Check Point 감사 로그 수집

파서 버전: 20.0

다음에서 지원:

이 문서에서는 Bindplane 에이전트를 사용하여 Check Point 감사 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Check Point 관리 서버는 관리자 활동, 구성 변경사항, 로그인/로그아웃 이벤트, 정책 작업에 대한 감사 로그를 생성합니다. 파서는 키-값 쌍을 추출하여 통합 데이터 모델 (UDM)에 매핑합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Windows Server 2016 이상 또는 systemd가 있는 Linux 호스트
  • Bindplane 에이전트와 Check Point 관리 서버 간의 네트워크 연결
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • Check Point 관리 콘솔에 대한 관리 액세스 권한

Google SecOps 수집 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트 로 이동합니다.
  3. 수집 인증 파일 을 다운로드합니다.

  4. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필 로 이동합니다.

  3. 조직 세부정보 섹션에서 고객 ID 를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 관리자 권한으로 명령 프롬프트 또는 PowerShell 을 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sc query observiq-otel-collector

    서비스가 RUNNING 으로 표시됩니다.

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sudo systemctl status observiq-otel-collector

    서비스가 active (running) 으로 표시됩니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참조하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

  • 다음 구성으로 config.yaml의 전체 콘텐츠를 바꿉니다.

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/checkpoint_audit:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CHECKPOINT_AUDIT
        raw_log_field: body

service:
    pipelines:
        logs/checkpoint_audit_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/checkpoint_audit

구성 매개변수

다음 자리표시자를 바꿉니다.

  • 수신 도구 구성:

    • listen_address: 리슨할 IP 주소 및 포트:
      • 모든 인터페이스에서 리슨하려면 0.0.0.0 (권장)
      • 포트 514는 표준 syslog 포트입니다 (Linux에서 루트 필요, 비루트의 경우 1514 사용).

  • 내보내기 구성:

    • creds_file_path: 수집 인증 파일의 전체 경로:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps 콘솔에서 복사한 고객 ID
    • endpoint: 리전 엔드포인트 URL:
      • 미국: malachiteingestion-pa.googleapis.com
      • 유럽: europe-malachiteingestion-pa.googleapis.com
      • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 전체 목록은 리전 엔드포인트를 참조하세요.

구성 파일 저장

  • 수정 후 파일을 저장합니다.
    • Linux: Ctrl+O를 누른 다음 Enter를 누르고 Ctrl+X를 누릅니다.
    • Windows: 파일 > 저장을 클릭합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart observiq-otel-collector

    1. 서비스가 실행 중인지 확인합니다.

      sudo systemctl status observiq-otel-collector

    2. 로그에서 오류를 확인합니다.

      sudo journalctl -u observiq-otel-collector -f

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택합니다.

    • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 서비스 콘솔:

      1. Win+R을 누르고 services.msc를 입력한 후 Enter 키를 누릅니다.
      2. observIQ OpenTelemetry Collector 를 찾습니다.
      3. 마우스 오른쪽 버튼을 클릭하고 다시 시작 을 선택합니다.

      4. 서비스가 실행 중인지 확인합니다.

        sc query observiq-otel-collector

      5. 로그에서 오류를 확인합니다.

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Check Point에서 syslog 구성

  1. Checkpoint 관리 콘솔 에 로그인합니다.
  2. 로그 및 모니터링 > 로그 내보내기로 이동합니다.
  3. 추가 를 클릭합니다.
  4. 내보내기 유형 으로 Syslog 를 선택합니다.
  5. 다음 구성 세부정보를 제공합니다.
    • 이름: 구성 이름을 입력합니다 (예: Google SecOps Export).
    • 대상: Bindplane 에이전트 IP 주소를 입력합니다.
    • 포트: Bindplane 에이전트 포트 번호를 입력합니다.
    • 로그 내보내기: 감사 로그 또는 모두를 선택합니다.
    • Syslog 형식: RFC 3164 또는 RFC 5424를 선택합니다.
  6. 저장 을 클릭합니다.

