איסוף יומנים של Xcitium Endpoint Security

גרסת המנתח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Xcitium Endpoint Security (לשעבר Comodo) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Xcitium Endpoint Security היא פלטפורמה להגנה על נקודות קצה שמשלבת טכנולוגיות של אנטי-וירוס, חומת אש, מניעת פריצות והכלה כדי להגן על נקודות קצה מפני איומים ידועים ולא ידועים. הוא משתמש בגישה של דחייה כברירת מחדל עם הכלה אוטומטית כדי לבודד קבצים ותהליכים לא מזוהים, וכך מונע מהם לגרום נזק בזמן שהם מנותחים.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין נקודות הקצה שמנוהלות על ידי Xcitium
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות למסוף Xcitium Endpoint Manager (לשעבר Comodo ITSM / ITarian)
  • תפקיד אדמין ב-Xcitium Endpoint Manager כדי לשנות את פרופילי ההגדרות האישיות ואת הגדרות הפורטל

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/comodo_av:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'your-customer-id'
    endpoint: chronicle.googleapis.com
    log_type: COMODO_AV
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/comodo_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/comodo_av

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה. כדי להאזין בכל הממשקים, צריך להשתמש ב-0.0.0.0. יציאת ברירת המחדל של syslog היא 514.

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1).
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח ממסוף Google SecOps.
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/comodo_av:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'your-customer-id'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: COMODO_AV
    raw_log_field: body
    ingestion_labels:

שמירת קובץ התצורה

  • אחרי העריכה, שומרים את הקובץ:

    • ‫Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Xcitium Endpoint Security

ב-Xcitium Endpoint Manager יש שתי רמות של העברת syslog. כדי להבטיח כיסוי מקיף של היומנים, צריך להגדיר את שניהם.

הגדרת העברת syslog ברמת נקודת הקצה (Xcitium Client – יומני אבטחה)

  1. נכנסים למסוף Xcitium Endpoint Manager.
  2. עוברים אל Configuration Templates (תבניות הגדרה) > Profiles (פרופילים).
  3. לוחצים על פרופיל Windows שרוצים לשנות, או יוצרים פרופיל חדש.
  4. לוחצים על Add Profile Section (הוספת קטע לפרופיל) > Logging Settings (הגדרות רישום ביומן).
  5. בקטע Xcitium Client - Security, מפעילים את האפשרות Write to שרת Syslog.
  6. מזינים את פרטי ההגדרה הבאים:
    • ‫Host: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • Port: מזינים את מספר היציאה שהוגדר בסוכן Bindplane (לדוגמה, 514).
  7. אפשר גם להפעיל את האפשרות כתיבה לקובץ יומן (בפורמט CEF) כדי לשמור עותק מקומי של היומנים בפורמט Common Event Format.
  8. בקטע Communication Client, מפעילים את האפשרות Write to Syslog Server.
  9. מזינים את פרטי ההגדרה הבאים:
    • ‫Host: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • Port: מזינים את מספר היציאה שהוגדר בסוכן Bindplane (לדוגמה, 514).
  10. בוחרים את סוגי האירועים שעבורם נאספים יומנים:
    • מעקב אחרי יומנים
    • יומני סקריפטים
    • יומני תיקונים של מערכת ההפעלה
    • יומני עדכונים של אפליקציות צד שלישי
    • יומני התקנות של אפליקציות
    • יומני ההסרות
    • יומני תקשורת של סוכן זיהוי אירועים ותגובה (EDR)
    • יומני התקשורת של Xcitium Client - Security (XCS)
    • יומני תקשורת של שלט רחוק
    • יומני פעילות
  11. לוחצים על Save.

הגדרת העברת syslog ברמת הפורטל (יומני ביקורת)

  1. נכנסים למסוף Xcitium Endpoint Manager.
  2. עוברים אל הגדרות > הגדרת הפורטל > הגדרות רישום ביומן.
  3. לוחצים על Edit.
  4. מפעילים את האפשרות כתיבה לשרת syslog.
  5. מזינים את פרטי ההגדרה הבאים:
    • ‫Host: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
    • Port: מזינים את מספר היציאה שהוגדר בסוכן Bindplane (לדוגמה, 514).

  6. לוחצים על Save.

מידע נוסף זמין במסמכי התיעוד של הגדרות הרישום ביומן של Xcitium Endpoint Manager ובמאמר הגדרת יומן הביקורת.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
event_type metadata.event_type שינוי שם/מיפוי
data5 principal.application מיפוי ישיר
data3 principal.asset.platform_software.platform_version מיפוי ישיר
dvchost principal.hostname מיפוי ישיר
dvc principal.ip ממוזג
data4 principal.user.product_object_id מיפוי ישיר
filePath target.file.full_path מיפוי ישיר
fname target.process.parent_process.file.full_path מיפוי ישיר
suser target.user.userid מיפוי ישיר
לא רלוונטי metadata.product_name קבוע: COMODO_AV
לא רלוונטי metadata.vendor_name קבוע: COMODO
לא רלוונטי principal.ip קבוע: dvc

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.