O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do Citrix StoreFront

Versão do analisador:1.0

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do Citrix StoreFront no Google Security Operations usando o Bindplane.

O Citrix StoreFront é um aplicativo da Web que oferece uma loja de aplicativos corporativos para áreas de trabalho e aplicativos virtuais da Citrix. Ele autentica usuários em sites do Citrix Virtual Apps and Desktops e agrega os recursos disponíveis em um único portal. O StoreFront grava eventos de autenticação, inicialização de sessão e serviço no log de eventos do Windows em fontes de eventos com prefixo Citrix.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Windows Server 2016 ou mais recente com systemd
Conectividade de rede entre o agente do Bindplane e a Internet
Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso administrativo ao Windows Server que hospeda o Citrix StoreFront
Citrix StoreFront 2308 ou versão mais recente instalado e configurado

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

Novas implantações: use a API Chronicle (opção 1).
Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

Faça login no consoleGoogle Cloud e selecione o projeto Google Cloud vinculado à sua instância do Google SecOps.
Acesse IAM e administrador > Contas de serviço.
Clique em Criar conta de serviço.
Informe os seguintes detalhes de configuração:
- Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
- Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
Clique em Criar e continuar.
Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
Clique em Continuar e depois em Concluído.
Clique na conta de serviço que você criou e acesse a guia Chaves.
Clique em Adicionar chave > Criar nova chave.
Selecione JSON e clique em Criar. O arquivo de chave é baixado para o computador.
Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para a configuração do exportador.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Faça o download do arquivo de autenticação de ingestão.
Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows de acordo com as instruções a seguir.

