Logs von Arctic Wolf Aurora Endpoint Security (früher CylancePROTECT) erfassen

Parserversion:2.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Arctic Wolf Aurora Endpoint Security-Logs (früher CylancePROTECT) mit Bindplane in Google Security Operations aufnehmen.

Arctic Wolf Aurora Endpoint Security ist eine KI-gestützte Plattform zum Schutz von Endpunkten, die maschinelles Lernen nutzt, um Malware, Skripts und dateilose Angriffe zu verhindern, bevor sie ausgeführt werden können. Sie bietet Funktionen zur Bedrohungsabwehr, Gerätesteuerung und Skriptverwaltung, um Endpunkte im gesamten Unternehmen zu schützen, ohne sich auf herkömmliche signaturbasierte Erkennungsmethoden zu verlassen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Windows 2016-Host oder höher oder ein Linux-Host mit systemd.
• Wenn Sie hinter einem Proxy arbeiten, müssen die Firewallports geöffnet sein.
• Privilegierter Zugriff auf die CylancePROTECT-Verwaltungskonsole.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

1. Rufen Sie die Konfigurationsdatei auf:

   • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/cylance_protect:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: 'CYLANCE_PROTECT'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/cylance_protect_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/cylance_protect
   

• Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
• Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
• Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
• Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, unter dem die Schlüsseldatei des Dienstkontos (Option 1) im Abschnitt Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen gespeichert wurde.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cylance_protect:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'CYLANCE_PROTECT'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   sudo journalctl -u observiq-otel-collector -f
   

So starten Sie den Bindplane-Agenten unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Dienstkonsole:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Syslog-Weiterleitung in CylancePROTECT konfigurieren

1. Melden Sie sich in der CylancePROTECT-Verwaltungskonsole an.
2. Gehen Sie zu Einstellungen > Anwendung.
3. Klicken Sie das Kästchen Syslog/SIEM an, um die Syslog-Weiterleitung zu aktivieren.
4. Wählen Sie alle Ereignisse aus, die weitergeleitet werden sollen.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • SIEM: Wählen Sie Syslog aus.
   • Protokoll: Wählen Sie UDP aus.
   • Klicken Sie das Kästchen Nachrichten über 2 KB zulassen an.
   • IP/Domain: Geben Sie die IP-Adresse des Bindplane-Agents ein, z. B. 192.168.1.100.
   • Port: Geben Sie 514 ein.
   • Facility: Wählen Sie den Typ des Anwendungs-Loggings aus.
6. Klicken Sie auf Verbindung testen, um die Kommunikation mit dem Bindplane-Agenten zu prüfen.

7. Klicken Sie auf Speichern.

   Hinweis :Weitere Informationen finden Sie in der Dokumentation zu Arctic Wolf Aurora Endpoint Security.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
logged_on_users	about	Zugeordnet: () → about
domain	about.administrative_domain	Direkt zugeordnet
username	about.user.userid	Direkt zugeordnet
event_name	extensions.auth.type	Zugeordnet: Login → MACHINE
event_type	extensions.auth.type	Zugeordnet: AuditLog → MACHINE
cylancehost	intermediary.hostname	Direkt zugeordnet
int_ip	intermediary.ip	Zusammengeführt
syslogtime	metadata.event_timestamp	Als RFC 3339 geparst
event_name	metadata.event_type	Zugeordnet: Login → USER_LOGIN
event_type	metadata.event_type	Zugeordnete Werte (insgesamt 11, z.B. ScriptControl → SCAN_HOST, AuditLog → USER_LOGIN, `Dev...
event_type	network.application_protocol	Zugeordnet: OpticsCaeDnsEvent → DNS
a	network.dns.answers	Zusammengeführt
event_type	network.dns.answers	Zugeordnet: OpticsCaeDnsEvent → a
event_type	network.dns.questions	Zugeordnet: OpticsCaeDnsEvent → q
q	network.dns.questions	Zusammengeführt
event_type	network.ip_protocol	Zugeordnet: OpticsCaeNetworkEvent → TCP
Source IP	principal.ip	Zusammengeführt
ip_address1	principal.ip	Zusammengeführt
ip_address2	principal.ip	Zusammengeführt
ip_address3	principal.ip	Zusammengeführt
ip_address4	principal.ip	Zusammengeführt
ip_address5	principal.ip	Zusammengeführt
macAddr	principal.mac	Zusammengeführt
OS	principal.platform	Zugeordnet: Windows → WINDOWS
File Name	principal.process.file.full_path	Wird zugeordnet, wenn event_type == Threat
Path	principal.process.file.full_path	Zugeordnet, wenn event_type == Threat
Process Name	principal.process.file.full_path	Wird zugeordnet, wenn event_type == ExploitAttempt
instigating_process_name	principal.process.file.full_path	Wird zugeordnet, wenn instigating_process_name != ``
instigating_process_sha256	principal.process.file.sha256	Wird zugeordnet, wenn instigating_process_sha256 != unknown
Process ID	principal.process.pid	Zugeordnet, wenn event_type == ExploitAttempt
user_email	principal.user.email_addresses	Zusammengeführt
User Name	principal.user.userid	Zugeordnet, wenn event_type == ExploitAttempt
user_name	principal.user.userid	Zugeordnet, wenn principal_user != ``
sr_action	security_result.action	Zusammengeführt
sr_category	security_result.category	Zusammengeführt
zone_names	security_result.description	Direkt zugeordnet
label_detected_by	security_result.detection_fields	Zusammengeführt
rule_label_interpreter	security_result.rule_labels	Zusammengeführt
rule_label_interpreter_version	security_result.rule_labels	Zusammengeführt
Policy Name	security_result.rule_name	Direkt zugeordnet
Severity	security_result.severity	Direkt zugeordnet
Cylance Score	security_result.severity_details	Direkt zugeordnet
Description	security_result.summary	Direkt zugeordnet
External Device Name	security_result.summary	Direkt zugeordnet
Violation Type	security_result.summary	Direkt zugeordnet
event_name	security_result.summary	Direkt zugeordnet
event_type	security_result.summary	Direkt zugeordnet
Threat Classification	security_result.threat_name	Direkt zugeordnet
Violation Type	security_result.threat_name	Direkt zugeordnet
product_name	target.application	Zugeordnet, wenn event_type == AuditLog
File Path	target.file.full_path	Zugeordnet, wenn event_type == ScriptControl
Device Name	target.hostname	Wird zugeordnet, wenn event_type == ScriptControl
Destination IP	target.ip	Zusammengeführt
event_type	target.ip	Zugeordnet: OpticsCaeNetworkEvent → Destination IP
Destination Port	target.port	Umbenannt/zugeordnet
Target Process Name	target.process.file.full_path	Wird zugeordnet, wenn event_type == OpticsCaeProcessEvent
Target Registry KeyPath	target.registry.registry_key	Wird zugeordnet, wenn event_type == OpticsCaeRegistryEvent
–	security_result.severity	Konstante: HIGH
Target Process Command Line	event1.idm.read_only_udm.target.process.command_line	Aus Änderungsprotokoll zugeordnet
Severity	event1.idm.read_only_udm.security_result.severity	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten