איסוף יומנים מ-ManageEngine AD360

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני ManageEngine AD360 ב-Google Security Operations באמצעות סוכן Bindplane.

‫ManageEngine AD360 הוא פתרון משולב לניהול זהויות והרשאות גישה (IAM) שיוצר הודעות syslog לשינויים ב-Active Directory, אירועי אימות, חיבורים לרשת והפרות של מדיניות האבטחה. המנתח מחלץ שדות מיומנים בפורמט syslog באמצעות תבניות grok וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת ManageEngine AD360
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • הרשאת אדמין לממשק המשתמש באינטרנט של ManageEngine AD360

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/manage_engine_ad360:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: MANAGE_ENGINE_AD360
    raw_log_field: body

service:
  pipelines:
    logs/manage_engine_ad360_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/manage_engine_ad360

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/manage_engine_ad360:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MANAGE_ENGINE_AD360
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת ייצוא של syslog ב-ManageEngine AD360

  1. נכנסים לממשק המשתמש של AD360 באינטרנט.
  2. עוברים אל ניהול > ניהול > שילוב SIEM.
  3. לוחצים על הקישור Configure Now (הגדרה עכשיו) לצד הרכיב ADSelfService.
  4. מזינים את פרטי ההגדרה הבאים:
    • סוג השרת: בוחרים באפשרות Syslog.
    • ‫Server Name/IP: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה של סוכן Bindplane.
    • פרוטוקול: בוחרים באפשרות UDP.
    • תקן Syslog: בוחרים באפשרות RFC 5424.
    • לוחצים על הרשימה מתקדם.
    • ‫Severity: בוחרים באפשרות Informational.
  5. לוחצים על הגדרה כדי לשמור.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
AccessControlRuleName security_result.rule_name הערך נלקח מהשדה AccessControlRuleName אם הוא קיים, אחרת מהשדה rule_name
ACPolicy security_result.rule_labels.value הערך נלקח מהשדה ACPolicy
פעולה security_result.action_details מיפוי ישיר ל-UDM
action_id security_result.detection_fields.value הערך נלקח מהשדה action_id
application_protocol network.application_protocol מיפוי ישיר ל-UDM
בייטים network.sent_bytes מיפוי ישיר ל-UDM
client_ip principal.ip מיפוי ישיר ל-UDM
ConnectionID network.session_id הערך נלקח מהשדה connection_id אם הוא קיים, אחרת מהשדה ConnectionID, אחרת מהשדה ses
destination_ip target.ip מיפוי ישיר ל-UDM
destination_port target.port מיפוי ישיר ל-UDM
DeviceUUID target.asset_id הערך נלקח מהשדה DeviceUUID אם הוא קיים, אחרת מהשדה distinguished_name_device_id
distinguished_name_device_id target.asset_id הערך נלקח מהשדה DeviceUUID אם הוא קיים, אחרת מהשדה distinguished_name_device_id
distinguished_name_user target.user.userid מיפוי ישיר ל-UDM
מס שירותים דיגיטליים (DTS) target.ip הערך נלקח מהשדה DST אם הוא קיים, אחרת מהשדה DstIP
DPT target.port הערך נלקח מהשדה DPT אם הוא קיים, אחרת מהשדה DstPort, אחרת מהשדה destination_port
DstIP target.ip הערך נלקח מהשדה DST אם הוא קיים, אחרת מהשדה DstIP
DstPort target.port הערך נלקח מהשדה DPT אם הוא קיים, אחרת מהשדה DstPort, אחרת מהשדה destination_port
EgressInterface additional.fields.value.string_value מיפוי ישיר ל-UDM
EgressZone target.location.name מיפוי ישיר ל-UDM
EventPriority security_result.severity ממופה לרמות חומרה שונות על סמך הערך של השדה EventPriority.
exe principal.process.command_line מיפוי ישיר ל-UDM
geoip.city_name principal.location.city מיפוי ישיר ל-UDM
geoip.country_name principal.location.country_or_region מיפוי ישיר ל-UDM
geoip.latitude principal.location.region_latitude מיפוי ישיר ל-UDM
geoip.longitude principal.location.region_longitude מיפוי ישיר ל-UDM
http_status network.http.response_code מיפוי ישיר ל-UDM
id metadata.product_log_id מיפוי ישיר ל-UDM
IngressInterface additional.fields.value.string_value מיפוי ישיר ל-UDM
IngressZone principal.location.name מיפוי ישיר ל-UDM
LEN additional.fields.value.string_value מיפוי ישיר ל-UDM
message_number לא ממופה
NAPPolicy security_result.rule_labels.value הערך נלקח מהשדה NAPPolicy
network_direction network.direction מיפוי ישיר ל-UDM
OUT additional.fields.value.string_value מיפוי ישיר ל-UDM
pid target.process.pid מיפוי ישיר ל-UDM
ppid target.process.parent_process.pid מיפוי ישיר ל-UDM
PREC additional.fields.value.string_value מיפוי ישיר ל-UDM
principal_hostname principal.hostname מיפוי ישיר ל-UDM
product_event_type metadata.product_event_type מיפוי ישיר ל-UDM
פרוטוקול network.ip_protocol משמש לאכלוס השדה PROTO ואז ממופה ל-UDM באמצעות טבלת מיפוי.
PROTO network.ip_protocol ממופה ל-UDM באמצעות טבלת בדיקה שמבוססת על מספר הפרוטוקול.
request_method network.http.method מיפוי ישיר ל-UDM
rule_name security_result.rule_name הערך נלקח מהשדה AccessControlRuleName אם הוא קיים, אחרת מהשדה rule_name
ses network.session_id הערך נלקח מהשדה connection_id אם הוא קיים, אחרת מהשדה ConnectionID, אחרת מהשדה ses
source_ip principal.ip מיפוי ישיר ל-UDM
source_port principal.port מיפוי ישיר ל-UDM
SPT principal.port הערך נלקח מהשדה SPT אם הוא קיים, אחרת מהשדה SrcPort, אחרת מהשדה source_port
SRC principal.ip הערך נלקח מהשדה SRC אם הוא קיים, אחרת מהשדה SrcIP, אחרת מהשדה client_ip
SrcIP principal.ip הערך נלקח מהשדה SRC אם הוא קיים, אחרת מהשדה SrcIP, אחרת מהשדה client_ip
SrcPort principal.port הערך נלקח מהשדה SPT אם הוא קיים, אחרת מהשדה SrcPort, אחרת מהשדה source_port
חותמת זמן metadata.event_timestamp מיפוי ישיר ל-UDM
TOS additional.fields.value.string_value מיפוי ישיר ל-UDM
TTL additional.fields.value.string_value מיפוי ישיר ל-UDM
כתובת URL target.url מיפוי ישיר ל-UDM
user_agent network.http.user_agent מיפוי ישיר ל-UDM
חלון additional.fields.value.string_value מיפוי ישיר ל-UDM
metadata.vendor_name הערך מקודד באופן קשיח ל-MANAGE_ENGINE_AD360
metadata.product_name הערך מקודד באופן קשיח ל-MANAGE_ENGINE_AD360
metadata.log_type הערך מקודד באופן קשיח ל-MANAGE_ENGINE_AD360
metadata.event_type הערך מוגדר כ-NETWORK_CONNECTION אם השדות SRC ו-DST קיימים, אחרת הוא מוגדר כ-STATUS_UPDATE אם השדה SRC או השדה principal_hostname קיים. אם אף אחד מהתנאים האלה לא מתקיים, ברירת המחדל היא GENERIC_EVENT.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.