Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Citrix StoreFront-Protokolle erfassen

Parserversion: 1.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Citrix StoreFront-Logs mit Bindplane in Google Security Operations aufnehmen können.

Citrix StoreFront ist eine Webanwendung, die einen Enterprise Application Store für virtuelle Desktops und Anwendungen von Citrix bereitstellt. Es authentifiziert Nutzer für Citrix Virtual Apps and Desktops-Sites und fasst verfügbare Ressourcen in einem einzigen Portal zusammen. StoreFront schreibt Authentifizierungs-, Sitzungsstart- und Serviceereignisse in das Windows-Ereignisprotokoll unter Ereignisquellen mit dem Präfix „Citrix“.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent und dem Internet
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Administratorzugriff auf den Windows-Server, auf dem Citrix StoreFront gehostet wird
Citrix StoreFront 2308 oder höher ist installiert und konfiguriert.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM & Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent so konfigurieren, dass Windows-Ereignisprotokolle aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

Öffnen Sie die Eingabeaufforderung als Administrator.
Rufen Sie das Installationsverzeichnis des Bindplane-Agents auf und öffnen Sie die Konfigurationsdatei:
```
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
```

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  windowseventlog/storefront_application:
    channel: Application
    raw: true
    start_at: end
    operators:
      - type: filter
        expr: 'record["source_name"] matches "^Citrix"'

processors:
  batch:

exporters:
  chronicle/storefront:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds: '{
      "type": "service_account",
      "project_id": "YOUR_PROJECT_ID",
      "private_key_id": "YOUR_PRIVATE_KEY_ID",
      "private_key": "-----BEGIN PRIVATE KEY-----\nYOUR_PRIVATE_KEY\n-----END PRIVATE KEY-----\n",
      "client_email": "YOUR_CLIENT_EMAIL",
      "client_id": "YOUR_CLIENT_ID",
      "auth_uri": "https://accounts.google.com/o/oauth2/auth",
      "token_uri": "https://oauth2.googleapis.com/token",
      "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
      "client_x509_cert_url": "YOUR_CERT_URL"
    }'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

service:
  pipelines:
    logs/storefront:
      receivers:
        - windowseventlog/storefront_application
      processors:
        - batch
      exporters:
        - chronicle/storefront

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter durch Ihre tatsächlichen Werte:

Exporter-Konfiguration:
- YOUR_PROJECT_ID: Die Projekt-ID aus Ihrer Datei zur Authentifizierung für die Aufnahme
- YOUR_PRIVATE_KEY_ID: Die ID des privaten Schlüssels aus Ihrer Authentifizierungsdatei für die Datenaufnahme
- YOUR_PRIVATE_KEY: Der private Schlüssel aus Ihrer Datei für die Authentifizierung bei der Aufnahme (achten Sie auf die richtige Maskierung von Zeilenumbrüchen).
- YOUR_CLIENT_EMAIL: Die Client-E-Mail-Adresse aus Ihrer Datei für die Authentifizierung bei der Aufnahme
- YOUR_CLIENT_ID: Die Client-ID aus Ihrer Authentifizierungsdatei für die Datenaufnahme
- YOUR_CERT_URL: Die x509-Zertifikats-URL des Clients aus Ihrer Authentifizierungsdatei für die Datenaufnahme
- YOUR_CUSTOMER_ID: Ihre Google SecOps-Kundennummer
Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.

Beispiel:

exporters:
  chronicle/storefront:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/storefront:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Klicken Sie auf Datei > Speichern.
- Notepad schließen

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Services Console:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Prüfen Sie die Logs auf Fehler:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Ereignisprotokollierung für Citrix StoreFront konfigurieren

Standardmäßig werden in StoreFront 2311 und höheren Versionen Nachrichten der Stufen „Fehler“, „Warnung“ und „Info“ protokolliert. In früheren Versionen (2308 und niedriger) werden standardmäßig nur Nachrichten der Stufe „Fehler“ protokolliert.

Ausführliches Logging aktivieren (optional)

So erhöhen Sie die Detailebene für das Logging zur Fehlerbehebung:

Melden Sie sich mit lokalen Administratorberechtigungen auf dem StoreFront-Server an.
Öffnen Sie PowerShell als Administrator.
Führen Sie den folgenden Befehl aus, um das ausführliche Logging für alle Dienste zu aktivieren:
```
Set-STFDiagnostics -All -TraceLevel "Verbose" -confirm:$False
```
Hinweis: Wenn Sie StoreFront 2311 oder höher verwenden, müssen Sie den Parameter -Override hinzufügen.
Hinweis: Mit diesem Befehl werden StoreFront-Dienste neu gestartet. Warten Sie, bis die PowerShell-Eingabeaufforderung zurückgegeben wird, bevor Sie fortfahren. Während die Dienste neu gestartet werden, ist der StoreFront-Server für Nutzer nicht verfügbar.
Setzen Sie die Logging-Ebene nach der Fehlerbehebung auf die Standardeinstellung zurück:
```
Set-STFDiagnostics -All -TraceLevel "Info" -confirm:$False
```
Hinweis: Wenn Sie StoreFront 2311 oder höher verwenden, müssen Sie den Parameter -Override hinzufügen.

