איסוף יומנים של CyberArk Privilege Cloud

גרסת המנתח: 14.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של CyberArk Privilege Cloud ב-Google Security Operations באמצעות Bindplane. ‫CyberArk Privilege Cloud הוא פתרון מבוסס-SaaS לניהול הרשאות גישה מיוחדות, שמאבטח, מנהל ומנטר פרטי כניסה עם הרשאות מיוחדות בענן. הוא מספק רוטציית פרטי כניסה אוטומטית, בידוד והקלטה של סשנים, הקצאת גישה בדיוק בזמן (JIT) ורישום מקיף של יומני ביקורת לפעילויות בחשבונות עם הרשאות גישה בסביבות היברידיות ובסביבות מרובות-עננים.

הערה: העברת syslog ב-CyberArk Privilege Cloud תומכת רק בפרוטוקולים TCP ו-TLS. אין תמיכה ב-UDP.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או מארח Linux עם systemd.
• אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות מיוחדות לפורטל הניהול של CyberArk Privilege Cloud עם הרשאות אדמין של Vault.
• אישור TLS תקין למארח של סוכן Bindplane (נדרש ל-syslog ב-TLS ביציאה 6514).

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים בנושא התקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת Syslog ושליחה אל Google SecOps

1. גישה לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

2. עורכים את הקובץ config.yaml:

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:6514"
           tls:
               cert_file: '/path/to/server.crt'
               key_file: '/path/to/server.key'
   
   exporters:
       chronicle/chronicle_w_labels:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <PLACEHOLDER_CUSTOMER_ID>
           endpoint: chronicle.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CYBERARK_PRIVILEGE_CLOUD'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
• מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את <PLACEHOLDER_CUSTOMER_ID> במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי הכניסה של Google SecOps לסוכן Bindplane.

• מעדכנים את /path/to/server.crt ואת /path/to/server.key בנתיבים האמיתיים לקובצי האישור והמפתח של ה-TLS.

  הערה: ב-CyberArk Privilege Cloud נדרש TLS לחיבורי syslog. צריך להגדיר את סוכן Bindplane עם אישור TLS תקף. אם משתמשים באישור בחתימה עצמית, צריך לייבא את אישור ה-CA אל CyberArk Privilege Cloud.

הגדרה ללא TLS (‏TCP בלבד)

• אם ארכיטקטורת הרשת כוללת שרת proxy לסיום TLS בין CyberArk Privilege Cloud לבין הסוכן של Bindplane, אתם יכולים להשתמש ב-TCP רגיל:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  

הערה: מומלץ להשתמש ב-TCP פשוט בלי TLS רק כששרת proxy לסיום TLS או מנהרת VPN מספקים הצפנה במעבר.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          # Adjust the path to the credentials file you downloaded in Step 1
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          # Replace with your actual customer ID from Step 2
          customer_id: <PLACEHOLDER_CUSTOMER_ID>
          endpoint: malachiteingestion-pa.googleapis.com
          # Add optional ingestion labels for better organization
          log_type: 'CYBERARK_PRIVILEGE_CLOUD'
          raw_log_field: body
          ingestion_labels:
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברת syslog ב-CyberArk Privilege Cloud

הגדרת שילוב SIEM ב-Privilege Cloud

1. נכנסים לפורטל הניהול של CyberArk Privilege Cloud.
2. עוברים אל Administration > Configuration Options > Options > SIEM Integration.
3. כדי להפעיל העברת syslog, בוחרים באפשרות הפעלת שילוב SIEM.

4. ממלאים את פרטי ההגדרה הבאים:

   • ‫SIEM Type: בוחרים באפשרות Syslog.
   • כתובת שרת Syslog: מזינים את כתובת ה-IP או את ה-FQDN של המארח של סוכן Bindplane (לדוגמה, syslog.example.com).
   • Syslog Server Port: מזינים 6514.
   • פרוטוקול: בוחרים באפשרות TLS.
   • פורמט: בוחרים באפשרות CEF (פורמט אירועים נפוץ).
   הערה: CyberArk Privilege Cloud לא תומך ב-UDP. רק פרוטוקולים של TCP ו-TLS זמינים להעברת syslog.

