Fortra Powertech SIEM Agent 로그 수집

다음에서 지원:

Google secops SIEM

이 가이드에서는 Bindplane 에이전트를 사용하여 Fortra Powertech SIEM Agent for IBM i 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Powertech SIEM Agent for IBM i (이전 명칭: Powertech Interact)는 IBM i 저널 및 메시지 대기열에서 중요한 시스템 메시지 및 감사 항목을 모니터링하고, UDP, TCP, TLS, 메시지 대기열 또는 스트림 파일 (IFS)을 사용하여 메시지를 전송하며, Micro Focus ArcSight Common Event Format (CEF) v25에 따라 syslog 패킷의 MSG 부분을 포맷합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

Google SecOps 인스턴스
Windows Server 2016 이상 또는 systemd가 있는 Linux 호스트
Bindplane 에이전트와 Powertech SIEM 에이전트를 실행하는 IBM i 시스템 간의 네트워크 연결
프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
Powertech SIEM Agent를 구성할 권한이 있는 IBM i 시스템에 대한 권한 있는 액세스 (특수 권한 *ALLOBJ가 있는 사용자 프로필 또는 PTADMIN 승인 목록의 구성원)
IBM i 시스템에 Powertech SIEM Agent for IBM i가 설치되고 라이선스가 부여되어 있어야 합니다.

Google SecOps 수집 인증 파일 가져오기

Google SecOps 콘솔에 로그인합니다.
SIEM 설정 > 수집 에이전트로 이동합니다.
다운로드를 클릭하여 수집 인증 파일을 다운로드합니다.
Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

참고: 이 JSON 파일에는 Bindplane 에이전트를 Google SecOps에 인증하기 위한 사용자 인증 정보가 포함되어 있습니다.

Google SecOps 고객 ID 가져오기

Google SecOps 콘솔에 로그인합니다.
SIEM 설정 > 프로필로 이동합니다.
조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

참고: Bindplane 에이전트 내보내기를 구성하려면 고객 ID가 필요합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

다음 명령어를 실행합니다.

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
```
sc query observiq-otel-collector
```
서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

루트 또는 sudo 권한으로 터미널을 엽니다.

다음 명령어를 실행합니다.

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
```
sudo systemctl status observiq-otel-collector
```
서비스가 active (running)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

config.yaml의 전체 내용을 다음 구성으로 바꿉니다.

receivers:
    udplog:
    listen_address: "0.0.0.0:514"

exporters:
    chronicle/powertech_siem:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FORTRA_POWERTECH_SIEM_AGENT
    raw_log_field: body
    ingestion_labels:
        env: production

service:
    pipelines:
    logs/powertech_to_chronicle:
        receivers:
        - udplog
        exporters:
        - chronicle/powertech_siem

구성 매개변수

다음 자리표시자를 바꿉니다.

수신기 구성:

listen_address: 리슨할 IP 주소 및 포트입니다. 0.0.0.0:514를 사용하여 포트 514의 모든 인터페이스를 수신 대기합니다. 포트 514에 루트 권한이 필요하거나 이미 사용 중인 경우 포트를 1514 또는 다른 값으로 변경합니다.

내보내기 도구 구성:

creds_file_path: 수집 인증 파일의 전체 경로입니다.
- Linux: /etc/bindplane-agent/ingestion-auth.json
- Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
YOUR_CUSTOMER_ID: Google SecOps 고객 ID로 바꿉니다.
endpoint: 리전 엔드포인트 URL입니다. Google SecOps 인스턴스에 적합한 엔드포인트를 사용합니다.
- 미국: malachiteingestion-pa.googleapis.com
- 유럽: europe-malachiteingestion-pa.googleapis.com
- 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
- 전체 목록은 리전 엔드포인트를 참고하세요.
ingestion_labels: YAML 형식의 선택적 라벨입니다 (예: env: production, source: ibm_i).

구성 파일 저장

수정 후 파일을 저장합니다.

Linux: Ctrl+O, Enter, Ctrl+X 순으로 누릅니다.
Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

Linux

sudo systemctl restart observiq-otel-collector

서비스가 실행 중인지 확인합니다.

sudo systemctl status observiq-otel-collector

로그에서 오류를 확인합니다.

sudo journalctl -u observiq-otel-collector -f

Windows

다음 옵션 중 하나를 선택합니다.
- 명령 프롬프트 또는 PowerShell을 관리자로 사용합니다.
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 서비스 콘솔 사용:
  1. Win+R를 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
  2. observIQ OpenTelemetry Collector를 찾습니다.
  3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.
  4. 서비스가 실행 중인지 확인합니다.
```
sc query observiq-otel-collector
```
  5. 로그에서 오류를 확인합니다.
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Powertech SIEM 에이전트 syslog 전달 구성

IBM i 명령줄에서 POWERTECH를 입력하여 Powertech 기본 메뉴를 연 다음 옵션 6을 선택하여 SIEM 에이전트 기본 메뉴를 엽니다.

syslog 형식 구성

SIEM 에이전트 기본 메뉴에서 옵션 2를 선택하여 형식 작업 패널을 엽니다. CEF, JSON, LEEF, MODERN, SYSLOG 형식이 기본적으로 포함됩니다.

