Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux CyberArk Privilege Cloud

Version de l'analyseur : 14.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux CyberArk Privilege Cloud dans Google Security Operations à l'aide de Bindplane. CyberArk Privilege Cloud est une solution SaaS de gestion des accès privilégiés qui sécurise, gère et surveille les identifiants privilégiés dans le cloud. Il fournit une rotation automatisée des identifiants, un enregistrement et un isolement des sessions, un provisionnement des accès juste à temps et une journalisation d'audit complète pour les activités des comptes à privilèges dans les environnements hybrides et multicloud.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps.
Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd.
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès privilégié au portail d'administration CyberArk Privilege Cloud avec des autorisations d'administrateur Vault.
Un certificat TLS valide pour l'hôte de l'agent Bindplane (requis pour syslog sur TLS sur le port 6514).

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM > Agent de collecte.
Téléchargez le fichier d'authentification d'ingestion.
- Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Autres ressources d'installation

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Accédez au fichier de configuration :
- Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
- Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Notepad).

Modifiez le fichier config.yaml comme suit :

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:6514"
        tls:
            cert_file: '/path/to/server.crt'
            key_file: '/path/to/server.key'

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <PLACEHOLDER_CUSTOMER_ID>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CYBERARK_PRIVILEGE_CLOUD'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
Remplacez <PLACEHOLDER_CUSTOMER_ID> par le numéro client réel.
Mettez à jour /path/to/ingestion-authentication-file.json avec le chemin d'accès au fichier où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.
Mettez à jour /path/to/server.crt et /path/to/server.key avec les chemins d'accès réels à vos fichiers de certificat et de clé TLS.

Remarque : CyberArk Privilege Cloud nécessite le protocole TLS pour les connexions syslog. L'agent Bindplane doit être configuré avec un certificat TLS valide. Si vous utilisez un certificat autosigné, vous devez importer le certificat CA dans CyberArk Privilege Cloud.

Configuration sans TLS (TCP uniquement)

Si votre architecture réseau inclut un proxy de terminaison TLS entre CyberArk Privilege Cloud et l'agent Bindplane, vous pouvez utiliser le protocole TCP standard :
```
receivers:
    tcplog:
        listen_address: "0.0.0.0:514"
```

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Configurer le transfert syslog de CyberArk Privilege Cloud

Configurer l'intégration SIEM dans Privilege Cloud

Connectez-vous au portail d'administration CyberArk Privilege Cloud.
Accédez à Administration > Configuration Options > Options > SIEM Integration (Administration > Options de configuration > Options > Intégration SIEM).
Sélectionnez Activer l'intégration SIEM pour activer le transfert syslog.
Fournissez les informations de configuration suivantes :
- Type de SIEM : sélectionnez Syslog.
- Adresse du serveur Syslog : saisissez l'adresse IP ou le nom de domaine complet de l'hôte de l'agent Bindplane (par exemple, syslog.example.com).
- Port du serveur Syslog : saisissez 6514.
- Protocole : sélectionnez TLS.
- Format : sélectionnez CEF (Common Event Format).
Remarque : CyberArk Privilege Cloud n'est pas compatible avec UDP. Seuls les protocoles TCP et TLS sont disponibles pour le transfert syslog.
Dans la section Types d'événements, sélectionnez les catégories d'événements à transférer :
- Audit Vault : événements liés à l'accès à Vault et à la récupération des identifiants.
- Audit de session : événements de surveillance des sessions privilégiées.
- Gestion sécurisée : événements de création, de modification et de suppression sécurisés.
- Gestion des utilisateurs : provisionnement des utilisateurs et modifications des autorisations.
- Modifications des règles : événements de modification des règles et de la plate-forme.
Cliquez sur Enregistrer.