5. בקטע Event Types, בוחרים את קטגוריות האירועים שרוצים להעביר:

   • ביקורת Vault: אירועים של גישה ל-Vault ואחזור פרטי כניסה.
   • ביקורת סשנים: אירועי מעקב אחרי סשנים עם הרשאות.
   • ניהול כספות: אירועים של יצירה, שינוי ומחיקה של כספות.
   • ניהול משתמשים: הקצאת משתמשים ושינויים בהרשאות.
   • שינויים במדיניות: אירועים של שינויים בפלטפורמה ובמדיניות.

6. לוחצים על Save.

אימות חיבור ה-TLS

1. מוודאים שסוכן Bindplane מאזין ליציאה 6514:

   sudo ss -tlnp | grep 6514
   

2. כדי לוודא שהיומנים מתקבלים, בודקים את יומני הסוכן של Bindplane:

   sudo journalctl -u observiq-otel-collector -f
   

3. אם לא מתקבלים יומנים, צריך לבדוק את הדברים הבאים:

   • המארח של סוכן Bindplane נגיש מהאינטרנט (CyberArk Privilege Cloud הוא שירות SaaS).
   • כללי חומת האש מאפשרים חיבורי TCP נכנסים ביציאה 6514.
   • אישור ה-TLS תקין ובתוקף.
   • ה-CN או ה-SAN של אישור ה-TLS תואמים לשם המארח שהוגדר ב-CyberArk Privilege Cloud.

מידע נוסף על השילוב של CyberArk Privilege Cloud SIEM זמין במסמכי התיעוד של CyberArk Privilege Cloud.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
Header.deviceVendor	metadata.vendor_name	ממופה מהשדה vendor בכותרת ה-CEF. מגדירים את הערך "CyberArk".
Header.deviceProduct	metadata.product_name	ממופה משדה המוצר בכותרת CEF. מגדירים את האפשרות "Privilege Cloud".
Header.deviceVersion	metadata.product_version	ממופה מהשדה "גרסה" בכותרת ה-CEF.
Header.signatureId	metadata.product_event_type	קוד פעולת הביקורת ממזהה החתימה של CEF.
Header.name	metadata.description	שם האירוע מכותרת ה-CEF.
Header.severity	security_result.severity	ממופה מחומרת CEF‏ (0-3=LOW, ‏ 4-6=MEDIUM, ‏ 7-8=HIGH, ‏ 9-10=CRITICAL).
suser	principal.user.userid	המשתמש שביצע את הפעולה.
src	principal.ip	כתובת ה-IP של המקור של הסשן.
shost	principal.hostname	שם המארח של המקור.
duser	target.user.userid	חשבון היעד עם ההרשאות.
dhost	target.hostname	שם המארח של מערכת היעד.
dst	target.ip	כתובת ה-IP של מערכת היעד.
cs1	security_result.detection_fields	שם הכספת (מפתח: ערך cs1Label).
cs2	security_result.detection_fields	שם החשבון או הקשר נוסף (מפתח: ערך cs2Label).
cs3	security_result.detection_fields	מזהה הפלטפורמה או פרטי המדיניות (ערך cs3Label של המפתח).
act	security_result.action_details	הפעולה שבוצעה (לדוגמה, אחזור, התחברות, עדכון).
reason	security_result.description	הסיבה שצוינה לקבלת הרשאות הגישה המיוחדות.
rt	metadata.event_timestamp	השעה שבה האירוע התקבל.
app	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Otherinfo	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AffectedUserName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
RequestId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
SafeName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
Database	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
MessageID", "Version", "Safe", "PolicyID", "DeviceType", and "Address	additional.fields	מופה מיומן השינויים
GatewayStation	target.ip	מופה מיומן השינויים
UserName	principal.user.user_display_name	מופה מיומן השינויים
Station	principal.ip	מופה מיומן השינויים
Message	security_result.summary	מופה מיומן השינויים
Issuer	principal.user.userid	מופה מיומן השינויים
File	principal.file.full_path	מופה מיומן השינויים
Severity	security_result.severity	מופה מיומן השינויים
CPMStatus	security_result.action	מופה מיומן השינויים
device_version	metadata.product_version	מופה מיומן השינויים
device_event_class_id" and "event_name	metadata.product_event_type	מופה מיומן השינויים
msg	metadata.description	מופה מיומן השינויים
duser	target.user.user_display_name	מופה מיומן השינויים
suser	principal.user.user_display_name	מופה מיומן השינויים
cn1", "cn1Label", "cn2", "cn2Label", "cs1", "cs1Label", "cs2", "cs2Label", "cs3", "cs3Label", "cs4", "cs4Label", "cs5", "cs5Label", and "fname	additional.fields	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.