איסוף יומנים של BeyondTrust Privileged Identity

גרסת כלי הניתוח: 31.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של BeyondTrust Privileged Identity ב-Google Security Operations באמצעות סוכן Bindplane.

‫BeyondTrust Privileged Identity הוא פתרון לניהול חשבונות עם הרשאות מיוחדות, שמפיק הודעות syslog בפורמטים של CEF ושל non-CEF לאירועי אבטחה, לאימות ולפעילות בחשבון. הכלי לניתוח מחלק את השדות וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין מופע BeyondTrust Privileged Identity
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות למופע של BeyondTrust Privileged Identity

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. הורדה של קובץ אימות להטמעת נתונים

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/beyondtrust_pi:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BEYONDTRUST_PI
        raw_log_field: body

service:
    pipelines:
        logs/beyondtrust_pi_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/beyondtrust_pi

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת syslog ב-BeyondTrust Privileged Identity

  1. נכנסים ל-BeyondTrust Privileged Appliance.
  2. עוברים אל Appliance > Security > Appliance Administration.
  3. עוברים לקטע Syslog.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם המארח: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: יציאת ברירת המחדל מוגדרת ל-514 (UDP).
    • פורמט: בוחרים באפשרות RFC 5424.
  5. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
cs1 additional.fields[0].key ממופה ישירות משדה היומן הגולמי cs1Label.
cs1Label additional.fields[0].value.string_value ממופה ישירות משדה היומן הגולמי cs1.
cs3 additional.fields[1].value.string_value ממופה ישירות משדה היומן הגולמי cs3Label.
cs3Label additional.fields[1].key ממופה ישירות משדה היומן הגולמי cs3.
cs4 additional.fields[2].value.string_value ממופה ישירות משדה היומן הגולמי cs4Label.
cs4Label additional.fields[2].key ממופה ישירות משדה היומן הגולמי cs4.
נתונים metadata.description בהודעות CEF, השדה msg (שחולץ מ-data) ממופה ל-metadata.description. בהודעות שאינן בפורמט CEF, השדה sMessage (או חלקים ממנו, בהתאם לפורמט ההודעה הספציפי) ממופה ל-metadata.description.
dhost target.hostname ממופה ישירות משדה היומן הגולמי dhost.
dntdom target.administrative_domain ממופה ישירות משדה היומן הגולמי dntdom.
duser target.user.user_display_name ממופה ישירות משדה היומן הגולמי duser.
msg metadata.description ממופה ישירות משדה היומן הגולמי msg בהודעות CEF.
rt metadata.event_timestamp.seconds חותמת הזמן של התקופה מופקת מהשדה rt בהודעות CEF.
sEventType metadata.product_event_type ממופה ישירות משדה היומן הגולמי sEventType בהודעות שאינן CEF.
shost principal.ip ממופה ישירות משדה היומן הגולמי shost.
sIpAddress principal.ip ממופה ישירות משדה היומן הגולמי sIpAddress בהודעות שאינן CEF.
sLoginName principal.user.userid הערך מחולץ מהשדה sLoginName באמצעות ביטוי רגולרי שמפריד בין הדומיין לבין מזהה המשתמש.
sMessage security_result.description ממופה ישירות משדה היומן הגולמי sMessage בהודעות שאינן CEF, או שחלקים שחולצו ממנו משמשים ל-security_result.description.
sntdom principal.administrative_domain ממופה ישירות משדה היומן הגולמי sntdom.
sOriginatingAccount principal.user.userid הערך מחולץ מהשדה sOriginatingAccount באמצעות ביטוי רגולרי שמפריד בין הדומיין לבין מזהה המשתמש.
sOriginatingApplicationComponent principal.application משמש בשילוב עם sOriginatingApplicationName כדי לאכלס את principal.application.
sOriginatingApplicationName principal.application משמש בשילוב עם sOriginatingApplicationComponent כדי לאכלס את principal.application.
sOriginatingSystem principal.hostname ממופה ישירות משדה היומן הגולמי sOriginatingSystem בהודעות שאינן CEF.
suser principal.user.user_display_name ממופה ישירות משדה היומן הגולמי suser. הערך נקבע על ידי הלוגיקה של מנתח התוכן, על סמך הנוכחות והערכים של שדות אחרים כמו dst, ‏ src, ‏ shost ו-suid. הערכים האפשריים הם NETWORK_CONNECTION,‏ STATUS_UPDATE,‏ USER_UNCATEGORIZED ו-GENERIC_EVENT. מגדירים את הערך BEYONDTRUST_PI. מגדירים את האפשרות BeyondTrust Remote Support. הערך חולץ מהכותרת של CEF בהודעות CEF. מגדירים את האפשרות BeyondTrust. מגדירים את הערך כ-ALLOW (אישור) או כ-BLOCK (חסימה) בהתאם לשדות status, reason או sMessage. הערך שהוגדר הוא LOW.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.