Vérifier la connexion TLS

Vérifiez que l'agent Bindplane écoute sur le port 6514 :
```
sudo ss -tlnp | grep 6514
```
Vérifiez que les journaux sont bien reçus en consultant les journaux de l'agent BindPlane :
```
sudo journalctl -u observiq-otel-collector -f
```
Si aucun journal n'est reçu, vérifiez les points suivants :
- L'hôte de l'agent Bindplane est accessible depuis Internet (CyberArk Privilege Cloud est un service SaaS).
- Les règles de pare-feu autorisent les connexions TCP entrantes sur le port 6514.
- Le certificat TLS est valide et n'a pas expiré.
- Le CN ou le SAN du certificat TLS correspond au nom d'hôte configuré dans CyberArk Privilege Cloud.

Pour en savoir plus sur l'intégration de CyberArk Privilege Cloud à un SIEM, consultez la documentation CyberArk Privilege Cloud.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
`Header.deviceVendor`	`metadata.vendor_name`	Mappé à partir du champ "vendor" de l'en-tête CEF. Défini sur "CyberArk".
`Header.deviceProduct`	`metadata.product_name`	Mappé à partir du champ de produit de l'en-tête CEF. Défini sur "Privilege Cloud".
`Header.deviceVersion`	`metadata.product_version`	Mappé à partir du champ Version de l'en-tête CEF.
`Header.signatureId`	`metadata.product_event_type`	Code d'action d'audit à partir de l'ID de signature CEF.
`Header.name`	`metadata.description`	Nom de l'événement provenant de l'en-tête CEF.
`Header.severity`	`security_result.severity`	Correspond à la gravité CEF (0-3=FAIBLE, 4-6=MOYENNE, 7-8=ÉLEVÉE, 9-10=CRITIQUE).
`suser`	`principal.user.userid`	Utilisateur ayant effectué l'action.
`src`	`principal.ip`	Adresse IP source de la session.
`shost`	`principal.hostname`	Nom d'hôte source.
`duser`	`target.user.userid`	Compte privilégié cible.
`dhost`	`target.hostname`	Nom d'hôte du système cible.
`dst`	`target.ip`	Adresse IP du système cible.
`cs1`	`security_result.detection_fields`	Nom sécurisé (clé : valeur cs1Label).
`cs2`	`security_result.detection_fields`	Nom du compte ou contexte supplémentaire (valeur de la clé cs2Label).
`cs3`	`security_result.detection_fields`	ID de la plate-forme ou informations sur les règles (clé : valeur cs3Label).
`act`	`security_result.action_details`	Action effectuée (par exemple, "Récupérer", "Connecter" ou "Mettre à jour").
`reason`	`security_result.description`	Motif fourni pour l'accès privilégié.
`rt`	`metadata.event_timestamp`	Heure de réception de l'événement.
`app`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`Otherinfo`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`AffectedUserName`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`RequestId`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`SafeName`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`Database`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`MessageID", "Version", "Safe", "PolicyID", "DeviceType", and "Address`	`additional.fields`	Mappé à partir du journal des modifications
`GatewayStation`	`target.ip`	Mappé à partir du journal des modifications
`UserName`	`principal.user.user_display_name`	Mappé à partir du journal des modifications
`Station`	`principal.ip`	Mappé à partir du journal des modifications
`Message`	`security_result.summary`	Mappé à partir du journal des modifications
`Issuer`	`principal.user.userid`	Mappé à partir du journal des modifications
`File`	`principal.file.full_path`	Mappé à partir du journal des modifications
`Severity`	`security_result.severity`	Mappé à partir du journal des modifications
`CPMStatus`	`security_result.action`	Mappé à partir du journal des modifications
`device_version`	`metadata.product_version`	Mappé à partir du journal des modifications
`device_event_class_id" and "event_name`	`metadata.product_event_type`	Mappé à partir du journal des modifications
`msg`	`metadata.description`	Mappé à partir du journal des modifications
`duser`	`target.user.user_display_name`	Mappé à partir du journal des modifications
`suser`	`principal.user.user_display_name`	Mappé à partir du journal des modifications
`cn1", "cn1Label", "cn2", "cn2Label", "cs1", "cs1Label", "cs2", "cs2Label", "cs3", "cs3Label", "cs4", "cs4Label", "cs5", "cs5Label", and "fname`	`additional.fields`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.