איסוף יומני Trellix (לשעבר FireEye) PX

גרסת המנתח: 1.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני FireEye (שנקראים עכשיו Trellix) PX ב-Google Security Operations באמצעות סוכן Bindplane.

‫Trellix PX (Network Forensics) מתעד חבילות רשת מלאות ויוצר יומני מטא-נתונים על סשנים שתועדו, איומים שזוהו וארטיפקטים של רשת. מנתח הנתונים ממפה את היומנים האלה למודל הנתונים המאוחד (UDM), ומחלץ פרטים של חיבורים לרשת, שאילתות ותגובות של DNS, מטא-נתונים של HTTP ומאפיינים ברמת הזרימה.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• חיבור לרשת בין סוכן Bindplane לבין מכשיר Trellix PX
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מורשית למכשיר Trellix PX עם תפקיד אדמין

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fireeye_px:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FIREEYE_PX
      raw_log_field: body
  
  service:
    pipelines:
      logs/fireeye_px_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/fireeye_px
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/fireeye_px:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FIREEYE_PX
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog ב-FireEye PX

1. נכנסים לממשק הניהול באינטרנט של FireEye PX.
2. עוברים אל הגדרות > התראות > Syslog.
3. לוחצים על Add Syslog Server (הוספת שרת Syslog) או עורכים רשומה קיימת.
4. מזינים את פרטי ההגדרה הבאים:
   • שרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514.
   • Protocol: בוחרים באפשרות TCP.
5. בוחרים את סוגי האירועים שרוצים להעביר:
   • מטא-נתונים של הסשן
   • איומים שזוהו
   • פריטי מידע שנוצרו בתהליך פיתוח (Artifact) של רשת
   • שאילתות ותשובות של DNS
   • מטא-נתונים של HTTP
6. לוחצים על Save.

7. כדי לוודא שהיומנים מתקבלים, בודקים את יומני הסוכן של Bindplane.

   הערה: FireEye PX תומך גם בייצוא יומנים שמבוסס על API בארכיטקטורת REST. כדי להעביר את syslog, צריך לוודא שלמכשיר PX יש קישוריות רשת לסוכן Bindplane ביציאה שהוגדרה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
dns.authorities.0.rrname	dns_answers.name	הערך מועתק ישירות אם הוא לא ריק
dns.authorities.0.ttl	dns_answers.ttl	אם הוא לא ריק, הוא מומר למחרוזת ואז למספר שלם חיובי
dns.authorities.0.rrtype	dns_answers.type	ממופה לערך מספרי על סמך מחרוזת rrtype ‏(A=1,‏ AAAA=28 וכו'), ואז מומר ל-uinteger אם הוא לא ריק
dns.dnsQName	dns_question.name	הערך מועתק ישירות אם הוא לא ריק
dns.dnsQRType	dns_question.type	ממופה לערך מספרי על סמך מחרוזת rrtype ‏(A=1,‏ AAAA=28 וכו'), ואז מומר ל-uinteger אם הוא לא ריק
dns.dnsFlags, pxflow.octetDeltaCount, pxflow.octetDeltaCountReverse	event.idm.read_only_udm.additional.fields	מוזגו כתוויות (flags_label, ‏ octetDeltaCount_label, ‏ octetDeltaCountReverse_label) אם הן לא ריקות
event_type	metadata.event_type	צריך להגדיר את הערך NETWORK_HTTP אם event_type == "http"‎ וגם has_principal ו-has_target; את הערך NETWORK_DNS אם event_type == "dns"‎ וגם has_principal ו-has_target; את הערך NETWORK_CONNECTION אחרת אם has_principal ו-has_target; את הערך GENERIC_EVENT אם לא
pxuuid	metadata.product_log_id	הערך מועתק ישירות אם הוא לא ריק
dns_answers	network.dns.answers	מיזוג ישיר אם השדה לא ריק
dns.dnsId	network.dns.id	השם שונה והערך הומר למספר שלם ללא סימן אם הוא לא ריק
dns_question	network.dns.questions	מיזוג ישיר אם השדה לא ריק
dns.rcode	network.dns.response_code	ממופה לקוד תגובה מספרי על סמך מחרוזת rcode‏ (NOERROR=0,‏ FORMERR=1 וכו'), ואז מומר ל-uinteger
http.httpMethod	network.http.method	הערך מועתק ישירות אם הוא לא ריק
http.http_user_agent	network.http.user_agent	הערך מועתק ישירות אם הוא לא ריק
protocolIdentifierName	network.ip_protocol	הערך מועתק ישירות אם הוא לא ריק
flow_id	network.session_id	מומר למחרוזת ואז מועתק ישירות אם הוא לא ריק
pxflow.egressInterface	principal.asset.attribute.labels	מוזג כתווית egress_interface אם הוא לא ריק
http.httpHost	principal.hostname	הערך מועתק ישירות ומגדיר את has_principal כ-true אם הוא לא ריק
sourceIPv4Address	principal.ip	חולץ באמצעות תבנית grok‏ %{IP:ip}, מוזג אם ה-grok הצליח
pxflow.sourceEtherAddress	principal.mac	מיזוג ישיר והגדרת has_principal כ-true אם לא ריק
sourceTransportPort	principal.port	השם שונה והערך הומר למספר שלם אם הוא לא ריק
חיישן	security_result.about.labels	מוזג כ-sensor_label אם הוא לא ריק
in_iface	security_result.rule_labels	מוזג בתור in_iface_label אם הוא לא ריק
pxflow.ingressInterface	target.asset.attribute.labels	מוזג כתווית ingress_interface אם הוא לא ריק
destinationIPv4Address	target.ip	חולץ באמצעות תבנית grok‏ %{IP:ip}, מוזג אם ה-grok הצליח
pxflow.destinationEtherAddress	target.mac	מיזוג ישיר והגדרת has_target כ-true אם הוא לא ריק
destinationTransportPort	target.port	השם שונה והערך הומר למספר שלם אם הוא לא ריק
http.httpURL	target.url	הערך מועתק ישירות אם הוא לא ריק
	metadata.vendor_name	צריך להגדיר את הערך "Fireeye"
	metadata.product_name	הגדרה ל-"PX"

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.