‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של iBoss Web Proxy

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני iBoss Web Proxy ב-Google Security Operations באמצעות Bindplane.

‫iBoss היא פלטפורמת SASE (קצה של שירות גישה מאובטח) מבוססת-ענן עם מודל אבטחה של אפס אמון, שמספקת גישה מאובטחת לאינטרנט, שער גישה מאובטח (SWG), CASB, ‏ ZTNA ויכולות DLP. הוא מעביר את התנועה דרך תשתית הענן שלו כדי לאכוף מדיניות אבטחה עקבית ולהגן על המשתמשים מפני איומים, ללא קשר למיקום שלהם.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות לרשת בין סוכן Bindplane לבין פלטפורמת הענן iBoss
אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישת אדמין לפורטל iBoss עם הרשאות להגדרת Integration Marketplace

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents.
מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

‫Linux:

sudo nano /etc/bindplane-agent/config.yaml

‫Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/iboss_webproxy:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IBOSS_WEBPROXY
        raw_log_field: body
        ingestion_labels:
            log_source: iboss

service:
    pipelines:
        logs/iboss_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/iboss_webproxy

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה שבהן סוכן Bindplane מאזין להודעות syslog נכנסות. משתמשים ב-0.0.0.0 כדי להאזין בכל הממשקים. היציאה צריכה להיות זהה ליציאה שהוגדרה בהגדרות העברת ה-syslog של iBoss.
- אם iBoss מוגדר לשליחת יומנים דרך TCP, מחליפים את udplog receiver ב-tcplog:
```
receivers:
    tcplog:
        listen_address: "0.0.0.0:514"
```
הערה: צריך לעדכן את הפניה לנמען בקטע service.pipelines בהתאם.
הגדרת כלי הייצוא:
- ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ האימות להטמעת נתונים:
  - ‫Linux: /etc/bindplane-agent/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫<CUSTOMER_ID>: מספר הלקוח ב-Google SecOps שהעתקתם קודם.
- ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
  - ארה"ב: malachiteingestion-pa.googleapis.com
  - אירופה: europe-malachiteingestion-pa.googleapis.com
  - אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
  - רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

אחרי שמסיימים לערוך, שומרים את הקובץ:

‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

מריצים את הפקודה הבאה:

sudo systemctl restart observiq-otel-collector

מוודאים שהשירות פועל:

sudo systemctl status observiq-otel-collector

בודקים אם יש שגיאות ביומנים:

sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

בוחרים אחת מהאפשרויות האלה:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```

בודקים אם יש שגיאות ביומנים:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog של iBoss

נכנסים לפורטל של iBoss.
עוברים אל Integration Marketplace (חנות השילובים), בוחרים באפשרות Log Forwarding (העברת יומנים) בתפריט הימני ולוחצים על הלחצן Configure (הגדרה) שמשויך לווידג'ט Syslog Log Forwarding (העברת יומנים של Syslog).
לוחצים על הלחצן Add Integration (הוספת שילוב) כדי להוסיף את השילוב של Syslog.
מספקים את פרטי ההגדרה הבאים:
- העברה מ: בתפריט הנפתח, בוחרים באפשרות מדווח.
- בחירת מסד נתונים לדיווח: בוחרים את מסד הנתונים לדיווח.
- שם השירות: מזינים שם תיאורי לשילוב (לדוגמה, SecOps-Bindplane).
- Enable Service: מגדירים את האפשרות הזו ל-Enabled.
- סוג היומן: בתפריט הנפתח, בוחרים באפשרות כתובת URL. האפשרות הזו מתעדת יומני תנועה של שרת proxy לאינטרנט (בקשות HTTP/HTTPS). כדי להעביר קטגוריות אחרות של אירועים, כמו DLP או DNS, צריך להגדיר שילובים נפרדים עם סוג היומן המתאים.
- סוג הפרוטוקול: בוחרים באפשרות UDP או TCP מהתפריט הנפתח.
  
