איסוף יומני ביקורת של Check Point

גרסת המנתח: 20.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני ביקורת של Check Point ב-Google Security Operations באמצעות סוכן Bindplane.

שרתי הניהול של Check Point יוצרים יומני ביקורת של פעילות אדמינים, שינויים בהגדרות, אירועי כניסה/יציאה ופעולות שקשורות למדיניות. המנתח מחלץ צמדי מפתח/ערך וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין שרת הניהול של Check Point
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין למסוף הניהול של Check Point

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/checkpoint_audit:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CHECKPOINT_AUDIT
      raw_log_field: body
  
  service:
    pipelines:
      logs/checkpoint_audit_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/checkpoint_audit
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
  • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/checkpoint_audit:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CHECKPOINT_AUDIT
      raw_log_field: body
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ב-Check Point

1. נכנסים ל-Checkpoint Management Console.
2. עוברים אל Logs and Monitoring > Log Export.
3. לוחצים על הוספה.
4. בוחרים באפשרות Syslog בתור סוג הייצוא.
5. מזינים את פרטי ההגדרה הבאים:
   • שם: מזינים שם להגדרות האישיות (לדוגמה, Google SecOps Export).
   • יעד: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאה: מזינים את מספר היציאה של סוכן Bindplane.
   • ייצוא יומנים: בוחרים באפשרות יומני ביקורת או הכול.
   • פורמט Syslog: בוחרים באפשרות RFC 3164 או RFC 5424.
6. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
פעולה	read_only_udm.security_result.action	הערך מהשדה act ביומן הגולמי.
additional_info	read_only_udm.security_result.description	הערך מהשדה additional_info ביומן הגולמי.
אדמין	read_only_udm.target.user.user_display_name	הערך מהשדה administrator ביומן הגולמי.
תגובה	read_only_udm.additional.fields.value.string_value	הערך מהשדה comment ביומן הגולמי. המפתח מקודד כ-comment.
deviceDirection	read_only_udm.network.direction	אם deviceDirection=1 אז OUTBOUND, אחרת INBOUND.
ifname	read_only_udm.additional.fields.value.string_value	הערך מהשדה ifname ביומן הגולמי. המפתח מקודד כ-ifname.
loguid	read_only_udm.metadata.product_log_id	הערך מהשדה loguid ביומן הגולמי.
log_sys_message	read_only_udm.metadata.description	הערך מהשדה log_sys_message ביומן הגולמי.
msg	read_only_udm.metadata.description	הערך מהשדה msg ביומן הגולמי.
פעולה	read_only_udm.security_result.action_details	הערך מהשדה operation ביומן הגולמי.
origin	read_only_udm.intermediary.ip	הערך מהשדה origin ביומן הגולמי.
originsicname	read_only_udm.additional.fields.value.string_value	הערך מהשדה originsicname ביומן הגולמי. המפתח מקודד באופן קשיח כ-originsicname.
תוצאה	read_only_udm.security_result.outcomes.value	הערך מהשדה outcome ביומן הגולמי. המפתח מקודד באופן קשיח כ-outcome.
מוצר	read_only_udm.metadata.product_name	הערך מהשדה product ביומן הגולמי.
rt	read_only_udm.metadata.event_timestamp.seconds	הערך מהשדה rt ביומן הגולמי, שהומר לשניות.
sendtotrackerasadvancedauditlog	read_only_udm.additional.fields.value.string_value	הערך מהשדה sendtotrackerasadvancedauditlog ביומן הגולמי. המפתח מקודד כ-sendtotrackerasadvancedauditlog.
sequencenum	read_only_udm.additional.fields.value.string_value	הערך מהשדה sequencenum ביומן הגולמי. המפתח מקודד באופן קשיח כ-sequencenum.
session_uid	read_only_udm.additional.fields.value.string_value	הערך מהשדה session_uid ביומן הגולמי. המפתח מקודד באופן קשיח כ-session_uid.
sntdom	read_only_udm.principal.administrative_domain	הערך מהשדה sntdom ביומן הגולמי.
src	read_only_udm.principal.ip	הערך מהשדה src ביומן הגולמי.
נושא	read_only_udm.security_result.summary	הערך מהשדה subject ביומן הגולמי.
update_service	read_only_udm.additional.fields.value.string_value	הערך מהשדה update_service ביומן הגולמי. המפתח מקודד כ-update_service.
גרסה	read_only_udm.additional.fields.value.string_value	הערך מהשדה version ביומן הגולמי. המפתח מקודד באופן קשיח כ-version.
לא רלוונטי	read_only_udm.metadata.event_type	אם השדה host קיים ביומן הגולמי, אז STATUS_UPDATE. אם הערך בשדה operation שווה לערך בשדה Log Out, אז USER_LOGOUT. אם השדה operation שווה ל-Log In, אז USER_LOGIN. אחרת GENERIC_EVENT.
לא רלוונטי	read_only_udm.metadata.vendor_name	ערך שמוגדר בהארדקוד: Check Point.
לא רלוונטי	read_only_udm.metadata.product_version	ערך בתוך הקוד: Check Point.
לא רלוונטי	read_only_udm.metadata.product_event_type	ערך בתוך הקוד: [Log] - Log.
לא רלוונטי	read_only_udm.metadata.log_type	ערך בתוך הקוד: CHECKPOINT_FIREWALL.
לא רלוונטי	read_only_udm.principal.hostname	הערך מהשדה host ביומן הגולמי.
לא רלוונטי	read_only_udm.principal.asset.hostname	הערך מהשדה host ביומן הגולמי.
לא רלוונטי	read_only_udm.extensions.auth.type	אם השדה operation שווה ל-Log Out או ל-Log In, אז AUTHTYPE_UNSPECIFIED.
לא רלוונטי	read_only_udm.extensions.auth.mechanism	אם השדה operation שווה ל-Log Out או ל-Log In, אז MECHANISM_UNSPECIFIED.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.