איסוף יומני Commvault

גרסת כלי הניתוח: 3.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Commvault ב-Google Security Operations באמצעות סוכן Bindplane.

‫Commvault יוצר הודעות syslog לפעולות גיבוי, התראות, אירועים ופעילויות מערכת. הכלי לניתוח מחלץ שדות מהודעות היומן וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מערכת Commvault
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• Privileged access to the Commvault Management Console

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/commvault:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: COMMVAULT
          raw_log_field: body
  
  service:
      pipelines:
          logs/commvault_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/commvault
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ב-Commvault Cloud

1. נכנסים למסוף הניהול של Commvault.
2. עוברים אל ניהול > מערכת.
3. לוחצים על המשבצת של מחבר ה-SIEM.
4. לוחצים על הוספת מחבר.
5. בכרטיסייה כללי, מזינים את הפרטים הבאים:
   • שם המחבר: מזינים שם למחבר.
   • סוג המחבר: בוחרים באפשרות Syslog.
   • נתונים בסטרימינג: בוחרים את הנתונים שרוצים לייצא.
6. לוחצים על הבא.
7. בכרטיסייה Connector Definition (הגדרת מחבר), לוחצים על Add syslog server (הוספת שרת syslog).
8. מספקים את פרטי ההגדרה הבאים:
   • שרת Syslog: מזינים את כתובת ה-IP של סוכן Bindplane.
   • מספר יציאה: מזינים את מספר היציאה של סוכן Bindplane.

9. לוחצים על שליחה.

   הערה: אי אפשר להשתמש ביציאות בהתאמה אישית בממשק המשתמש הגרפי בגלל הגבלות אבטחה. למרות שבממשק אפשר להזין כל יציאה, מותרות רק יציאות ברירת המחדל: UDP Port: 514 ו-TCP Port: 6514.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
AgentType	event.idm.read_only_udm.observer.application	הערך נלקח מהשדה AgentType בהודעת היומן.
Alertid	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה Alertid בהודעת היומן. השדה הזה ממופה למפתח alert_id.
Alertname	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה Alertname בהודעת היומן. השדה הזה ממופה למפתח alert_name.
Alertseverity	event.idm.read_only_udm.security_result.severity	השדה הזה משמש לאכלוס השדה security_result.severity על סמך הערך שלו.
Alerttime	event.idm.read_only_udm.metadata.event_timestamp	הערך נלקח מהשדה Alerttime בהודעת היומן והומר לחותמת זמן.
BackupLevel	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה BackupLevel בהודעת היומן. השדה הזה ממופה למפתח backup_level.
BackupSet	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה BackupSet בהודעת היומן. השדה הזה ממופה למפתח backup_set.
לקוח	event.idm.read_only_udm.principal.hostname	הערך נלקח מהשדה Client בהודעת היומן.
CommCell	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה CommCell בהודעת היומן. השדה הזה ממופה במפתח comcell_field.
מחשב	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה Computer בהודעת היומן. השדה הזה ממופה במפתח computer_field.
תיאור	event.idm.read_only_udm.metadata.description	הערך נלקח מהשדה Description בהודעת היומן אחרי עיבוד וניקוי.
DetectedCriteria	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה DetectedCriteria בהודעת היומן. השדה הזה ממופה למפתח detected_criteria.
DetectedTime	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה DetectedTime בהודעת היומן. השדה הזה ממופה למפתח detected_time.
פרטים	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה Details בהודעת היומן. השדה הזה ממופה למפתח details_field.
Eventid	event.idm.read_only_udm.metadata.product_log_id	הערך נלקח מהשדה Eventid בהודעת היומן.
Eventseverity	event.idm.read_only_udm.security_result.severity	השדה הזה משמש לאכלוס השדה security_result.severity על סמך הערך שלו.
הפעולה נכשלה	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה Failure בהודעת היומן. השדה הזה ממופה למפתח failure_filed.
Instance	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה Instance בהודעת היומן. השדה הזה ממופה במפתח instance_field.
מזהה משימה	event.idm.read_only_udm.principal.process.pid	הערך נלקח מהשדה Jobid בהודעת היומן.
MonitoringCriteria	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה MonitoringCriteria בהודעת היומן. השדה הזה ממופה במפתח monitoring_criteria.
Occurencetime	event.idm.read_only_udm.metadata.event_timestamp	הערך נלקח מהשדה Occurencetime בהודעת היומן והומר לחותמת זמן.
Opid	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה Opid בהודעת היומן. השדה הזה ממופה למפתח op_id.
תוכנית	event.idm.read_only_udm.principal.application	הערך נלקח מהשדה Program בהודעת היומן.
רמת החומרה	event.idm.read_only_udm.security_result.severity	הערך נלקח מהשדה Severitylevel בהודעת היומן וממופה על סמך מיפוי מוגדר מראש.
StoragePoliciesUsed	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה StoragePoliciesUsed בהודעת היומן. השדה הזה ממופה למפתח storage_policies_used.
לקוח משנה	event.idm.read_only_udm.additional.fields.value.string_value	הערך נלקח מהשדה Subclient בהודעת היומן. השדה הזה ממופה במפתח subclient_field.
סוג	event.idm.read_only_udm.security_result.detection_fields.value	הערך נלקח מהשדה Type בהודעת היומן. השדה הזה ממופה למפתח alert_type.
שם משתמש	event.idm.read_only_udm.principal.user.userid	הערך נלקח מהשדה Username בהודעת היומן.
anomaly_type	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה למפתח detected_anomaly_type.
שגיאות	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה במפתח errors_field.
file_name	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה למפתח detected_malicious_file.
media_agent	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה במפתח detected_media_agent.
no_of_files_created	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה במפתח no_of_files_created_field.
no_of_files_deleted	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה למפתח no_of_files_deleted_field.
no_of_files_modified	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה למפתח no_of_files_modified_field.
no_of_files_renamed	event.idm.read_only_udm.security_result.detection_fields.value	הערך שחולץ מהשדה Description באמצעות דפוסי grok. השדה הזה ממופה למפתח no_of_files_renamed_field.
כתובת URL	event.idm.read_only_udm.network.http.referral_url	הערך שחולץ מהשדה Description באמצעות דפוסי grok.
	event.idm.read_only_udm.metadata.event_type	השדה הזה מוגדר ל-STATUS_UPDATE אם השדה Client קיים, אחרת הוא מוגדר ל-GENERIC_EVENT.
	event.idm.read_only_udm.metadata.product_name	השדה הזה מוגדר ל-COMMVAULT.
	event.idm.read_only_udm.metadata.vendor_name	השדה הזה מוגדר ל-COMMVAULT.
	event.idm.read_only_udm.principal.user.user_role	השדה הזה מוגדר ל-ADMINISTRATOR אם השדה User הוא Administrator.
Commcellname	additional.fields	מופה מיומן השינויים
Operation	metadata.description	מופה מיומן השינויים
Companyname	principal.user.company_name	מופה מיומן השינויים
machine_name	principal.hostname	מופה מיומן השינויים
locale	additional.fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.