UDM 매핑 표

로그 필드 UDM 매핑 논리
act read_only_udm.security_result.action 원시 로그의 act 필드 값입니다.
additional_info read_only_udm.security_result.description 원시 로그의 additional_info 필드 값입니다.
administrator read_only_udm.target.user.user_display_name 원시 로그의 administrator 필드 값입니다.
comment read_only_udm.additional.fields.value.string_value 원시 로그의 comment 필드 값입니다. 키는 comment로 하드코딩됩니다.
deviceDirection read_only_udm.network.direction deviceDirection=1이면 OUTBOUND이고 그렇지 않으면 INBOUND입니다.
ifname read_only_udm.additional.fields.value.string_value 원시 로그의 ifname 필드 값입니다. 키는 ifname으로 하드코딩됩니다.
loguid read_only_udm.metadata.product_log_id 원시 로그의 loguid 필드 값입니다.
log_sys_message read_only_udm.metadata.description 원시 로그의 log_sys_message 필드 값입니다.
msg read_only_udm.metadata.description 원시 로그의 msg 필드 값입니다.
operation read_only_udm.security_result.action_details 원시 로그의 operation 필드 값입니다.
origin read_only_udm.intermediary.ip 원시 로그의 origin 필드 값입니다.
originsicname read_only_udm.additional.fields.value.string_value 원시 로그의 originsicname 필드 값입니다. 키는 originsicname으로 하드코딩됩니다.
outcome read_only_udm.security_result.outcomes.value 원시 로그의 outcome 필드 값입니다. 키는 outcome으로 하드코딩됩니다.
product read_only_udm.metadata.product_name 원시 로그의 product 필드 값입니다.
rt read_only_udm.metadata.event_timestamp.seconds 원시 로그의 rt 필드 값을 초로 변환한 값입니다.
sendtotrackerasadvancedauditlog read_only_udm.additional.fields.value.string_value 원시 로그의 sendtotrackerasadvancedauditlog 필드 값입니다. 키는 sendtotrackerasadvancedauditlog로 하드코딩됩니다.
sequencenum read_only_udm.additional.fields.value.string_value 원시 로그의 sequencenum 필드 값입니다. 키는 sequencenum으로 하드코딩됩니다.
session_uid read_only_udm.additional.fields.value.string_value 원시 로그의 session_uid 필드 값입니다. 키는 session_uid로 하드코딩됩니다.
sntdom read_only_udm.principal.administrative_domain 원시 로그의 sntdom 필드 값입니다.
src read_only_udm.principal.ip 원시 로그의 src 필드 값입니다.
subject read_only_udm.security_result.summary 원시 로그의 subject 필드 값입니다.
update_service read_only_udm.additional.fields.value.string_value 원시 로그의 update_service 필드 값입니다. 키는 update_service로 하드코딩됩니다.
version read_only_udm.additional.fields.value.string_value 원시 로그의 version 필드 값입니다. 키는 version으로 하드코딩됩니다.
해당 사항 없음 read_only_udm.metadata.event_type 원시 로그에 host 필드가 있으면 STATUS_UPDATE입니다. operation 필드가 Log Out과 같으면 USER_LOGOUT입니다. operation 필드가 Log In과 같으면 USER_LOGIN입니다. 그렇지 않으면 GENERIC_EVENT입니다.
해당 사항 없음 read_only_udm.metadata.vendor_name 하드코딩된 값: Check Point
해당 사항 없음 read_only_udm.metadata.product_version 하드코딩된 값: Check Point
해당 사항 없음 read_only_udm.metadata.product_event_type 하드코딩된 값: [Log] - Log
해당 사항 없음 read_only_udm.metadata.log_type 하드코딩된 값: CHECKPOINT_FIREWALL
해당 사항 없음 read_only_udm.principal.hostname 원시 로그의 host 필드 값입니다.
해당 사항 없음 read_only_udm.principal.asset.hostname 원시 로그의 host 필드 값입니다.
해당 사항 없음 read_only_udm.extensions.auth.type operation 필드가 Log Out 또는 Log In과 같으면 AUTHTYPE_UNSPECIFIED입니다.
해당 사항 없음 read_only_udm.extensions.auth.mechanism operation 필드가 Log Out 또는 Log In과 같으면 MECHANISM_UNSPECIFIED입니다.

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.