SYSLOG 옆에 2를 입력하고 Enter 키를 누릅니다.
'메시지 스타일' 필드에 *SYSLOG를 입력합니다.
헤더 사양 필드에 RFC3164를 입력합니다.
'헤더 형식 호환성 사용'이 'Y'로 설정되어 있는지 확인하고 구성을 저장합니다.
F3을 두 번 눌러 기본 메뉴로 돌아갑니다.

참고: Format 객체는 syslog 헤더의 규정 준수 수준(RFC3164 또는 RFC541)을 지정합니다. RFC 5424가 권장되는 헤더 사양입니다.

네트워크 출력 만들기

기본 메뉴에서 옵션 3 출력 작업으로 이동한 다음 F6 키를 눌러 새 출력을 만듭니다.

다음 옵션을 입력합니다.
- 이름: CHRONICLE (또는 구체적인 이름)
- 설명: Chronicle Bindplane 출력
- 활성: 1
- 형식: SYSLOG
- 유형: *네트워크
Enter 키를 누릅니다.
다음 화면에서 다음 옵션을 입력합니다.
- 위치: Bindplane 에이전트가 설치된 머신의 IP 주소를 입력합니다.
- 포트: 514 (또는 Bindplane 에이전트에서 구성된 포트)
- 프로토콜: UDP
Enter 키를 눌러 변경사항을 저장한 다음 F12 키를 눌러 창을 닫습니다.

참고: 네트워크 위치 사양은 이름이 네트워크 구성으로 확인될 수 있는 한 IP 주소, DNS 정의 이름 또는 완전히 다른 것일 수 있습니다. 프로토콜 옵션은 UDP, TCP 또는 TLS입니다.

출력을 이벤트 소스에 연결

옵션 1 이벤트 소스 작업하기를 선택한 다음 감사 옆에 2를 입력하고 Enter 키를 누릅니다.

F8 출력 유지, F6 연결을 눌러 최근에 생성된 출력을 연결합니다. CHRONICLE (또는 출력 이름) 옆에 1을 입력하고 Enter 키를 누릅니다.
F3을 눌러 기본 메뉴로 돌아갑니다.

일정 설명 활성화

SIEM 에이전트 기본 메뉴에서 옵션 1을 선택한 다음 이벤트 소스에 9를 입력합니다. 이벤트 설명 작업 패널이 표시됩니다. 옵션 6을 사용하여 처리할 이벤트를 활성화합니다.

구성 변경사항 커밋

기본 메뉴에서 옵션 82인 유틸리티 작업을 선택한 다음 옵션 1인 구성 변경사항 커밋을 선택합니다.

SIEM 에이전트 모니터링 시작

SIEM 에이전트가 아직 실행되고 있지 않다면 모니터 작업을 시작합니다.

IBM i 명령줄에서 다음을 입력합니다.
```
CALL PTSTARTUP
```
이러한 명령어는 PTWRKMGT 하위 시스템에서 필요한 중앙 관리 및 SIEM 에이전트 모니터 작업을 시작합니다.

