‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של iBoss Web Proxy

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני iBoss Web Proxy ב-Google Security Operations באמצעות Bindplane.

‫iBoss היא פלטפורמת SASE (שירותי אבטחה בקצה הרשת) מבוססת-ענן עם מודל אבטחה של אפס אמון, שמספקת גישה מאובטחת לאינטרנט, שער גישה מאובטח (SWG),‏ CASB, ‏ ZTNA ויכולות DLP. הוא מעביר את התנועה דרך תשתית הענן שלו כדי לאכוף מדיניות אבטחה עקבית ולהגן על המשתמשים מפני איומים, ללא קשר למיקום שלהם.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין פלטפורמת הענן של iBoss
אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישת אדמין לפורטל iBoss עם הרשאות להגדרת Integration Marketplace

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מספקים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sc query observiq-otel-collector
```
השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ תצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/iboss_webproxy:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: IBOSS_WEBPROXY
    raw_log_field: body
    ingestion_labels:
      log_source: iboss

service:
  pipelines:
    logs/iboss_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/iboss_webproxy

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה שבהן סוכן Bindplane מאזין להודעות syslog נכנסות. משתמשים ב-0.0.0.0 כדי להאזין בכל הממשקים. היציאה צריכה להתאים ליציאה שהוגדרה בהגדרות ההעברה של iBoss syslog.
- אם iBoss מוגדר לשלוח יומנים דרך TCP, מחליפים את המקלט udplog במקלט tcplog:
```
receivers:
  tcplog:
    listen_address: "0.0.0.0:514"
```
הערה: צריך לעדכן את ההפניה למקלט בקטע service.pipelines בהתאם.
הגדרת כלי הייצוא:
- ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
  - ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫<CUSTOMER_ID>: מספר הלקוח ב-Google SecOps שהעתקתם קודם.
- ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/iboss_webproxy:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: IBOSS_WEBPROXY
    raw_log_field: body
    ingestion_labels:
      log_source: iboss
```

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:

‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

מריצים את הפקודה הבאה:

sudo systemctl restart observiq-otel-collector

מוודאים שהשירות פועל:

sudo systemctl status observiq-otel-collector

בודקים אם יש שגיאות ביומנים:

sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

בוחרים אחת מהאפשרויות האלה:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מאתרים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```

בודקים אם יש שגיאות ביומנים:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog של iBoss

נכנסים לפורטל של iBoss.
עוברים אל Integration Marketplace, בוחרים באפשרות Log Forwarding בתפריט הימני ולוחצים על הלחצן Configure שמשויך לווידג'ט Syslog Log Forwarding.
לוחצים על הלחצן Add Integration (הוספת שילוב) כדי להוסיף את השילוב של Syslog.
ממלאים את פרטי ההגדרה הבאים:
- העברה מ: בוחרים באפשרות Reporter בתפריט הנפתח.
- בחירת מסד נתונים לדיווח: בוחרים את מסד הנתונים לדיווח.
- שם השירות: מזינים שם תיאורי לשילוב (לדוגמה, SecOps-Bindplane).
- הפעלת השירות: מגדירים את האפשרות הזו כמופעלת.
- סוג היומן: בתפריט הנפתח, בוחרים באפשרות כתובת URL. הפעולה הזו מתעדת את יומני התנועה של שרת ה-proxy לאינטרנט (בקשות HTTP/HTTPS). כדי להעביר קטגוריות אחרות של אירועים, כמו DLP או DNS, צריך להגדיר שילובים נפרדים עם סוג היומן המתאים.
- סוג הפרוטוקול: בוחרים באפשרות UDP או TCP מהתפריט הנפתח.
  
  הערה: הפרוטוקול חייב להתאים לסוג המקלט שהוגדר בקובץ config.yaml של סוכן Bindplane‏ (udplog ל-UDP, ‏ tcplog ל-TCP). מומלץ להשתמש ב-TCP בסביבות ייצור כי הוא מספק העברה אמינה ומסודרת.
- Syslog Facility Level (רמת מתקן Syslog): בוחרים באפשרות Facility Syslog (מתקן Syslog) מהתפריט הנפתח.
- קבוצת דיווח: בוחרים באפשרות הכול בתפריט הנפתח.
- שם המארח: מזינים את כתובת ה-IP או את שם הדומיין שמוגדר במלואו של המארח של סוכן Bindplane.
- יציאה: מזינים את מספר היציאה שמתאים ליציאה listen_address בהגדרת סוכן Bindplane (לדוגמה, 514).
  
