איסוף יומנים של Hitachi Content Platform

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Hitachi Content Platform ב-Google Security Operations באמצעות Bindplane.

‫Hitachi Content Platform ‏ (HCP) היא מערכת מבוזרת לאחסון אובייקטים שנועדה לתמוך במאגרי מידע גדולים וגדלים של נתונים עם תוכן קבוע. ‫HCP מספק אחסון מאובטח עם תכונות שכוללות הגנה על נתונים, שמירה לצורכי תאימות, ניהול גרסאות וגישה מרובת פרוטוקולים באמצעות API בארכיטקטורת REST,‏ NFS,‏ CIFS ו-WebDAV. הפלטפורמה תומכת בריבוי דיירים עם בידוד של מרחב השמות, וכוללת יכולות מקיפות של מעקב אחרי המערכת ורישום ביומן.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין Hitachi Content Platform
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • חשבון משתמש ברמת המערכת עם תפקיד אדמין או אבטחה ב-HCP. המשתמשים בתפקיד 'מעקב' או 'תאימות' יכולים לראות את הדף Syslog, אבל לא יכולים להגדיר רישום ב-Syslog או לבדוק חיבורים
  • גישה למסוף לניהול מערכות HCP

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/hcp:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: HITACHI_CLOUD_PLATFORM
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/hcp_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/hcp

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • המקלט מוגדר כ-udplog להאזנה להודעות UDP syslog ביציאה 514.
    • ‫listen_address: "0.0.0.0:514" מאזין לכל הממשקים ביציאה 51. אם נדרשות הרשאות root ביציאה 514 ב-Linux, צריך להשתמש ביציאה 1514 במקום זאת ולהגדיר את HCP לשליחה ליציאה הזו.

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מחליפים את YOUR_CUSTOMER_ID במזהה הלקוח מהשלב הקודם.
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
    • log_type: מגדירים את הערך HITACHI_CLOUD_PLATFORM בדיוק כמו שמוצג.
    • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production).

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:

  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

        sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

        sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.

      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-Hitachi Content Platform

  1. נכנסים אל מסוף ניהול המערכת של HCP באמצעות חשבון עם תפקיד אדמין או תפקיד אבטחה.
  2. בתפריט ברמה העליונה, לוחצים על Monitoring > Syslog.
  3. בשדה כתובות ה-IP של שרת Syslog, מזינים את כתובת ה-IP של המארח של סוכן Bindplane, ואפשר גם להוסיף נקודתיים ומספר יציאה (לדוגמה, 192.168.1.100:514 או 192.168.1.100:1514). אם לא מציינים את מספר היציאה, HCP משתמש ביציאה 514 כברירת מחדל.
  4. לוחצים על הוספה. כתובת ה-IP שצוינה מועברת לרשימה שמתחת לשדה.
  5. בשדה Send log messages at this level or higher (שליחת הודעות יומן ברמה הזו או ברמה גבוהה יותר), בוחרים את רמת החומרה של ההודעות שיישלחו לשרת syslog:
    • הודעה: שליחת הודעות עם רמת חומרה של הודעה, אזהרה או שגיאה.
    • ‫WARNING: שליחת הודעות ברמת חומרה של אזהרה או שגיאה.
    • ‫ERROR: שליחת הודעות רק ברמת חומרה של שגיאה.
  6. בשדה HTTP access Facility, בוחרים את מתקן syslog המקומי שאליו יופנו הודעות של יומן הגישה ל-HTTP. האפשרויות הן local0 עד local7.
  7. כדי לכלול הודעות ביומן לגבי אירועים של גישה לנתונים שמבוססים על HTTP, בוחרים באפשרות שליחת הודעות ביומן לגבי בקשות גישה לנתונים שמבוססות על HTTP.
  8. בשדה MAPI access Facility (מתקן גישה ל-MAPI), בוחרים את המתקן המקומי של syslog שאליו יופנו הודעות יומן של ממשק הניהול של API. האפשרויות הן local0 עד local7.
  9. כדי לכלול הודעות ביומן לגבי אירועי בקשות API של Management API, בוחרים באפשרות שליחת הודעות ביומן לבקשות API של Management API.
  10. כדי לכלול הודעות יומן לגבי אירועי אבטחה (ניסיונות להתחבר למסוף ניהול המערכת עם שם משתמש לא תקין), בוחרים באפשרות לשליחת אירועי אבטחה, אם היא זמינה.
  11. לוחצים על עדכון ההגדרות כדי לשמור את ההגדרות האישיות.

  12. כדי לבדוק את החיבור, לוחצים על בדיקה בדף Syslog. ‫HCP שולח הודעת בדיקה עם רמת חומרה Notice לשרת syslog. בודקים את יומן הפעילות של סוכן Bindplane כדי לוודא שההודעה התקבלה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
host_name intermediary.hostname שם המארח של המכשיר המתווך
event_type metadata.event_type סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
product_event metadata.product_event_type סוג אירוע שספציפי למוצר
network.application_protocol פרוטוקול האפליקציה שבו נעשה שימוש (לדוגמה, HTTP, ‏ HTTPS)
http_method network.http.method שיטת HTTP (לדוגמה, GET, ‏ POST)
url network.http.referral_url כתובת URL של הפניה לבקשות HTTP
response_code network.http.response_code קוד תגובת HTTP
src_ip principal.ip כתובת ה-IP של המקור של החיבור
metadata.product_name שם המוצר
metadata.vendor_name שם הספק או שם חברה

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.