로그가 전송되고 있는지 확인

Bindplane 에이전트 로그를 검토하여 로그가 Bindplane 에이전트에 도착하는지 확인합니다 (로그 위치는 위의 다시 시작 섹션 참고).
로그가 Google SecOps 콘솔에 표시되는지 확인합니다 (초기 수집에 5~10분 소요).
선택적으로 메시지 대기열을 할당하여 SIEM 에이전트에서 전송한 모든 메시지를 로깅하여 전송된 메시지를 확인할 수 있습니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
principal_ip	principal.ip	주체의 IP 주소입니다.
dst_ip	target.ip	타겟의 IP 주소입니다.
sourceTranslatedAddress	principal.nat_ip	주체의 NAT IP 주소입니다.
destinationTranslatedAddress	target.nat_ip	타겟의 NAT IP 주소입니다.
dvc	about.ip	애셋의 IP 주소입니다.
deviceTranslatedAddress	about.nat_ip	애셋의 NAT IP 주소입니다.
smac	principal.mac	주체의 MAC 주소입니다.
dmac	target.mac	타겟의 MAC 주소입니다.
dvcmac	about.mac	애셋의 MAC 주소입니다.
spriv	principal.user.attribute.roles	주 사용자와 연결된 역할입니다.
dpriv	target.user.attribute.roles	타겟 사용자와 연결된 역할입니다.
oldFilePermission	src.resource.attribute.permissions	소스 리소스의 권한입니다.
filePermission	about.resource.attribute.permissions	리소스의 권한입니다.
고양이	security_result.category_details	보안 결과 카테고리에 관한 추가 세부정보입니다.
device_vendor, device_product, deviceExternalId	about.asset.asset_id	애셋의 고유 식별자입니다.
어떨까요?	network.sent_bytes	네트워크 연결에서 전송된 바이트 수입니다.
in	network.received_bytes	네트워크 연결에서 수신된 바이트 수입니다.
fsize	about.file.size	파일 크기입니다.
oldFileSize	src.file.size	소스 파일의 크기입니다.
destinationTranslatedPort	target.nat_port	타겟의 NAT 포트입니다.
dpt	target.port	타겟의 포트 번호입니다.
sourceTranslatedPort	principal.nat_port	주 구성원의 NAT 포트입니다.
spt	principal.port	주 구성원의 포트 번호입니다.
rt	metadata.event_timestamp	이벤트가 발생한 타임스탬프입니다.
줄이는 것을	security_result.severity	보안 결과의 심각도 수준입니다.
app_protocol_src	network.application_protocol	네트워크 연결에 사용된 애플리케이션 프로토콜입니다.
proto	network.ip_protocol	네트워크 연결에 사용된 IP 프로토콜입니다.
deviceDirection	network.direction	네트워크 트래픽의 방향입니다.
act	security_result.action	보안 시스템에서 취한 조치입니다.
outcome, categoryOutcome, cs2	security_result.action	보안 시스템에서 취한 조치입니다.
msg_data_2	security_result.description	보안 결과에 대한 설명입니다.
msg	metadata.description	이벤트에 대한 설명입니다.
destinationServiceName	target.application	타겟과 연결된 애플리케이션입니다.
dntdom	target.administrative_domain	타겟의 관리 도메인입니다.
oldFilePath	src.file.full_path	소스 파일의 전체 경로입니다.
requestClientApplication	network.http.user_agent	HTTP 요청의 사용자 에이전트 문자열입니다.
requestMethod	network.http.method	요청에 사용된 HTTP 메서드입니다.
filePath	about.file.full_path	파일의 전체 경로입니다.
dvchost	about.hostname	애셋의 호스트 이름입니다.
deviceNtDomain	about.administrative_domain	애셋의 관리 도메인입니다.
dvcpid	about.process.pid	애셋의 프로세스 ID입니다.
deviceProcessName	about.process.command_line	애셋의 프로세스 명령줄입니다.
_hash	about.file.sha256	파일의 SHA256 해시입니다.
externalId	metadata.product_log_id	제품별 로그 식별자입니다.
security_result.action_details	security_result.action_details	보안 작업에 대한 추가 세부정보입니다.
device_version	metadata.product_version	이벤트를 생성한 제품의 버전입니다.
temp_dhost	target.hostname	타겟의 호스트 이름입니다.
요청	target.url	타겟과 연결된 URL입니다.
temp_duser	target.user.user_display_name	타겟 사용자의 표시 이름입니다.
temp_duid	target.user.userid	타겟 사용자의 사용자 ID입니다.
Device_name	principal.hostname	주 구성원의 호스트 이름입니다.
Enhetsnavn	principal.hostname	주 구성원의 호스트 이름입니다.
도메인	principal.administrative_domain	주 구성원의 관리 도메인입니다.
Domene	principal.administrative_domain	주 구성원의 관리 도메인입니다.
Group_name	principal.group.group_display_name	주 구성원 그룹의 표시 이름입니다.
Gruppenavn	principal.group.group_display_name	주 구성원 그룹의 표시 이름입니다.
Received, Mottatt	metadata.collected_timestamp	이벤트가 수집된 타임스탬프입니다.
생성됨, 생성됨	metadata.event_timestamp	이벤트가 발생한 타임스탬프입니다.
제목	about.process.command_line	프로세스의 명령줄입니다.
Emne	about.process.command_line	프로세스의 명령줄입니다.
경로	about.process.command_line	프로세스의 명령줄입니다.
유형	security_result.description	보안 결과에 대한 설명입니다.
Scan_Type	security_result.description	보안 결과에 대한 설명입니다.