Ereignisse im Windows-Ereignisprotokoll prüfen

Drücken Sie Win+R, geben Sie eventvwr.msc ein und drücken Sie die Eingabetaste, um die Ereignisanzeige zu öffnen.
Rufen Sie Anwendungs- und Dienstprotokolle auf.
Prüfen Sie, ob Ereignisse für die Authentifizierung, Stores und Receiver für Websites protokolliert werden.
Gehen Sie zu Windows-Protokolle > Anwendung.
Filtern Sie Ereignisse nach Quellnamen, die mit Citrix beginnen, um zu prüfen, ob Ereignisse auf Anwendungsebene generiert werden.

Drosselung des Ereignisprotokolls konfigurieren (optional)

StoreFront unterstützt die Drosselung von Ereignisprotokollen, um die Anzahl doppelter Ereignisse zu begrenzen. So konfigurieren Sie die Drosselung:

Rufen Sie die StoreFront-Dienstkonfigurationsverzeichnisse auf dem Server auf:
- Authentifizierungsdienst: C:\inetpub\wwwroot\Citrix\Authentication
- Händler: C:\inetpub\wwwroot\Citrix\<storename>
- Receiver für Website: C:\inetpub\wwwroot\Citrix\<storename>\Web
Öffnen Sie die Datei web.config in jedem Verzeichnis mit einem Texteditor.
Suchen Sie das Element logger und konfigurieren Sie die Drosselungsparameter:
```
<logger duplicateInterval="00:01:00" duplicateLimit="10">
```
- duplicateInterval: Der Zeitraum (Stunden:Minuten:Sekunden), in dem doppelte Logeinträge überwacht werden.
- duplicateLimit: Die Anzahl der doppelten Einträge, die innerhalb des Intervalls protokolliert werden müssen, um die Drosselung auszulösen.
Speichern Sie die Konfigurationsdateien.

Weitere Informationen finden Sie in der Dokumentation zu Citrix StoreFront-Protokolldateien.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`OpcodeValue_label`	`additional.fields`	Zusammengeführt
`Opcode_label`	`additional.fields`	Zusammengeführt
`ThreadID_label`	`additional.fields`	Zusammengeführt
`X-Citrix-Via_label`	`additional.fields`	Zusammengeführt
`XCitrixGateway_label`	`additional.fields`	Zusammengeführt
`keyword_label`	`additional.fields`	Zusammengeführt
`_vulns`	`extensions.vulns.vulnerabilities`	Zusammengeführt
`_intermediary`	`intermediary`	Zusammengeführt
`_intermediary_controller`	`intermediary`	Zusammengeführt
`_intermediary_hypervisor`	`intermediary`	Zusammengeführt
`_intermediary_storefront`	`intermediary`	Zusammengeführt
`description`	`metadata.description`	Direkt zugeordnet
`EventTime`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Machine.CreatedDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Machine.LastDeregisteredDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Machine.ModifiedDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Machine.PoweredOnDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Machine.RegistrationStateChangeDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Session.EndDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`Session.StartDate`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`event_date`	`metadata.event_timestamp`	Geparst als `RFC 3339`
`has_principal`	`metadata.event_type`	Zugeordnet: `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`EventID`	`metadata.product_event_type`	Direkt zugeordnet
`RecordNumber`	`metadata.product_log_id`	Direkt zugeordnet
`Machine.AgentVersion`	`metadata.product_version`	Umbenannt/zugeordnet
`_network`	`network`	Umbenannt/zugeordnet
`_principal`	`principal`	Umbenannt/zugeordnet
`Channel_label`	`security_result.about.resource.attribute.labels`	Zusammengeführt
`severity`	`security_result.severity`	Zugeordnet: `(?i)Info` → `INFORMATIONAL`, `(?i)Error` → `ERROR`, `(?i)Warning` → `MEDIUM`
`SeverityValue`	`security_result.severity_details`	Direkt zugeordnet
`Connection.ConnectedViaHostName`	`src.hostname`	Direkt zugeordnet
`_target`	`target`	Umbenannt/zugeordnet
–	`extensions.auth.auth_details`	Konstante: `ACTIVE`
–	`extensions.auth.type`	Konstante: `MACHINE`
–	`metadata.event_type`	Konstante: `GENERIC_EVENT`
–	`metadata.product_name`	Konstante: `Monitor Service OData`
–	`metadata.vendor_name`	Konstante: `Citrix`
–	`security_result.severity`	Konstante: `INFORMATIONAL`
`OpcodeValue","X-Citrix-Via","ThreadID","XCitrixGateway","Opcode","Keywords", "OpcodeValue`	`additional.fields`	Aus Änderungsprotokoll zugeordnet
`X-Citrix-Via-VIP`	`_target.ip`	Aus Änderungsprotokoll zugeordnet
`Remoteadresse`	`taregt.ip`	Aus Änderungsprotokoll zugeordnet
`invalid_X-Forwarded-For`	`_principal.ip`	Aus Änderungsprotokoll zugeordnet
`Task`	`_target.resource.type`	Aus Änderungsprotokoll zugeordnet
`Hostname`	`_principal.hostname`	Aus Änderungsprotokoll zugeordnet
`SourceModuleName`	`target.resource.name`	Aus Änderungsprotokoll zugeordnet
`SourceModuleType`	`_principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`Machine.AssociatedUserUPNs`	`target.group.email_addresses`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten