איסוף יומנים של Cisco Vision Dynamic Signage Director (לשעבר StadiumVision Director)

גרסת המנתח: 1.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Cisco Vision Dynamic Signage Director (לשעבר StadiumVision Director) ב-Google Security Operations באמצעות Bindplane.

Cisco Vision Dynamic Signage Director היא פלטפורמה לניהול תוכן ושילוט דיגיטלי שמיועדת לאצטדיונים, לאולמות ולמקומות גדולים. היא מאפשרת שליטה מרכזית והפצה של תוכן מולטימדיה למסכים דיגיטליים, כולל קירות סרטונים, לוחות תוצאות ולוחות תפריטים דיגיטליים ברשתות של מקומות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין שרת Cisco Vision Dynamic Signage Director
  • אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות ל-Cisco Vision Dynamic Signage Director דרך ממשק האינטרנט עם תפקיד אדמין
  • Cisco Vision Dynamic Signage Director מגרסה 6.4 ואילך (התמיכה ב-syslog נוספה בגרסה 6.4)

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על יצירת חשבון שירות.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • מאתרים את קובץ התצורה במערכת ההפעלה:

    • ‫Linux:
    sudo nano /opt/observiq-otel-collector/config.yaml
    • Windows:
    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ תצורה

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_vision:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
    customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: CISCO_STADIUMVISION
    raw_log_field: body
    ingestion_labels:
      source: cisco_vision_director

service:
  pipelines:
    logs/cisco_vision_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_vision

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • המקלט מוגדר להאזין ליציאת UDP‏ 514 בכל ממשקי הרשת (0.0.0.0:514)
    • ‫Cisco Vision Director שולח הודעות syslog בפורמט RFC 5424 דרך UDP (העברת RFC 5426)

  • הגדרת הייצוא:

    • ‫<PLACEHOLDER_CREDS_FILE_PATH>: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫<PLACEHOLDER_CUSTOMER_ID>: מספר הלקוח ב-Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

  • הגדרה לדוגמה

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_vision:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: CISCO_STADIUMVISION
    raw_log_field: body
    ingestion_labels:
      source: cisco_vision_director
      env: production

service:
  pipelines:
    logs/cisco_vision_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_vision

כלי לייצוא נתונים מ-Legacy ingestion API

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/cisco_vision:
    compression: gzip
    creds_file_path: '<PLACEHOLDER_CREDS_FILE_PATH>'
    customer_id: '<PLACEHOLDER_CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CISCO_STADIUMVISION
    raw_log_field: body
    ingestion_labels:
      source: cisco_vision_director

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

  1. מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. מוודאים שהשירות פועל:

    sudo systemctl status observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

  1. בוחרים אחת מהאפשרויות האלה:

    • שורת פקודה או PowerShell כאדמין:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • מסוף השירותים:
      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  2. מוודאים שהשירות פועל:

    sc query observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Cisco Vision Dynamic Signage Director

הפעלת syslog ב-Cisco Vision Director

  1. נכנסים לממשק האינטרנט של Cisco Vision Dynamic Signage Director באמצעות פרטי כניסה של אדמין.
  2. עוברים אל הגדרות > הגדרות מערכת > הגדרות של Dynamic Signage Director > הגדרות Syslog.
  3. בחלונית Configuration Properties (מאפייני הגדרה), בוחרים באפשרות Enable Syslog (הפעלת Syslog).
  4. לוחצים על Edit. מופיעה תיבת הדו-שיח Edit Configuration Setting.
  5. בתפריט הנפתח, בוחרים באפשרות true.
  6. לוחצים על Save.