사용자	target.user.userid	타겟 사용자의 사용자 ID입니다.
Bruker	target.user.userid	타겟 사용자의 사용자 ID입니다.
CustomerName	target.user.user_display_name	타겟 사용자의 표시 이름입니다.
File_name, Object, Objekt, Infected_Resource	target.process.file.full_path	타겟 프로세스와 연결된 파일의 전체 경로입니다.
Action_Taken	security_result.action_details	보안 작업에 대한 추가 세부정보입니다.
스파이웨어, Virus_Malware_Name, Unknown_Threat	security_result.threat_name	감지된 위협의 이름입니다.
shost	principal.hostname	주 구성원의 호스트 이름입니다.
shost	principal.ip	주체의 IP 주소입니다.
sntdom	principal.administrative_domain	주 구성원의 관리 도메인입니다.
sourceServiceName	principal.application	주 구성원과 연결된 애플리케이션입니다.
spid	principal.process.pid	주 구성원의 프로세스 ID입니다.
sproc	principal.process.command_line	기본 프로세스의 명령줄입니다.
suid	principal.user.userid	기본 사용자의 사용자 ID입니다.
suser	principal.user.user_display_name	주 사용자의 표시 이름입니다.
dpid	target.process.pid	타겟 프로세스의 프로세스 ID입니다.
dproc	target.process.command_line	타겟 프로세스의 명령줄입니다.
reason	security_result.summary	보안 결과 요약입니다.
event_name, device_event_class_id	metadata.product_event_type	제품별 이벤트 유형입니다.
fileHash	about.file.sha256	파일의 SHA256 해시입니다.
정보	정보	이벤트에 대한 추가 정보입니다.
mwProfile	security_result.rule_name	보안 결과를 트리거한 규칙의 이름입니다.
appcategory	security_result.summary	보안 결과 요약입니다.
Result	security_result.summary	보안 결과 요약입니다.
eventid	additional.fields	이벤트의 추가 필드입니다.
eventId	additional.fields	이벤트의 추가 필드입니다.
devicePayloadId	additional.fields	이벤트의 추가 필드입니다.
fname	additional.fields	이벤트의 추가 필드입니다.
cs1, cs1Label	additional.fields	이벤트의 추가 필드입니다.
cs2, cs2Label	additional.fields	이벤트의 추가 필드입니다.
cs3, cs3Label	additional.fields	이벤트의 추가 필드입니다.
cs4, cs4Label	additional.fields	이벤트의 추가 필드입니다.
cs5, cs5Label	additional.fields	이벤트의 추가 필드입니다.
cs6, cs6Label	additional.fields	이벤트의 추가 필드입니다.
cs7, cs7Label	additional.fields	이벤트의 추가 필드입니다.
flexString1, flexString1Label	additional.fields	이벤트의 추가 필드입니다.
cn1, cn1Label	additional.fields	이벤트의 추가 필드입니다.
cn2, cn2Label	additional.fields	이벤트의 추가 필드입니다.
cn3, cn3Label	additional.fields	이벤트의 추가 필드입니다.
cfp1, cfp1Label	additional.fields	이벤트의 추가 필드입니다.
cfp2, cfp2Label	additional.fields	이벤트의 추가 필드입니다.
cfp3, cfp3Label	additional.fields	이벤트의 추가 필드입니다.
cfp4, cfp4Label	additional.fields	이벤트의 추가 필드입니다.
작업	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
Operasjon	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
권한	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
Tillatelse	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
Infection_Channel	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
IPv6_Address	target.ip	타겟의 IP 주소입니다.
Resource_Type	target.resource.attribute.labels	타겟 리소스 속성의 라벨입니다.
Spyware_Grayware_Type	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
Threat_Probability	security_result.detection_fields	위협 감지에 사용되는 필드입니다.
security_result	security_result	이벤트의 보안 결과입니다.
호스트	principal.hostname	주 구성원의 호스트 이름입니다.
실패	metadata.description	이벤트에 대한 설명입니다.
변경됨	metadata.description	이벤트에 대한 설명입니다.
log_version	additional.fields	이벤트의 추가 필드입니다.
cnt	additional.fields	이벤트의 추가 필드입니다.
fileType	target.file.mime_type	타겟 파일의 MIME 유형입니다.
fname	target.file.names	타겟 파일의 이름입니다.
ip	principal.ip	주체의 IP 주소입니다.
metadata.event_type	metadata.event_type	이벤트 유형입니다.
principal_hostname	principal.asset.hostname	기본 애셋의 호스트 이름입니다.
principal_asset_hostname	principal.asset.hostname	기본 애셋의 호스트 이름입니다.
target_hostname	target.asset.hostname	타겟 애셋의 호스트 이름입니다.
target_asset_hostname	target.asset.hostname	타겟 애셋의 호스트 이름입니다.
device_vendor	metadata.vendor_name	제품의 공급업체 이름입니다.
device_product	metadata.product_name	제품 이름입니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.