איסוף יומנים של Dell ECS

גרסת המנתח: 2.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של Dell ECS Enterprise Object Storage באמצעות סוכן Bindplane.

‫Dell ECS היא פלטפורמה ארגונית לאחסון אובייקטים, שיוצרת הודעות syslog לאירועים של כניסה, יציאה וניהול פרטי כניסה. המנתח מחלץ שדות וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane למערכת Dell ECS
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • פרטי כניסה של אדמין לפורטל הניהול של ECS

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/dell_ecs:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: DELL_ECS
    raw_log_field: body

service:
  pipelines:
    logs/dell_ecs_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/dell_ecs

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/dell_ecs:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: DELL_ECS
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת Dell ECS להעברת יומנים לשרת ה-syslog

  1. נכנסים לפורטל הניהול של ECS באמצעות פרטי כניסה של אדמין.
  2. עוברים אל הגדרות > התראות לגבי אירועים > Syslog.
  3. לוחצים על שרת חדש.
  4. ממלאים את הפרטים הבאים:
    • פרוטוקול: בוחרים באפשרות UDP או TCP (מוודאים שהיא תואמת לפרוטוקול שהוגדר בשרת ה-syslog).
    • יעד: מזינים את כתובת ה-IP או את שם הדומיין שמוגדר במלואו (FQDN) של שרת ה-syslog.
    • יציאה: מזינים את מספר היציאה.
    • חומרה: בוחרים באפשרות לידיעה כרמת החומרה המינימלית של היומנים שיועברו.
  5. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
data read_only_udm.metadata.description אם הערך של eventType הוא UPDATE, התיאור נשלף מהשדה data באמצעות ביטוי רגולרי. אם הערך של eventType הוא DELETE, התיאור נשלף מהשדה data באמצעות ביטוי רגולרי, ומעובד עוד יותר כדי לשלוף את מזהה המשתמש.
data read_only_udm.principal.ip אם הערך של eventType הוא UPDATE, כתובת ה-IP נשלפת מהשדה data באמצעות ביטוי רגולרי.
data read_only_udm.target.resource.product_object_id אם הערך של eventType הוא DELETE, אסימון ה-URN נשלף מהשדה data באמצעות ביטוי רגולרי.
data read_only_udm.target.user.userid אם הערך של eventType הוא UPDATE, מזהה המשתמש נשלף מהשדה data באמצעות ביטוי רגולרי. אם הערך של eventType הוא DELETE, מזהה המשתמש נשלף מהשדה description אחרי העיבוד הראשוני של שדה הנתונים data.
eventType read_only_udm.metadata.event_type אם הערך של eventType הוא UPDATE ומתבצע חילוץ של userid, סוג האירוע מוגדר כ-USER_LOGIN. אם הערך של eventType הוא DELETE ומתבצע חילוץ של userid, סוג האירוע מוגדר כ-USER_LOGOUT. אחרת, סוג האירוע מוגדר כ-GENERIC_EVENT.
eventType read_only_udm.metadata.product_event_type הערך נגזר על ידי שרשור השדות serviceType ו-eventType מהיומן הגולמי, כשהם מוקפים בסוגריים מרובעים ומופרדים באמצעות " - ".
hostname read_only_udm.principal.asset.hostname שם המארח מועתק מהשדה שם מארח.
hostname read_only_udm.principal.hostname שם המארח מועתק מהשדה שם מארח.
log_type read_only_udm.metadata.log_type סוג היומן מוגדר כ-DELL_ECS. המנגנון מקודד באופן קשיח ל-MECHANISM_UNSPECIFIED. חותמת הזמן של האירוע מועתקת מהשדה timestamp של רשומת היומן הגולמית. שם המוצר מקודד באופן קשיח ל-ECS. שם הספק מקודד באופן קשיח ל-DELL. אם הערך של eventType הוא DELETE, סוג המשאב מקודד באופן קשיח ל-CREDENTIAL.
timestamp read_only_udm.metadata.event_timestamp חותמת הזמן של האירוע נלקחת מהשדה timestamp של רשומת היומן הגולמית.
timestamp timestamp חותמת הזמן מנותחת מהשדה timestamp של רשומת היומן הגולמית.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.