איסוף יומנים של CipherTrust Manager

גרסת כלי הניתוח: 18.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של CipherTrust Manager ב-Google Security Operations באמצעות סוכן Bindplane.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין CipherTrust Manager
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• Privileged access to the CipherTrust Manager web console

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/ciphertrust_manager:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CIPHERTRUST_MANAGER
          raw_log_field: body
  
  service:
      pipelines:
          logs/ciphertrust_manager_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/ciphertrust_manager
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ל-CipherTrust Manager

1. נכנסים למסוף האינטרנט של CipherTrust Manager.
2. עוברים אל הגדרות אדמין > הודעות > Syslog.
3. לוחצים על New Syslog Server (שרת Syslog חדש).
4. מספקים את פרטי ההגדרה הבאים:
   • מארח: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאה: מזינים את מספר היציאה של סוכן Bindplane (ברירת המחדל היא 514).
   • פורמט יומן: בוחרים באפשרות RFC 5424.
   • העברה: בוחרים באפשרות UDP.
5. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
message	about	מיפוי: CEF → about
deviceNtDomain	about.administrative_domain	שם שונה/מיפוי
deviceExternalId	about.asset.asset_id	מיפוי ישיר
device_product	about.asset.asset_id	מיפוי ישיר
device_vendor	about.asset.asset_id	מיפוי ישיר
fileHash	about.file.full_path	מיפוי ישיר
filePath	about.file.full_path	שם שונה/מיפוי
_hash	about.file.sha256	שם שונה/מיפוי
fileHash	about.file.sha256	שם שונה/מיפוי
fsize	about.file.size	שם שונה/מיפוי
dvchost	about.hostname	שם שונה/מיפוי
ips	about.ip	ממוזג
message	about.ip	מיפוי: CEF → ips
dvc_mac	about.mac	מיפוי: slot → mac_address
dvcmac	about.mac	ממוזג
mac_address	about.mac	ממוזג
message	about.mac	מיפוי: CEF ← mac_address, ‏ CEF ← dvcmac
deviceTranslatedAddress	about.nat_ip	ממוזג
message	about.nat_ip	מיפוי: CEF → deviceTranslatedAddress
Emne	about.process.command_line	מיפוי ישיר
Path	about.process.command_line	מיפוי ישיר
Subject	about.process.command_line	מיפוי ישיר
deviceProcessName	about.process.command_line	שם שונה/מיפוי
dvcpid	about.process.pid	שם שונה/מיפוי
message	about.resource.attribute.permissions	מיפוי: CEF → permissions
permissions	about.resource.attribute.permissions	ממוזג
Internal_label	additional.fields	ממוזג
additional_alias_alias_field	additional.fields	ממוזג
additional_alias_index_field	additional.fields	ממוזג
additional_alias_type_field	additional.fields	ממוזג
additional_cfp1	additional.fields	ממוזג
additional_cfp2	additional.fields	ממוזג
additional_cfp3	additional.fields	ממוזג
additional_cfp4	additional.fields	ממוזג
additional_cn1	additional.fields	ממוזג
additional_cn2	additional.fields	ממוזג
additional_cn3	additional.fields	ממוזג
additional_cs1	additional.fields	ממוזג
additional_cs2	additional.fields	ממוזג
additional_cs3	additional.fields	ממוזג
additional_cs4	additional.fields	ממוזג
additional_cs5	additional.fields	ממוזג
additional_cs6	additional.fields	ממוזג
additional_cs7	additional.fields	ממוזג
additional_devicePayloadId	additional.fields	ממוזג
additional_eventId	additional.fields	ממוזג
additional_flexString1	additional.fields	ממוזג
additional_fname	additional.fields	ממוזג
algorithm_label	additional.fields	ממוזג
app_connector_type_label	additional.fields	ממוזג
assignSelfAsOwner_label	additional.fields	ממוזג
auth_domain_label	additional.fields	ממוזג
client_name_label	additional.fields	ממוזג
client_type_label	additional.fields	ממוזג
codeDesc_label	additional.fields	ממוזג
code_label	additional.fields	ממוזג
createdAt_label	additional.fields	ממוזג
cs2	additional.fields	מיפוי: arc_test → additional_cs2
cs5_label	additional.fields	ממוזג
customAttributes_label	additional.fields	ממוזג
deatils_domain_id_label	additional.fields	ממוזג
details_user_metadata_current_domain_id_label	additional.fields	ממוזג
details_user_metadata_current_persistedData_label	additional.fields	ממוזג
details_user_metadata_current_persistedData_paging_label	additional.fields	ממוזג
domain_id_label	additional.fields	ממוזג
domain_label	additional.fields	ממוזג
emptyMaterial_label	additional.fields	ממוזג
feature_label	additional.fields	ממוזג
format_label	additional.fields	ממוזג
generateKeyId_label	additional.fields	ממוזג
idType_label	additional.fields	ממוזג
id_label	additional.fields	ממוזג
identifier_label	additional.fields	ממוזג
interfaceName_label	additional.fields	ממוזג
interfaceType_label	additional.fields	ממוזג
label_label	additional.fields	ממוזג
message	additional.fields	ערכים ממופים (71 סך הכול, למשל CEF ← additional_eventId, ‏ CEF ← `additional_devicePayloa...
messageFormat_label	additional.fields	ממוזג
meta_label	additional.fields	ממוזג
objectType_label	additional.fields	ממוזג
ownerId_label	additional.fields	ממוזג
padded_label	additional.fields	ממוזג
permissions_label	additional.fields	ממוזג
record_type_id_label	additional.fields	ממוזג
refresh_token_counts_label	additional.fields	ממוזג
refresh_token_counts_no_label	additional.fields	ממוזג
refresh_token_counts_total_label	additional.fields	ממוזג
refresh_token_id_label	additional.fields	ממוזג
renew_refresh_token_label	additional.fields	ממוזג
requestId_label	additional.fields	ממוזג
requestIdentifierType_label	additional.fields	ממוזג
requestIdentifier_label	additional.fields	ממוזג
scope_label	additional.fields	ממוזג
service_label	additional.fields	ממוזג
switch_domain_id_label	additional.fields	ממוזג
undeletable_label	additional.fields	ממוזג
unexportable_label	additional.fields	ממוזג
version_label	additional.fields	ממוזג
xts_label	additional.fields	ממוזג
zone_id_label	additional.fields	ממוזג
details_grant_type	extensions.auth.auth_details	מיפוי ישיר
logon_type_temp	extensions.auth.mechanism	ממוזג
message	extensions.auth.mechanism	מיפוי: CEF ← logon_type_temp, ‏ Get User ← logon_type_temp
message	intermediary	מיפוי: CEF → intermediary
proxy_ip	intermediary.ip	ממוזג
msg	metadata.description	שם שונה/מיפוי
Generated	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-ddTHH:mm:ss
Received	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-ddTHH:mm:ss
event_time	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
rt	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-ddTHH:mm:ssZ
syslog_timestamp	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM dd HH:mm:ss
syslog_timestamp_with_year	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM dd HH:mm:ss yyyy
cef_message	metadata.event_type	מיפוי: (Use Key/Update Key/Export Key) → USER_RESOURCE_UPDATE_CONTENT
event_name	metadata.event_type	מיפוי: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_principal	metadata.event_type	מיפוי: true → NETWORK_CONNECTION
has_user	metadata.event_type	מיפוי: true → USER_UNCATEGORIZED
message	metadata.event_type	ערכים ממופים (12 בסך הכול, למשל CEF ← PROCESS_UNCATEGORIZED, ‏ CEF ← SCAN_UNCATEGORIZED,...
