איסוף יומנים של MicroStrategy

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני MicroStrategy ב-Google Security Operations באמצעות Bindplane.

‫MicroStrategy היא פלטפורמה לניתוח נתונים ולבינה עסקית (BI). הוא יוצר יומני ביקורת להרצת דוחות, סשנים של משתמשים, גישה לנתונים ופעולות של אדמינים. המנתח מחלץ שדות מהודעות ביומן של MicroStrategy וממפה אותם למודל הנתונים המאוחד (UDM), תוך תיעוד של זהות המשתמש, פרטי הסשן, פרטי השרת ומטא-נתונים של אבטחה.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת המודיעין של MicroStrategy
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מורשית ל-MicroStrategy Intelligence Server (תפקיד אדמין או גישה למערכת הקבצים של השרת)

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/microstrategy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: MICROSTRATEGY
      raw_log_field: body
  
  service:
    pipelines:
      logs/microstrategy:
        receivers:
          - tcplog
        exporters:
          - chronicle/microstrategy
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫tcplog: סוג המקלט לפי הפרוטוקול:
    • ‫udplog ל-UDP syslog
    • ‫tcplog ל-syslog של TCP
    • ‫syslog ל-syslog של RFC 3164/5424
  • ‫0.0.0.0: כתובת ה-IP להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • כתובת IP ספציפית להאזנה בממשק אחד
  • ‫514: מספר היציאה להאזנה (לדוגמה, 514,‏ 1514,‏ 6514)

• הגדרת הייצוא:

  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • משנים את creds_file_path לנתיב של קובץ מפתח ה-JSON של חשבון השירות (אפשרות 1), בהתאם לפלטפורמה:
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/microstrategy:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MICROSTRATEGY
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ב-MicroStrategy

‫MicroStrategy Intelligence Server כותב קובצי יומן באופן מקומי במערכת הקבצים. מגדירים העברה של syslog באמצעות ה-daemon של syslog במערכת כדי לשלוח את היומנים האלה לסוכן Bindplane.

1. מאתרים את ספריית היומנים של MicroStrategy:

   • Windows: C:\Program Files\Common Files\MicroStrategy\Log\
   • Linux: /var/log/Strategy/
   הערה: קובץ היומן הראשי הוא DSSErrors.log. כדי לראות את המיקום בפועל של ספריית היומנים, צריך לבדוק את ההגדרות של MicroStrategy.

2. מגדירים את הדימון (daemon) של יומן המערכת כדי לעקוב אחרי קובצי היומן של MicroStrategy ולהעביר אותם לסוכן Bindplane.

ב-Linux‏ (rsyslog):

1. יוצרים קובץ תצורה חדש של rsyslog:

   sudo nano /etc/rsyslog.d/microstrategy-forward.conf
   

2. מוסיפים את התוכן הבא כדי להעביר את היומנים של MicroStrategy:

   module(load="imfile")
   input(type="imfile"
       File="/var/log/Strategy/DSSErrors.log"
       Tag="microstrategy"
       Severity="info"
       Facility="local0")
   local0.* @BINDPLANE_AGENT_IP:514
   

   הערה: צריך להחליף את BINDPLANE_AGENT_IP בכתובת ה-IP של המארח של סוכן Bindplane. צריך להשתמש ב-@@ במקום ב-@ ל-TCP.

3. מפעילים מחדש את שירות rsyslog:

   sudo systemctl restart rsyslog
   

ב-Windows:

משתמשים בכלי להעברת יומנים (כמו NXLog או Snare) כדי לעקוב אחרי ספריית היומנים של MicroStrategy ולהעביר אירועים דרך syslog לכתובת ה-IP וליציאה של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
‫Account_Creation_Timestamp, ‏ Account_Modification_Timestamp, ‏ Timestamp	additional.fields	מיזוג עם תוויות שנוצרו משדות, אם הם לא ריקים
Authentication_message	metadata.description	הערך הועתק ישירות
Event_start	metadata.event_timestamp	ההמרה בוצעה באמצעות מסנן תאריכים בפורמט "MMM dd HH:mm:ss"
	metadata.event_type	מוגדר כ-"USER_UNCATEGORIZED" אם יש has_principal ו-has_target, אחרת מוגדר כ-"STATUS_UPDATE" אם יש has_principal, אחרת מוגדר כ-"GENERIC_EVENT"
אירוע	network.session_id	הערך הועתק ישירות
Source_server	principal.application	הערך הועתק ישירות
שם המארח	principal.asset.hostname	הערך הועתק ישירות
server_ip	principal.asset.ip	הערך הועתק ישירות
שם המארח	principal.hostname	הערך הועתק ישירות
server_ip	principal.ip	הערך הועתק ישירות
רמה	principal.platform_patch_level	הערך הועתק ישירות
User_Group_Name	principal.user.group_identifiers	הערך הועתק ישירות
Account_Name, User	principal.user.user_display_name	הערך מ-Account_Name אם הוא לא ריק, אחרת הערך הוא User
id, Account_Login, Account	principal.user.userid	הערך מהמזהה אם הוא לא ריק, אחרת Account_Login אם הוא לא ריק, אחרת Account
Log_level	security_result.detection_fields	מיזוג עם תווית שנוצרה משדה אם הוא לא ריק
Source_host	src.asset.hostname	הערך הועתק ישירות
Source_host	src.hostname	הערך הועתק ישירות
מודול	target.application	הערך הועתק ישירות
client_ip	target.asset.ip	הערך הועתק ישירות
client_ip	target.ip	הערך הועתק ישירות
PID	target.process.pid	הערך הועתק ישירות
Thread_ID, SID, method, Account_Status_DESC	target.resource.attribute.labels	מיזוג עם תוויות שנוצרו משדות, אם הם לא ריקים
OID	target.resource.id	הערך הועתק ישירות
Object_Owner_Name	target.resource.name	הערך הועתק ישירות
משתמש	target.user.user_display_name	הערך הועתק ישירות
UID	target.user.userid	הערך הועתק ישירות
	metadata.product_name	צריך להגדיר את הערך "MICROSTRATEGY"
	metadata.vendor_name	צריך להגדיר את הערך "MICROSTRATEGY"
Hostname	principal.hostname, principal.asset.hostname	מופה מיומן השינויים
Source_host	src.hostname, src.asset.hostname	מופה מיומן השינויים
server_ip	principal.ip, principal.asset.ip	מופה מיומן השינויים
client_ip	target.ip, target.asset.ip	מופה מיומן השינויים
Account_Creation_Timestamp	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Account_Modification_Timestamp	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Timestamp	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.