איסוף יומנים של Carbon Black App Control (לשעבר CB Protection)

גרסת כלי הניתוח: 28.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של Carbon Black App Control (לשעבר CB Protection, עכשיו חלק מ-Broadcom) ב-Google Security Operations באמצעות Bindplane. הכלי לניתוח תומך בפורמטים CEF ו-JSON. הוא מנסה קודם לנתח את הקלט כ-JSON. אם הניסיון נכשל, הוא מתייחס לקלט כ-CEF, מבצע החלפות טקסט, מחלץ שדות CEF, ממפה אותם ל-UDM ומגדיר את סוג האירוע כ-GENERIC_EVENT.

‫Carbon Black App Control הוא פתרון לבקרת אפליקציות וליצירת רשימות היתרים, שמאפשר לארגונים לנעול שרתים ומערכות קריטיות. היא מונעת מתוכנות זדוניות ובלתי מורשות לפעול על ידי אכיפה של מדיניות מבוססת-אמון, מעקב אחרי שינויים בתקינות הקבצים ומתן נראות בזמן אמת של פעילות נקודות הקצה.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps.
• מארח עם Windows Server 2016 ואילך או Linux עם systemd.
• אם מריצים מאחורי שרת proxy, מוודאים שהיציאות בחומת האש פתוחות.
• ‫Carbon Black App Control Server בגרסה 8.x ומעלה.
• גישת הרשאה (חשבון אדמין) למסוף Carbon Black App Control.

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings (הגדרות SIEM) > Collection Agents (סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: '<customer_id>'
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: CB_APP_CONTROL
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
• מחליפים את <customer_id> במזהה הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ האימות בקטע קבלת קובץ אימות להעברה ל-Google SecOps.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog של Carbon Black App Control

1. נכנסים למסוף Carbon Black App Control באמצעות חשבון אדמין.
2. לוחצים על סמל ההגדרות (גלגל השיניים) ואז על System Configuration (הגדרת המערכת).
3. בדף System Configuration (הגדרת המערכת), לוחצים על הכרטיסייה Events (אירועים).
4. לוחצים על הלחצן עריכה בתחתית הדף.
5. בחלונית External Event Logging (רישום אירועים חיצוני), מסמנים את התיבה Syslog Enabled (הפעלת Syslog).
6. מספקים את פרטי ההגדרה הבאים:
   • כתובת Syslog: מזינים את כתובת ה-IP או את ה-FQDN של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאת Syslog: מזינים 514 (או את היציאה שהוגדרה ב-Bindplane).
   • פורמט Syslog: בוחרים את פורמט הפלט מהתפריט פורמט Syslog:
     • ‫CEF (ArcSight) – מומלץ להטמעה ב-Google SecOps.
     • משופר (RFC 5424) – ברירת המחדל להתקנות חדשות של גרסה 6.0.1 ואילך.
     • בסיסי (RFC 3164) – ברירת המחדל לשדרוגים מגרסאות קודמות לגרסה 6.0.1.
     • ‫LEEF (Q1 Labs) – לשילוב עם QRadar.

7. לוחצים על עדכון ואז על כן בתיבת הדו-שיח לאישור.

   הערה: מידע נוסף על פורמטים נתמכים של syslog ועל מיפוי אירועים זמין במסמכי התיעוד של Carbon Black App Control.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
ABId	principal.asset.asset_id	הערך ABId מיומן ה-JSON משמש כחלק ממזהה הנכס בפורמט PRODUCT_SPECIFIC_ID:{ABId}-{Bit9Server}.
Bit9Server	principal.asset.asset_id	הערך הזה משמש כחלק ממזהה הנכס של הגורם המורשה, בשילוב עם ABId. הוא משמש גם ליצירת השדה metadata.url_back_to_product.
CommandLine	about.process.command_line	ממופים ישירות.
EventType	metadata.product_event_type	ממופה עם הערך התואם EventTypeId בסוגריים מרובעים (לדוגמה, [5] - Discovery).
EventTypeId	metadata.product_event_type	משתמשים ב-EventType כדי לאכלס את metadata.product_event_type.
EventSubType	metadata.description	נוסף לשדה metadata.description.
EventSubTypeId	metadata.description	לא ממופה באופן מפורש, אבל עשוי לתרום לתיאור על סמך הלוגיקה הפנימית של כלי הניתוח.
externalId	metadata.product_log_id	ממופים ישירות.
FileHash	about.file.sha256	ממופים ישירות.
FileName	‫additional.fields (עם מפתח FileName)	נוסף כשדה נוסף. משמש גם כחלק מפרטי הקובץ ב-metadata.description עבור אירועים מסוימים.
FilePath	about.file.full_path	ממופים ישירות.
FileThreat	‫additional.fields (עם מפתח fileThreat)	נוסף כשדה נוסף.
FileTrust	‫additional.fields (עם מפתח fileTrust)	נוסף כשדה נוסף.
HostId	principal.asset.asset_id	המאפיין הזה משמש ליצירת כתובת ה-URL שמובילה חזרה למוצר ב-metadata.url_back_to_product.
HostName	target.hostname	ממופים ישירות.
HostIP	target.ip	ממופים ישירות.
Message	metadata.description	ממופים ישירות.
PathName	about.file.full_path	ממופים ישירות.
Platform	target.platform	ממופה לערך ה-enum‏ WINDOWS.
Policy	‫additional.fields (עם מפתח Policy)	נוסף כשדה נוסף.
PolicyId	‫additional.fields (עם מפתח PolicyId)	נוסף כשדה נוסף.
ProcessKey	‫additional.fields (עם מפתח ProcessKey)	נוסף כשדה נוסף.
ProcessPath	about.process.command_line	ממופים ישירות.
ProcessPathName	about.process.command_line	ממופים ישירות.
ProcessThreat	‫additional.fields (עם מפתח ProcessThreat)	נוסף כשדה נוסף.
ProcessTrust	‫additional.fields (עם מפתח ProcessTrust)	נוסף כשדה נוסף.
RuleName	‫additional.fields (עם מפתח ruleName)	נוסף כשדה נוסף.
Timestamp	metadata.event_timestamp	ממופים ישירות.
UserName	target.user.user_display_name	ממופים ישירות.
UserSid	principal.user.userid	ממופים ישירות.
agent.ephemeral_id	‫observer.labels (עם מפתח ephemeral_id)	נוספה תווית של משתתף/ת בהקשבה.
agent.name	principal.hostname, observer.hostname, observer.user.userid	ממופים לכמה שדות.
agent.type	observer.application	ממופים ישירות.
agent.version	metadata.product_version	ממופה ישירות ליומני JSON. במקרה של יומני CEF, הערך חולץ מהודעת ה-CEF.
cat	security_result.category_details	ממופים ישירות.
process	event.idm.read_only_udm.principal.file.full_path	מופה מיומן השינויים
text	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
type	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
subtype	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
hostname	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
username	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
date	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
ip_address	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
file_path	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
file_name	event.idm.read_only_udm.target.process.file.names	מופה מיומן השינויים
file_hash	event.idm.read_only_udm.target.file.sha256	מופה מיומן השינויים
policy	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
server_version	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
file_trust	event.idm.read_only_udm.security_result.about.labels	מופה מיומן השינויים
file_threat	event.idm.read_only_udm.security_result.about.labels	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.