Instalação do Windows

Abra o Prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sc query observiq-otel-collector
```

O serviço precisa aparecer como RUNNING.

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do BindPlane.

Configurar o agente do Bindplane para ingerir logs de eventos do Windows e enviar ao Google SecOps

Localize o arquivo de configuração.

Abra o Prompt de comando como administrador.
Navegue até o diretório de instalação do agente do Bindplane e abra o arquivo de configuração:
```
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
```

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela seguinte configuração:

receivers:
  windowseventlog/storefront_application:
    channel: Application
    raw: true
    start_at: end
    operators:
      - type: filter
        expr: 'record["source_name"] matches "^Citrix"'

processors:
  batch:

exporters:
  chronicle/storefront:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds: '{
      "type": "service_account",
      "project_id": "YOUR_PROJECT_ID",
      "private_key_id": "YOUR_PRIVATE_KEY_ID",
      "private_key": "-----BEGIN PRIVATE KEY-----\nYOUR_PRIVATE_KEY\n-----END PRIVATE KEY-----\n",
      "client_email": "YOUR_CLIENT_EMAIL",
      "client_id": "YOUR_CLIENT_ID",
      "auth_uri": "https://accounts.google.com/o/oauth2/auth",
      "token_uri": "https://oauth2.googleapis.com/token",
      "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
      "client_x509_cert_url": "YOUR_CERT_URL"
    }'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

service:
  pipelines:
    logs/storefront:
      receivers:
        - windowseventlog/storefront_application
      processors:
        - batch
      exporters:
        - chronicle/storefront

Parâmetros de configuração

Substitua os seguintes marcadores de posição pelos valores reais:

Configuração do exportador:
- YOUR_PROJECT_ID: o ID do projeto do arquivo de autenticação de ingestão
- YOUR_PRIVATE_KEY_ID: o ID da chave privada do arquivo de autenticação de ingestão.
- YOUR_PRIVATE_KEY: a chave privada do arquivo de autenticação de ingestão (garanta o escape adequado de novas linhas)
- YOUR_CLIENT_EMAIL: o e-mail do cliente do arquivo de autenticação de ingestão
- YOUR_CLIENT_ID: o ID do cliente do arquivo de autenticação de ingestão
- YOUR_CERT_URL: o URL do certificado x509 do cliente do arquivo de autenticação de ingestão.
- YOUR_CUSTOMER_ID: seu ID de cliente do Google SecOps.
Substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
Substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.

Exemplo:

exporters:
  chronicle/storefront:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

Exportador da API de ingestão legada

Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/storefront:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CITRIX_STOREFRONT'
    override_log_type: false
    raw_log_field: body

Salve o arquivo de configuração.

Depois de editar, salve o arquivo:
- Clique em Arquivo > Salvar.
- Fechar o Bloco de Notas

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane em Windows:

Escolha uma das seguintes opções:
- Prompt de comando ou PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console de serviços:
  1. Pressione Win+R, digite services.msc e pressione Enter.
  2. Localize o Coletor do OpenTelemetry da observIQ.
  3. Clique com o botão direito do mouse e selecione Reiniciar.
Verifique se o serviço está em execução:
```
sc query observiq-otel-collector
```

Verifique se há erros nos registros:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar a geração de logs de eventos do Citrix StoreFront

Por padrão, o StoreFront 2311 e versões mais recentes registram mensagens de registro de nível de erro, aviso e informação. Para versões anteriores (2308 e anteriores), apenas mensagens de registro de nível de erro são registradas por padrão.

Ativar o registro detalhado (opcional)

Para aumentar os detalhes da geração de registros para fins de solução de problemas:

Faça login no servidor StoreFront com privilégios de administrador local.
Abra o PowerShell como administrador.
Execute o seguinte comando para ativar a geração de registros detalhados para todos os serviços:
```
Set-STFDiagnostics -All -TraceLevel "Verbose" -confirm:$False
```
Observação:se você estiver usando o StoreFront 2311 ou uma versão mais recente, adicione o parâmetro -Override.
Observação:esse comando reinicia os serviços do StoreFront. Aguarde o prompt do PowerShell retornar antes de continuar. Enquanto os serviços estiverem sendo reiniciados, o servidor do StoreFront não estará acessível para os usuários.
Após a solução de problemas, reverta o nível de geração de registros para o padrão:
```
Set-STFDiagnostics -All -TraceLevel "Info" -confirm:$False
```
Observação: se você estiver usando o StoreFront 2311 ou uma versão mais recente, adicione o parâmetro -Override.

Verificar eventos do log de eventos do Windows

Pressione Win+R, digite eventvwr.msc e pressione Enter para abrir o Visualizador de Eventos.
Acesse Application and Services Logs > Citrix Delivery Services.
Verifique se os eventos estão sendo registrados para autenticação, lojas e Receiver para sites.
Acesse Registros do Windows > Aplicativo.
Filtre os eventos por nomes de origem que começam com Citrix para verificar se os eventos no nível do aplicativo estão sendo gerados.

Configurar a limitação de registros de eventos (opcional)

O StoreFront é compatível com a limitação de log de eventos para limitar o número de eventos duplicados. Para configurar a limitação:

Navegue até os diretórios de configurações de serviço do StoreFront no servidor:
- Serviço de autenticação: C:\inetpub\wwwroot\Citrix\Authentication
- Loja: C:\inetpub\wwwroot\Citrix\<storename>
- Site do receptor para Web: C:\inetpub\wwwroot\Citrix\<storename>\Web
Abra o arquivo web.config em cada diretório usando um editor de texto.
Localize o elemento logger e configure os parâmetros de limitação:
```
<logger duplicateInterval="00:01:00" duplicateLimit="10">
```
- duplicateInterval: o período (horas:minutos:segundos) em que as entradas de registro duplicadas são monitoradas.
- duplicateLimit: o número de entradas duplicadas que precisam ser registradas no intervalo para acionar a limitação.
Salve os arquivos de configuração.

Para mais informações, consulte a documentação de arquivos de registro do Citrix StoreFront.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
`OpcodeValue_label`	`additional.fields`	Mesclado
`Opcode_label`	`additional.fields`	Mesclado
`ThreadID_label`	`additional.fields`	Mesclado
`X-Citrix-Via_label`	`additional.fields`	Mesclado
`XCitrixGateway_label`	`additional.fields`	Mesclado
`keyword_label`	`additional.fields`	Mesclado
`_vulns`	`extensions.vulns.vulnerabilities`	Mesclado
`_intermediary`	`intermediary`	Mesclado
`_intermediary_controller`	`intermediary`	Mesclado
`_intermediary_hypervisor`	`intermediary`	Mesclado
`_intermediary_storefront`	`intermediary`	Mesclado
`description`	`metadata.description`	Mapeado diretamente
`EventTime`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Machine.CreatedDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Machine.LastDeregisteredDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Machine.ModifiedDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Machine.PoweredOnDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Machine.RegistrationStateChangeDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Session.EndDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`Session.StartDate`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`event_date`	`metadata.event_timestamp`	Analisado como `RFC 3339`
`has_principal`	`metadata.event_type`	Mapeado: `true` → `NETWORK_CONNECTION`, `true` → `STATUS_UPDATE`
`EventID`	`metadata.product_event_type`	Mapeado diretamente
`RecordNumber`	`metadata.product_log_id`	Mapeado diretamente
`Machine.AgentVersion`	`metadata.product_version`	Renomeado/mapeado
`_network`	`network`	Renomeado/mapeado
`_principal`	`principal`	Renomeado/mapeado
`Channel_label`	`security_result.about.resource.attribute.labels`	Mesclado
`severity`	`security_result.severity`	Mapeado: `(?i)Info` → `INFORMATIONAL`, `(?i)Error` → `ERROR`, `(?i)Warning` → `MEDIUM`
`SeverityValue`	`security_result.severity_details`	Mapeado diretamente
`Connection.ConnectedViaHostName`	`src.hostname`	Mapeado diretamente
`_target`	`target`	Renomeado/mapeado
N/A	`extensions.auth.auth_details`	Constante: `ACTIVE`
N/A	`extensions.auth.type`	Constante: `MACHINE`
N/A	`metadata.event_type`	Constante: `GENERIC_EVENT`
N/A	`metadata.product_name`	Constante: `Monitor Service OData`
N/A	`metadata.vendor_name`	Constante: `Citrix`
N/A	`security_result.severity`	Constante: `INFORMATIONAL`
`OpcodeValue","X-Citrix-Via","ThreadID","XCitrixGateway","Opcode","Keywords", "OpcodeValue`	`additional.fields`	Mapeado do registro de alterações
`X-Citrix-Via-VIP`	`_target.ip`	Mapeado do registro de alterações
`Remoteadresse`	`taregt.ip`	Mapeado do registro de alterações
`invalid_X-Forwarded-For`	`_principal.ip`	Mapeado do registro de alterações
`Task`	`_target.resource.type`	Mapeado do registro de alterações
`Hostname`	`_principal.hostname`	Mapeado do registro de alterações
`SourceModuleName`	`target.resource.name`	Mapeado do registro de alterações
`SourceModuleType`	`_principal.resource.attribute.labels`	Mapeado do registro de alterações
`Machine.AssociatedUserUPNs`	`target.group.email_addresses`	Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.