איסוף יומנים של Cimcor CimTrak

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני רישום של Cimcor CimTrak ב-Google Security Operations באמצעות סוכן Bindplane.

‫Cimcor CimTrak היא פלטפורמה לניטור שלמות קבצים (FIM) שמיועדת לזיהוי שינויים לא מורשים בקבצים, בהגדרות ובהגדרות המערכת. הפלטפורמה מספקת אירועים של מעקב אחר שלמות בזמן אמת עם הקשר משפטי מלא, כולל מי, מה, מתי ואיך התרחש שינוי. פלטפורמת CimTrak תומכת בכמה פורמטים של פלט יומן, כולל CEF (פורמט אירועים נפוץ), LEEF (פורמט מורחב של אירועי יומן) ו-MEF (פורמט מיקרו של אירועים).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין Cimcor CimTrak
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת אדמין ללא הגבלה למסוף הניהול של CimTrak מבית Cimcor

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים מספר לקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cimtrak:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CIMCOR
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/cimtrak_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/cimtrak
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫tcplog: סוג הנמען על סמך הפרוטוקול:
    • udplog עבור UDP syslog
    • ‫tcplog for TCP syslog
  • ‫0.0.0.0: כתובת ה-IP להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • כתובת IP ספציפית להאזנה בממשק אחד
  • ‫514: מספר היציאה להאזנה (לדוגמה, 514, ‏ 1514, ‏ 6514)

• הגדרת כלי הייצוא:

  • ‫cimtrak: שם תיאורי של הכלי לייצוא
  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
  • ‫CIMCOR: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

• הגדרת צינור עיבוד נתונים:

  • ‫cimtrak_to_chronicle: שם תיאורי של צינור העיבוד

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog של Cimcor CimTrak

1. נכנסים למסוף הניהול של CimTrak באמצעות פרטי כניסה של אדמין.
2. עוברים אל Administration > System (ניהול > מערכת) או אל ההגדרות של Event Forwarding (העברת אירועים).
3. מאתרים את קטע ההגדרות SIEM Integration (שילוב SIEM) או Syslog.

4. מגדירים את הפרמטרים הבאים:

   הגדרה	ערך
   כתובת ה-IP או שם המארח של שרת Syslog	מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane
   Port	מזינים את היציאה שמתאימה להגדרת המקלט של סוכן Bindplane (לדוגמה, 514)
   פרוטוקול	בוחרים באפשרות TCP או UDP בהתאם לסוג המקלט של Bindplane.
   פורמט היומן	בוחרים באפשרות CEF,‏ LEEF או MEF בהתאם לדרישות.

5. (אופציונלי) מגדירים מסנן כדי לשלוח רק קטגוריות ספציפיות של אירועים (לדוגמה, רק התראות קריטיות) או את כל האירועים.

6. לוחצים על שמירה ומוודאים שהאירועים מופיעים ביומנים של סוכן Bindplane.

   הערה: יכול להיות שיהיו הבדלים בניווט בממשק המשתמש בהתאם לגרסה של CimTrak. הוראות מפורטות שספציפיות לגרסה שלכם מופיעות בקטע SIEM Integration (שילוב SIEM) במסמכי המוצר של CimTrak. אפשר גם לפנות אל התמיכה של Cimcor.

טבלת מיפוי UDM

הערה: אין הפניה למיפוי UDM שזמינה לסוג היומן הזה.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.