איסוף יומנים של Intel Endpoint Management Assistant‏ (Intel EMA)

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Intel Endpoint Management Assistant ‏ (Intel EMA) ב-Google Security Operations באמצעות Bindplane.

‫Intel Endpoint Management Assistant (Intel EMA) היא אפליקציית תוכנה שמספקת ניהול מרחוק של מכשירים שמבוססים על פלטפורמת Intel vPro בענן, גם בתוך חומת האש וגם מחוצה לה. ‫Intel EMA מאפשרת לאדמינים ב-IT להגדיר ולנהל מרחוק נקודות קצה של Intel Active Management Technology‏ (Intel AMT), לבצע פעולות מחוץ לפס ובתוך הפס ולעקוב אחרי פעילות נקודות הקצה באמצעות רישום ביומן של אירועי ביקורת.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין שרת Intel EMA
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת אדמין לשרת Intel EMA עם הרשאות לשינוי קובץ ההגדרות NLog
• שרת Intel EMA מגרסה 1.10 ואילך מותקן ופועל

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש להגדרת כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/intel_ema:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: INTEL_EMA
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/intel_ema_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/intel_ema
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: מוגדר ל-0.0.0.0:514 כדי להאזין לכל הממשקים ביציאת UDP‏ 514. יכול להיות שתצטרכו להשתמש ביציאה אחרת, כמו 1514, אם אתם מריצים את הפקודה כמשתמש לא-root ב-Linux.

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מחליפים את YOUR_CUSTOMER_ID במספר הלקוח מהשלב הקודם.
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
  • ‫log_type: מגדירים את הערך INTEL_EMA בדיוק כמו שמופיע.
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production).

שמירת קובץ ההגדרות

אחרי שמסיימים לערוך, שומרים את הקובץ:

• ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
• ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

     net stop observiq-otel-collector && net start observiq-otel-collector
     

   • מסוף השירותים:

     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.

     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

     4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector
        

     5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
        

הגדרת העברה של syslog ב-Intel EMA

‫Intel EMA משתמש ב-framework של NLog לרישום ביומן. כדי להעביר יומנים באמצעות syslog לסוכן Bindplane, צריך להוסיף יעד רשת syslog לקובץ ההגדרות של Intel EMA NLog.

התקנת התוסף NLog Syslog target

1. נכנסים לשרת Intel EMA כאדמינים מקומיים.
2. פותחים את PowerShell כאדמין.

3. מנווטים לספרייה של אפליקציית האינטרנט Intel EMA:

   cd C:\inetpub\wwwroot
   

4. מעתיקים את הקובץ NLog.Targets.Syslog.dll לספריית אפליקציית האינטרנט של Intel EMA ‏ (C:\inetpub\wwwroot) כדי להתקין את חבילת NuGet‏ NLog.Targets.Syslog.

   הערה: אפשר להוריד את חבילת NLog.Targets.Syslog מגלריית NuGet. מחולצים את קובץ ה-DLL מהחבילה וממקמים אותו באותה ספרייה שבה נמצאים הקבצים NLog.dll ו-NLog.config.

עריכת קובץ ההגדרות של NLog

1. פותחים את קובץ ההגדרות של NLog בכלי לעריכת טקסט:

   notepad C:\inetpub\wwwroot\NLog.config
   

2. מוסיפים את התוסף syslog בקטע <extensions>. אם הקטע <extensions> לא קיים, יוצרים אותו ברכיב <nlog>:

   <extensions>
       <add assembly="NLog.Targets.Syslog" />
   </extensions>
   

3. מוסיפים יעד syslog בקטע <targets>:

   <target name="syslog" xsi:type="Syslog">
       <sl:messageSend>
           <protocol>UDP</protocol>
           <udp>
               <server>BINDPLANE_AGENT_IP</server>
               <port>514</port>
           </udp>
       </sl:messageSend>
   </target>
   

   • מחליפים את BINDPLANE_AGENT_IP בכתובת ה-IP של המארח שבו פועל סוכן Bindplane (לדוגמה, 192.168.1.100).
   • אם אתם משתמשים ביציאה לא סטנדרטית, מחליפים את 514 ביציאה שהוגדרה בסוכן Bindplane.
   • מגדירים את הפרוטוקול ל-UDP או ל-TCP בהתאם להגדרת המקלט של סוכן Bindplane.

