איסוף יומנים של Broadcom SSL Visibility Appliance

גרסת כלי הניתוח: 1.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Broadcom SSL Visibility Appliance ב-Google Security Operations באמצעות סוכן Bindplane.

‫Broadcom SSL Visibility Appliance מספק בדיקה של תנועת נתונים ב-SSL/TLS ומפיק הודעות syslog לאירועים של סשנים, פעולות של מדיניות ופרטים של חיבורי TLS. הכלי לניתוח מחלץ שדות באמצעות דפוסי grok וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין Broadcom SSL Visibility Appliance
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות ל-Broadcom SSL Visibility Appliance

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. הורדה של קובץ אימות להטמעת נתונים

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/broadcom_ssl_va:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BROADCOM_SSL_VA
        raw_log_field: body

service:
    pipelines:
        logs/broadcom_ssl_va_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/broadcom_ssl_va

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת syslog עבור Broadcom SSL Visibility Appliance

  1. נכנסים לממשק המשתמש באינטרנט של SSL Visibility Appliance.
  2. עוברים אל Platform Management > Remote Logging.
  3. לוחצים על הוספה.
  4. מספקים את פרטי ההגדרה הבאים:
    • מארח: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה של סוכן Bindplane (ברירת המחדל היא 514).
    • פרוטוקול: בוחרים באפשרות UDP.
    • מתקן: בוחרים מתקן syslog (לדוגמה, local0).
    • Log Set (קבוצת יומנים): בוחרים באפשרות Session and Appliance Logs (יומני הפעלה ומכשיר).
  5. לוחצים על שמירה (אחרי הפעימה הראשונה, בערך השרת יופיע מחובר).

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
פעולה security_result.action_details הערך של השדה הזה הוא security_result.action_details.
ciphersuite network.tls.cipher הערך של השדה הזה הוא network.tls.cipher.
נתונים השדה הזה משמש לחילוץ שדות אחרים, אבל לא ממופה ישירות ל-UDM.
destip target.ip הערך של השדה הזה הוא target.ip.
destport target.port הערך של השדה הזה מומר למספר שלם ומוקצה ל-target.port.
שם המארח principal.hostname הערך של השדה הזה הוא principal.hostname.
pid principal.process.pid הערך של השדה הזה הוא principal.process.pid.
prodlogid metadata.product_log_id הערך של השדה הזה הוא metadata.product_log_id.
כלל security_result.rule_id הערך של השדה הזה הוא security_result.rule_id.
segment_id about.labels.value הערך של השדה הזה מוקצה ל-about.labels.value, כאשר about.labels.key הוא segment_id.
srcip principal.ip הערך של השדה הזה הוא principal.ip.
srcPort principal.port הערך של השדה הזה מומר למספר שלם ומוקצה ל-principal.port.
סטטוס security_result.action הערך בשדה הזה קובע את הערך של security_result.action. אם הוא מכיל את הערך Success, הערך הוא ALLOW, אחרת BLOCK.
חותמת זמן metadata.event_timestamp.seconds הערך של השדה הזה מנותח לחותמת זמן, והחלק של השניות מוקצה ל-metadata.event_timestamp.seconds.
tlsversion network.tls.version הערך של השדה הזה הוא network.tls.version.
about.resource.attribute.labels.key הערך של השדה הזה הוא Flag list.
about.resource.attribute.labels.value הערך של השדה הזה נלקח מהשדה flag_list אחרי שעבר כמה טרנספורמציות.
metadata.event_type הערך של השדה הזה מוגדר כ-NETWORK_CONNECTION אם השדות srcip ו-destip לא ריקים.
metadata.log_type הערך של השדה הזה הוא BROADCOM_SSL_VA.
metadata.product_name הערך של השדה הזה הוא SSL Visibility.
metadata.vendor_name הערך של השדה הזה הוא Broadcom.
security_result.category הערך של השדה הזה הוא SOFTWARE_MALICIOUS.
target.application הערך של השדה הזה הוא ssldata.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.