device_event_class_id	metadata.product_event_type	מיפוי ישיר
event_name	metadata.product_event_type	מיפוי ישיר
externalId	metadata.product_log_id	מיפוי ישיר
id	metadata.product_log_id	מיפוי ישיר
uid	metadata.product_log_id	מיפוי ישיר
device_product	metadata.product_name	מיפוי ישיר
product	metadata.product_name	מיפוי ישיר
product_name	metadata.product_name	מיפוי ישיר
device_version	metadata.product_version	מיפוי ישיר
device_vendor	metadata.vendor_name	שם שונה/מיפוי
app_protocol_output	network.application_protocol	מיפוי ישיר
deviceDirection	network.direction	מיפוי: 0 ← INBOUND, ‏ 1 ← OUTBOUND
message	network.direction	מיפוי: CEF ← INBOUND, ‏ CEF ← OUTBOUND
requestMethod	network.http.method	שם שונה/מיפוי
requestClientApplication	network.http.user_agent	שם שונה/מיפוי
ip_protocol_out	network.ip_protocol	מיפוי ישיר
in	network.received_bytes	שם שונה/מיפוי
out	network.sent_bytes	שם שונה/מיפוי
sntdom	principal.administrative_domain	שם שונה/מיפוי
sourceServiceName	principal.application	שם שונה/מיפוי
syslog_host	principal.asset.hostname	מיפוי ישיר
details_user_metadata_current_domain_name	principal.domain.name	מיפוי ישיר
Group_name	principal.group.group_display_name	מיפוי ישיר
Gruppenavn	principal.group.group_display_name	מיפוי ישיר
Device_name	principal.hostname	מיפוי ישיר
Enhetsnavn	principal.hostname	מיפוי ישיר
shost	principal.hostname	שם שונה/מיפוי
syslog_host	principal.hostname	מיפוי ישיר
client_ip	principal.ip	ממוזג
message	principal.ip	מיפוי: CEF ← principal_ip, ‏ CEF ← shost, ‏ CEF ← client_ip, ‏ `(SSL Handshake failed...
principal_ip	principal.ip	ממוזג
shost	principal.ip	ממוזג
mac	principal.mac	ממוזג
message	principal.mac	מיפוי: CEF → mac
message	principal.nat_ip	מיפוי: CEF → sourceTranslatedAddress
sourceTranslatedAddress	principal.nat_ip	ממוזג
sourceTranslatedPort	principal.nat_port	שם שונה/מיפוי
spt	principal.port	שם שונה/מיפוי
sproc	principal.process.command_line	שם שונה/מיפוי
spid	principal.process.pid	שם שונה/מיפוי
acc_label	principal.resource.attribute.labels	ממוזג
acct_label	principal.resource.attribute.labels	ממוזג
iss_label	principal.resource.attribute.labels	ממוזג
jti_label	principal.resource.attribute.labels	ממוזג
message	principal.resource.attribute.labels	ערכים ממופים (5 סה"כ, למשל CEF ← acct_label, ‏ CEF ← acc_label, ‏ CEF ← iss_label)
sub_label	principal.resource.attribute.labels	ממוזג
message	principal.user.attribute.roles	מיפוי: CEF → principal_role
principal_role	principal.user.attribute.roles	ממוזג
details_username	principal.user.user_display_name	מיפוי ישיר
suser	principal.user.user_display_name	מיפוי ישיר
username	principal.user.user_display_name	מיפוי ישיר
details_user_id	principal.user.userid	מיפוי ישיר
details_userid	principal.user.userid	מיפוי ישיר
suid	principal.user.userid	שם שונה/מיפוי
user_id	principal.user.userid	מיפוי ישיר
username	principal.user.userid	מיפוי ישיר
_security_result	security_result	ממוזג
message	security_result	מיפוי: CEF → security_result
_action	security_result.action	ממוזג
act	security_result.action	מיפוי: accept ← _action, ‏ deny ← _action
message	security_result.action	מיפוי: CEF → _action
Action_Taken	security_result.action_details	מיפוי ישיר
act	security_result.action_details	מיפוי ישיר
details_errorMessage	security_result.action_details	מיפוי ישיר
cat	security_result.category_details	ממוזג
message	security_result.category_details	מיפוי: CEF → cat
Scan_Type	security_result.description	מיפוי ישיר
Type	security_result.description	מיפוי ישיר
message	security_result.description	מיפוי ישיר
msg_data_2	security_result.description	מיפוי ישיר
infection_channel_label	security_result.detection_fields	ממוזג
message	security_result.detection_fields	ערכים ממופים (7 סה"כ, למשל CEF ← operation_label, ‏ CEF ← operasjon_label, ‏ CEF ← `...
