איסוף יומנים מ-Hitachi Content Platform

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Hitachi Content Platform ב-Google Security Operations באמצעות Bindplane.

‫Hitachi Content Platform ‏ (HCP) היא מערכת מבוזרת לאחסון אובייקטים שנועדה לתמוך במאגרי מידע גדולים וגדלים של נתונים עם תוכן קבוע. ‫HCP מספק אחסון מאובטח עם תכונות כמו הגנה על נתונים, שמירה לצורך תאימות, ניהול גרסאות וגישה לכמה פרוטוקולים דרך ממשקי API בארכיטקטורת REST,‏ NFS,‏ CIFS ו-WebDAV. הפלטפורמה תומכת בריבוי דיירים עם בידוד של מרחב השמות, וכוללת יכולות מקיפות של מעקב אחרי המערכת ורישום ביומן.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין Hitachi Content Platform
  • אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • חשבון משתמש ברמת המערכת עם תפקיד אדמין או אבטחה ב-HCP. המשתמשים בתפקיד 'מעקב' או 'תאימות' יכולים לראות את הדף Syslog, אבל לא יכולים להגדיר רישום ב-Syslog או לבדוק חיבורים
  • גישה למסוף הניהול של מערכת HCP

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.
  1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile.
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ תצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/hcp:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: HITACHI_CLOUD_PLATFORM
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/hcp_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/hcp

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • המקלט מוגדר כ-udplog כדי להאזין להודעות UDP syslog ביציאה 514.
    • ‫listen_address: "0.0.0.0:514" מאזין לכל הממשקים ביציאה 51. אם יציאה 514 דורשת הרשאות ברמת הבסיס (root) ב-Linux, צריך להשתמש ביציאה 1514 ולהגדיר את HCP כך שישלח ליציאה הזו.

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מחליפים את YOUR_CUSTOMER_ID במזהה הלקוח מהשלב הקודם.
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
    • ‫log_type: מגדירים את הערך HITACHI_CLOUD_PLATFORM בדיוק כמו שמופיע.
    • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production).

מייצא API להטמעה מדור קודם

  • אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/hcp:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: HITACHI_CLOUD_PLATFORM
    raw_log_field: body
    ingestion_labels:
      env: production

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:

  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

        sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

        sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.

      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Hitachi Content Platform

  1. נכנסים אל מסוף ניהול המערכת של HCP באמצעות חשבון עם תפקיד אדמין או תפקיד אבטחה.
  2. בתפריט העליון, בוחרים באפשרות Monitoring > Syslog.
  3. בשדה Syslog Server IP Addresses, מזינים את כתובת ה-IP של המארח של סוכן Bindplane, ואחריה אפשר להוסיף נקודתיים ומספר יציאה (לדוגמה, 192.168.1.100:514 או 192.168.1.100:1514). אם לא מציינים מספר יציאה, HCP משתמש ביציאה 514 כברירת מחדל.
  4. לוחצים על הוספה. כתובת ה-IP שציינתם תעבור לרשימה שמתחת לשדה.
  5. בשדה שליחת הודעות יומן ברמה הזו או ברמה גבוהה יותר, בוחרים את רמת החומרה של ההודעות שיישלחו לשרת ה-syslog:
    • ‫NOTICE: שליחת הודעות ברמת החומרה Notice,‏ Warning או Error.
    • אזהרה: שליחת הודעות עם רמת חומרה של אזהרה או שגיאה.
    • ‫ERROR: שליחת הודעות רק ברמת חומרה של שגיאה.
  6. בשדה HTTP access Facility, בוחרים את מתקן ה-syslog המקומי שאליו רוצים להפנות את הודעות יומן הגישה ל-HTTP. האפשרויות הן local0 עד local7.
  7. כדי לכלול הודעות ביומן לגבי אירועי גישה לנתונים שמבוססים על HTTP, בוחרים באפשרות שליחת הודעות ביומן לגבי בקשות גישה לנתונים שמבוססות על HTTP.
  8. בשדה MAPI access Facility (מתקן גישה ל-MAPI), בוחרים את המתקן המקומי של syslog שאליו יופנו הודעות יומן של ממשק הניהול של API. האפשרויות הן local0 עד local7.
  9. כדי לכלול הודעות ביומן לגבי אירועים של בקשות Management API, בוחרים באפשרות שליחת הודעות ביומן לגבי בקשות Management API.
  10. כדי לכלול הודעות ביומן על אירועי אבטחה (ניסיונות להתחבר למסוף ניהול המערכת עם שם משתמש לא חוקי), בוחרים באפשרות לשלוח אירועי אבטחה אם היא זמינה.
  11. לוחצים על עדכון ההגדרות כדי לשמור את ההגדרות האישיות.

  12. כדי לבדוק את החיבור, לוחצים על בדיקה בדף Syslog. ‫HCP שולח הודעת בדיקה עם רמת חומרה Notice לשרת syslog. בודקים את יומני הסוכן של Bindplane כדי לוודא שההודעה התקבלה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
host_name intermediary.hostname שם המארח של המכשיר המתווך
event_type metadata.event_type סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
product_event metadata.product_event_type סוג אירוע ספציפי למוצר
network.application_protocol פרוטוקול האפליקציה שנעשה בו שימוש (למשל, HTTP, ‏ HTTPS)
http_method network.http.method שיטת HTTP (למשל, GET, ‏ POST)
url network.http.referral_url כתובת URL של הפניה לבקשות HTTP
response_code network.http.response_code קוד תגובת HTTP
src_ip principal.ip כתובת ה-IP של מקור החיבור
metadata.product_name שם המוצר
metadata.vendor_name שם הספק או שם חברה

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.