  הערה: ב-Linux, יציאה 514 היא יציאה עם הרשאות. אם הסוכן של Bindplane פועל כמשתמש שאינו משתמש Root, צריך להשתמש ביציאה ללא הרשאות (לדוגמה, 5514) ולעדכן גם את השדה Port של iBoss וגם את listen_address של Bindplane בהתאם.
- פורמט היומן: בוחרים באפשרות JSON מהתפריט הנפתח.
- מרווח זמן להעברה: בוחרים באפשרות רציף בתפריט הנפתח.
- Field Delimiter: בוחרים באפשרות SPACE בתפריט הנפתח.
- שליחת יומנים של DLP/אינטרנט/DNS/תוכנה זדונית/ביקורת/שגיאת חיבור: מגדירים את האפשרות הפעלה בהתאם להעדפה שלכם לגבי שליחת יומנים.
  
  הערה: המתג שליחת יומני שגיאות בחיבור מופיע בממשק המשתמש של iBoss רק כשהאפשרות שליחת יומני אינטרנט מושבתת.
- שדות להעברה: מוסיפים את כל השדות חוץ מ-DLP Base64 Encoded Meta Data,‏ Base64 Encoded Meta Data ו-Chat GPT Message.
לוחצים על הוספת שירות.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
מתווך	מתווך	מידע על מכשיר או שירות מתווך שמעורב באירוע.
desc	metadata.description	תיאור נוסף של האירוע.
metadata.event_type	metadata.event_type	סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION).
urlLogId	metadata.product_log_id	המזהה הייחודי של רשומת היומן מהמוצר.
requestMethod	network.http.method	ה-method של ה-HTTP שמשמשת בבקשה.
ref_url	network.http.referral_url	כתובת ה-URL שממנה המשתמש הופנה לדף הנוכחי.
response_Code	network.http.response_code	קוד תגובת HTTP.
user_Agent	network.http.user_agent	מחרוזת סוכן המשתמש מבקשת ה-HTTP.
up_stream	network.received_bytes	מספר הבייטים שהתקבלו בחיבור לרשת.
down_stream	network.sent_bytes	מספר הבייטים שנשלחו בחיבור לרשת.
computerName	principal.asset.hostname	שם המארח של הנכס שמשויך לגורם העיקרי.
computer_Mac_Address	principal.asset.mac	כתובת ה-MAC של הנכס שמשויך לחשבון הראשי.
filtering_Group_Name	principal.group.group_display_name	השם המוצג של הקבוצה שמשויכת לישות הראשית.
computerName	principal.hostname	שם המארח של חשבון המשתמש.
sourceIpAddress	principal.ip	כתובת ה-IP של חשבון המשתמש.
pri_ip	principal.ip
pub_ip	principal.ip
mac_address	principal.mac	כתובת ה-MAC של חשבון המשתמש.
src_port	principal.port	מספר היציאה שמשמש את החשבון הראשי.
file_name	principal.process.file.names	שמות הקבצים שמשויכים לתהליך.
שם משתמש	principal.user.userid	מזהה המשתמש של הגורם העיקרי.
sec_res	security_result	תוצאת ניתוח האבטחה, כולל פעולות וקטגוריות.
מארח	target.hostname	שם המארח של היעד.
ipAddress	target.ip	כתובת ה-IP של היעד.
targetPort	target.port	מספר היציאה של היעד.
uri_path	target.process.file.full_path	הנתיב המלא של הקובץ או המשאב ביעד.
url	target.url	כתובת ה-URL של היעד.
metadata.product_name	metadata.product_name	שם המוצר שיצר את האירוע.
metadata.vendor_name	metadata.vendor_name	שם הספק שייצר את המוצר.

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.