  הערה: הפרוטוקול חייב להיות זהה לסוג המקלט שהוגדר בקובץ config.yaml של סוכן Bindplane (udplog ל-UDP, ‏ tcplog ל-TCP). מומלץ להשתמש ב-TCP בסביבות ייצור כי הוא מספק העברה מהימנה ומסודרת.
- Syslog Facility Level (רמת מתקן Syslog): בוחרים באפשרות Facility Syslog (מתקן Syslog) מהתפריט הנפתח.
- קבוצת דיווח: בוחרים באפשרות הכול מהתפריט הנפתח.
- שם המארח: מזינים את כתובת ה-IP או את שם הדומיין המוגדר במלואו של המארח של סוכן Bindplane.
- יציאה: מזינים את מספר היציאה שמתאים ליציאה listen_address בהגדרת סוכן Bindplane (לדוגמה, 514).
  
  הערה: ב-Linux, יציאה 514 היא יציאה עם הרשאות. אם סוכן Bindplane פועל כמשתמש שאינו משתמש root, צריך להשתמש ביציאה לא מורשית (לדוגמה, 5514) ולעדכן את השדה Port ב-iBoss ואת listen_address ב-Bindplane כך שיהיה ביניהם התאמה.
- פורמט היומן: בוחרים באפשרות JSON מהתפריט הנפתח.
- Transfer Interval (מרווח העברה): בתפריט הנפתח, בוחרים באפשרות Continuous (רציף).
- תו מפריד בין שדות: בתפריט הנפתח, בוחרים באפשרות רווח.
- שליחת יומנים של DLP/אינטרנט/DNS/תוכנות זדוניות/ביקורת/שגיאות בחיבור: מגדירים את האפשרות הפעלה בהתאם להעדפה שלכם לגבי שליחת יומנים.
  
  הערה: המתג Send Connection Error Logs (שליחת יומני שגיאות של חיבורים) מוצג בממשק המשתמש של iBoss רק כשהמתג Send Web Logs (שליחת יומני אינטרנט) מושבת.
- שדות להעברה: מוסיפים את כל השדות חוץ מDLP Base64 Encoded Meta Data,‏ Base64 Encoded Meta Data ו-Chat GPT Message.
לוחצים על הוספת שירות.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
מתווך	מתווך	מידע על מכשיר או שירות מתווך שמעורבים באירוע.
desc	metadata.description	תיאור נוסף של האירוע.
metadata.event_type	metadata.event_type	סוג האירוע (לדוגמה, USER_LOGIN, ‏ NETWORK_CONNECTION).
urlLogId	metadata.product_log_id	מזהה ייחודי של רשומת היומן מהמוצר.
requestMethod	network.http.method	ה-method של ה-HTTP שמשמשת בבקשה.
ref_url	network.http.referral_url	כתובת ה-URL שממנה הופנה המשתמש לדף הנוכחי.
response_Code	network.http.response_code	קוד תגובת HTTP.
user_Agent	network.http.user_agent	מחרוזת סוכן המשתמש מבקשת ה-HTTP.
up_stream	network.received_bytes	מספר הבייטים שהתקבלו בחיבור לרשת.
down_stream	network.sent_bytes	מספר הבייטים שנשלחו בחיבור לרשת.
computerName	principal.asset.hostname	שם המארח של הנכס שמשויך לגורם העיקרי.
computer_Mac_Address	principal.asset.mac	כתובת ה-MAC של הנכס שמשויך למנהל.
filtering_Group_Name	principal.group.group_display_name	השם המוצג של הקבוצה שמשויכת לישות הראשית.
computerName	principal.hostname	שם המארח של החשבון הראשי.
sourceIpAddress	principal.ip	כתובת ה-IP של חשבון המשתמש.
pri_ip	principal.ip
pub_ip	principal.ip
mac_address	principal.mac	כתובת ה-MAC של חשבון המשתמש.
src_port	principal.port	מספר היציאה שבו נעשה שימוש על ידי הגורם העיקרי.
file_name	principal.process.file.names	שמות הקבצים שמשויכים לתהליך.
שם משתמש	principal.user.userid	מזהה המשתמש של הגורם העיקרי.
sec_res	security_result	תוצאה של ניתוח אבטחה, כולל פעולות וקטגוריות.
מארח	target.hostname	שם המארח של היעד.
ipAddress	target.ip	כתובת ה-IP של היעד.
targetPort	target.port	מספר היציאה של היעד.
uri_path	target.process.file.full_path	הנתיב המלא של הקובץ או המשאב ביעד.
url	target.url	כתובת ה-URL של היעד.
metadata.product_name	metadata.product_name	שם המוצר שיצר את האירוע.
metadata.vendor_name	metadata.vendor_name	שם הספק שייצר את המוצר.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.