has_principal	metadata.event_type	מיפוי: true ← STATUS_UPDATE
has_user	metadata.event_type	מיפוי: true ← USER_UNCATEGORIZED
plasectrxEventname	metadata.product_event_type	מיפוי ישיר
plasectrxSourceUUID	metadata.product_log_id	מיפוי ישיר
plasectrxSourcelocation	principal.location.name	מיפוי ישיר
plasectrxMi	principal.user.email_addresses	ממוזג
plasectrxFname	principal.user.first_name	מיפוי ישיר
plasectrxLname	principal.user.last_name	מיפוי ישיר
plasectrxIdentityExtSysId	src.group.product_object_id	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: GENERIC_EVENT
לא רלוונטי	metadata.product_name	קבוע: AVIGILON_ACCESS_LOGS
לא רלוונטי	metadata.vendor_name	קבוע: AVIGILON_ACCESS_LOGS

שנה רישום

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.