operasjon_label	security_result.detection_fields	ממוזג
operation_label	security_result.detection_fields	ממוזג
permission_label	security_result.detection_fields	ממוזג
spyware_Grayware_Type_label	security_result.detection_fields	ממוזג
threat_probability_label	security_result.detection_fields	ממוזג
tillatelse_label	security_result.detection_fields	ממוזג
mwProfile	security_result.rule_name	מיפוי ישיר
message	security_result.severity	מיפוי: CEF → LOW, ‏ CEF → MEDIUM, ‏ CEF → HIGH, ‏ CEF → CRITICAL
severity	security_result.severity	מיפוי: "0", "1", "2", "3", "LOW" → LOW, ‏ `‎"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...‎
Result	security_result.summary	מיפוי ישיר
appcategory	security_result.summary	מיפוי ישיר
reason	security_result.summary	שם שונה/מיפוי
success	security_result.summary	מיפוי ישיר
Spyware	security_result.threat_name	מיפוי ישיר
Unknown_Threat	security_result.threat_name	מיפוי ישיר
Virus_Malware_Name	security_result.threat_name	מיפוי ישיר
oldFilePath	src.file.full_path	שם שונה/מיפוי
oldFileSize	src.file.size	שם שונה/מיפוי
client_ip	src.ip	ממוזג
message	src.ip	מיפוי: CEF → client_ip
message	src.resource.attribute.permissions	מיפוי: CEF → old_permissions
old_permissions	src.resource.attribute.permissions	ממוזג
cust_client_id	src.user.product_object_id	מיפוי ישיר
details_client_id	src.user.product_object_id	מיפוי ישיר
dntdom	target.administrative_domain	שם שונה/מיפוי
destinationServiceName	target.application	שם שונה/מיפוי
service	target.application	מיפוי ישיר
service_name	target.application	מיפוי ישיר
application	target.domain.name	מיפוי ישיר
details.size	target.file.size	שם שונה/מיפוי
details.host	target.hostname	מיפוי ישיר
target_hostname	target.hostname	מיפוי ישיר
temp_dhost	target.hostname	מיפוי ישיר
IPv6_Address	target.ip	ממוזג
dst_ip	target.ip	ממוזג
ipv6	target.ip	מיפוי: - → IPv6_Address
message	target.ip	מיפוי: CEF ← dst_ip, ‏ CEF ← IPv6_Address
mac_address	target.mac	ממוזג
message	target.mac	מיפוי: CEF → mac_address
destination_translated_address	target.nat_ip	ממוזג
message	target.nat_ip	מיפוי: CEF → destination_translated_address
destinationTranslatedPort	target.nat_port	שם שונה/מיפוי
details.port	target.port	שם שונה/מיפוי
dpt	target.port	שם שונה/מיפוי
dproc	target.process.command_line	שם שונה/מיפוי
File_name	target.process.file.full_path	מיפוי ישיר
Infected_Resource	target.process.file.full_path	מיפוי ישיר
Object	target.process.file.full_path	מיפוי ישיר
Objekt	target.process.file.full_path	מיפוי ישיר
dpid	target.process.pid	שם שונה/מיפוי
account_label	target.resource.attribute.labels	ממוזג
connection_label	target.resource.attribute.labels	ממוזג
message	target.resource.attribute.labels	ערכים ממופים (6 סך הכול, למשל CEF ← resource_Type_label, ‏ CEF ← name_label, ‏ CEF ← ‏ `u...
name_label	target.resource.attribute.labels	ממוזג
resource_Type_label	target.resource.attribute.labels	ממוזג
uri_label	target.resource.attribute.labels	ממוזג
usageMask_label	target.resource.attribute.labels	ממוזג
source	target.resource.name	מיפוי ישיר
request	target.url	מיפוי ישיר
message	target.user.attribute.roles	מיפוי: CEF → target_role
target_role	target.user.attribute.roles	ממוזג
CustomerName	target.user.user_display_name	מיפוי ישיר
temp_duser	target.user.user_display_name	מיפוי ישיר
Bruker	target.user.userid	מיפוי ישיר
User_value	target.user.userid	מיפוי ישיר
temp_duid	target.user.userid	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: GENERIC_EVENT
לא רלוונטי	network.direction	קבוע: INBOUND
לא רלוונטי	network.ip_protocol	קבוע: UDP
לא רלוונטי	security_result.severity	קבוע: LOW
details.host	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
details.messageFormat	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details.transport	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
syslog_timestamp	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
syslog_host	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
product	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
details.errorMessage	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
sev	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.