הגדרת כתובת ה-IP והיציאה של שרת syslog

  1. באותו קטע Syslog Configuration (הגדרת Syslog), בוחרים באפשרות Syslog Server IP & Port (כתובת ה-IP והיציאה של שרת Syslog).
  2. לוחצים על Edit. מופיעה תיבת הדו-שיח Edit Configuration (עריכת ההגדרה).
  3. בשדה Value (ערך), מזינים את כתובת ה-IP והיציאה של מארח סוכן Bindplane בפורמט IP_ADDRESS:PORT.
    • לדוגמה: 192.168.1.100:514
    • מחליפים את 192.168.1.100 בכתובת ה-IP בפועל של המארח של סוכן Bindplane.
    • צריך להשתמש ביציאה 514 כדי להתאים להגדרות של סוכן Bindplane
  4. לוחצים על Save.
  5. מוודאים שכתובת ה-IP והיציאה מופיעות עכשיו בשדה Syslog Server IP & Port.

הפעלת העברה של יומן המערכת של DMP דרך Director (אופציונלי)

אם רוצים להעביר את יומני המערכת של נגן המדיה הדיגיטלית (DMP) דרך Cisco Vision Director לשרת ה-syslog החיצוני:

  1. בקטע Syslog Configuration (הגדרת Syslog), בוחרים באפשרות Enable DMP Syslog through Director (הפעלת Syslog של DMP דרך Director).
  2. לוחצים על Edit. מופיעה תיבת הדו-שיח Edit Configuration Setting.
  3. משנים את הערך ל-true.
  4. לוחצים על Save.

אימות ההגדרות של syslog

  1. אחרי ששומרים את ההגדרה, מוודאים שהיומנים נשלחים לסוכן Bindplane.

  2. בודקים את היומנים של סוכן Bindplane כדי לראות הודעות syslog נכנסות:

    • Linux:
    sudo journalctl -u observiq-otel-collector -f
    • ‫Windows:
    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. אמורים להופיע רשומות ביומן שמציינות קבלה והעברה מוצלחות של הודעות syslog של Cisco Vision Director.

מקורות מידע נוספים בנושא הגדרות

למידע נוסף על הגדרת syslog ב-Cisco Vision Dynamic Signage Director, אפשר לעיין במסמכי התיעוד הבאים של Cisco:

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
intem_host intermediary.hostname שם המארח של המכשיר המתווך
תיאור, נתונים metadata.description תיאור נוסף של האירוע
metadata.event_type סוג האירוע שמיוצג על ידי הרשומה ביומן
event_category metadata.product_event_type סוג אירוע ספציפי למוצר
network.application_protocol פרוטוקול האפליקציה שנעשה בו שימוש בחיבור
method network.http.method שיטת ה-HTTP שנעשה בה שימוש בבקשה
תשובה network.http.response_code קוד תגובת HTTP
user_agent network.http.user_agent מחרוזת סוכן המשתמש מבקשת ה-HTTP
ses network.session_id מזהה של סשן ברשת
אפליקציה principal.application האפליקציה שמשויכת לחשבון הראשי
prin_ip principal.ip כתובת ה-IP שמשויכת לחשבון המשתמש
pid principal.process.pid מזהה התהליך של הישות המורשית
acct principal.user.userid מזהה המשתמש של הישות המורשית
action_result security_result.action הפעולה שבוצעה על ידי מערכת האבטחה
res, task security_result.action_details פרטים על פעולת האבטחה
msg_data, desc security_result.description תיאור של תוצאת האבטחה
grantors, ‏ method_name, ‏ type, ‏ name, ‏ count, ‏ m1_rate, ‏ m5_rate, ‏ m15_rate, ‏ mean_rate, ‏ rate_unit, ‏ duration_unit security_result.detection_fields שדות נוספים שקשורים לזיהוי
severity security_result.severity רמת החומרה של תוצאת האבטחה
op, act_detail security_result.summary סיכום תוצאות האבטחה
exe, ENV target.file.full_path הנתיב המלא לקובץ היעד
פקודה target.process.command_line שורת הפקודה של תהליך היעד
path, url target.url כתובת ה-URL שמשויכת ליעד
משתמש target.user.userid מזהה המשתמש של היעד

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.