4. מוסיפים כלל רישום ביומן בתוך הקטע <rules> כדי להפנות את כל הודעות היומן ליעד syslog:

   <logger name="*" minlevel="Info" writeTo="syslog" />
   

   הערה: מגדירים את minlevel ל-Info כדי לתעד אירועים אינפורמטיביים, אזהרות, שגיאות ואירועים קריטיים. הגדרת הערך Debug תגרום לרישום מפורט יותר ביומן, והגדרת הערך Warn תגרום לרישום של פחות הודעות.

5. שומרים את הקובץ וסוגרים אותו.

דוגמה ל-NLog.config עם יעד syslog

• בדוגמה הבאה מוצגים הקטעים הרלוונטיים שנוספו לקובץ NLog.config:

  <?xml version="1.0" encoding="utf-8"?>
  <nlog xmlns="http://www.nlog-project.org/schemas/NLog.xsd"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xmlns:sl="http://www.nlog-project.org/schemas/NLog.Targets.Syslog.xsd">
      <extensions>
          <add assembly="NLog.Targets.Syslog" />
      </extensions>
      <targets>
          <!-- Existing file targets remain here -->
          <target name="syslog" xsi:type="Syslog">
              <sl:messageSend>
                  <protocol>UDP</protocol>
                  <udp>
                      <server>192.168.1.100</server>
                      <port>514</port>
                  </udp>
              </sl:messageSend>
          </target>
      </targets>
      <rules>
          <!-- Existing rules remain here -->
          <logger name="*" minlevel="Info" writeTo="syslog" />
      </rules>
  </nlog>
  

מפעילים מחדש את IIS כדי להחיל את השינויים

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מפעילים מחדש את IIS כדי לטעון מחדש את ההגדרה של NLog:

   iisreset
   

3. כדי לוודא שאפליקציית האינטרנט של Intel EMA פועלת, עוברים אל Intel EMA Platform Manager בדפדפן אינטרנט.

אימות של העברת syslog

1. מבצעים פעולה במסוף Intel EMA (לדוגמה, כניסה, צפייה בנקודות קצה או שינוי הגדרה) כדי ליצור אירועי ביקורת.
2. בודקים את היומנים של סוכן Bindplane כדי לוודא שהודעות syslog מתקבלות משרת Intel EMA.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
server_type	additional.fields	תוויות שמוזגו עם מפתחות server_type, ‏ server_type_id, ‏ Endpoint_count
server_type_id	additional.fields
Endpoint_count	additional.fields
שעה	metadata.event_timestamp	הניתוח מתבצע באמצעות מסנן תאריכים עם הפורמטים yyyy-MM-dd HH:mm:ss.SSSS,‏ ISO8601 ו-RFC 3339
metadata.event_type	metadata.event_type	הערך שמוגדר הוא GENERIC_EVENT
version_id	metadata.product_version	הערך הועתק ישירות
EndpointId	security_result.detection_fields	התווית מוזגה עם EndpointId של מפתח
severity	security_result.severity	מופה ל-CRITICAL אם CRITICAL, ל-ERROR אם ERROR, ל-HIGH אם ALERT או EMERGENCY, ל-INFORMATIONAL אם INFO או NOTICE, ל-LOW אם DEBUG, ל-MEDIUM אם WARNING, אחרת UNKNOWN_SEVERITY
תרבות	target.resource.attribute.labels	התוויות מוזגו עם מפתחות התרבות, public_key_token ו-process_name
Publickeytoken	target.resource.attribute.labels
process_name	target.resource.attribute.labels

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.