איסוף יומנים של Xcitium Endpoint Security

גרסת כלי הניתוח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Xcitium Endpoint Security (לשעבר Comodo) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Xcitium Endpoint Security היא פלטפורמה להגנה על נקודות קצה שמשלבת אנטי-וירוס, חומת אש, מניעת פריצות וטכנולוגיות בידוד כדי להגן על נקודות קצה מפני איומים מוכרים ולא מוכרים. הוא משתמש בגישה של ברירת מחדל של דחייה עם הכלה אוטומטית כדי לבודד קבצים ותהליכים לא מזוהים, וכך למנוע מהם לגרום נזק בזמן שהם מנותחים.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין נקודות הקצה שמנוהלות על ידי Xcitium
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות למסוף Xcitium Endpoint Manager (לשעבר Comodo ITSM / ITarian)
  • תפקיד אדמין ב-Xcitium Endpoint Manager כדי לשנות את פרופילי ההגדרות האישיות ואת הגדרות הפורטל

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/comodo_av:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: 'your-customer-id'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: COMODO_AV
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/comodo_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/comodo_av

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה. כדי להאזין בכל הממשקים, צריך להשתמש ב-0.0.0.0. יציאת ברירת המחדל של syslog היא 514.

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים.
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח מתוך מסוף Google SecOps.
    • endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • לרשימה המלאה, ראו נקודות קצה אזוריות.

שמירת קובץ התצורה

  • אחרי העריכה, שומרים את הקובץ:

    • ‫Linux: מקישים על Ctrl+O, ואז על Enter, ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Xcitium Endpoint Security

ב-Xcitium Endpoint Manager יש שתי רמות של העברת syslog. כדי להבטיח כיסוי מקיף של היומנים, צריך להגדיר את שניהם.

הגדרת העברה של syslog ברמת נקודת הקצה (Xcitium Client – יומני אבטחה)

  1. נכנסים למסוף Xcitium Endpoint Manager.
  2. עוברים אל Configuration Templates (תבניות הגדרה) > Profiles (פרופילים).
  3. לוחצים על פרופיל Windows שרוצים לשנות או יוצרים פרופיל חדש.
  4. לוחצים על הוספת קטע לפרופיל > הגדרות רישום ביומן.
  5. בקטע Xcitium Client - Security (לקוח Xcitium – אבטחה), מפעילים את האפשרות Write to Syslog Server (כתיבה לשרת Syslog).
  6. מספקים את פרטי ההגדרה הבאים:
    • מארח: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה שהוגדר בסוכן Bindplane (לדוגמה, 514).
  7. אפשר גם להפעיל את האפשרות כתיבה לקובץ יומן (פורמט CEF) כדי לשמור עותק מקומי של יומנים בפורמט Common Event Format.
  8. בקטע Communication Client (לקוח תקשורת), מפעילים את האפשרות Write to Syslog Server (כתיבה לשרת Syslog).
  9. מספקים את פרטי ההגדרה הבאים:
    • מארח: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה שהוגדר בסוכן Bindplane (לדוגמה, 514).
  10. בוחרים את סוגי האירועים שעבורם נאספים יומנים:
    • יומני מעקב
    • יומני סקריפטים
    • יומני תיקונים של מערכת ההפעלה
    • יומני עדכונים של אפליקציות צד שלישי
    • יומני התקנה של אפליקציות
    • יומני הסרה
    • יומני תקשורת של סוכן זיהוי אירועים ותגובה (EDR)
    • יומני תקשורת של Xcitium Client - Security ‏ (XCS)
    • יומני תקשורת של שלט רחוק
    • יומני פעילות
  11. לוחצים על Save.

הגדרת העברת syslog ברמת הפורטל (יומני ביקורת)

  1. נכנסים למסוף Xcitium Endpoint Manager.
  2. עוברים אל Settings (הגדרות) > Portal Set-Up (הגדרת הפורטל) > Logging Settings (הגדרות הרישום).
  3. לוחצים על Edit.
  4. מפעילים את האפשרות כתיבה לשרת syslog.
  5. מזינים את פרטי ההגדרה הבאים:
    • מארח: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה שהוגדר בסוכן Bindplane (לדוגמה, 514).

  6. לוחצים על Save.

מידע נוסף זמין במסמכי התיעוד של הגדרות הרישום ביומן של Xcitium Endpoint Manager ובמאמר הגדרת יומן הביקורת.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
event_type metadata.event_type שם שונה/מיפוי
data5 principal.application מיפוי ישיר
data3 principal.asset.platform_software.platform_version מיפוי ישיר
dvchost principal.hostname מיפוי ישיר
dvc principal.ip ממוזג
data4 principal.user.product_object_id מיפוי ישיר
filePath target.file.full_path מיפוי ישיר
fname target.process.parent_process.file.full_path מיפוי ישיר
suser target.user.userid מיפוי ישיר
לא רלוונטי metadata.product_name קבוע: COMODO_AV
לא רלוונטי metadata.vendor_name קבוע: COMODO
לא רלוונטי principal.ip קבוע: dvc

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.