איסוף יומני NetApp ONTAP SAN

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני NetApp ONTAP SAN ב-Google Security Operations באמצעות Bindplane. ‫NetApp ONTAP היא פלטפורמת תוכנה לניהול נתונים במערכות אחסון, שמספקת שירותי SAN (רשת אזור אחסון) כולל אחסון ברמת הבלוק באמצעות פרוטוקולים של iSCSI, ‏ Fibre Channel ו-NVMe over Fabrics. ביומני ONTAP SAN מתועדים אירועים שקשורים לפעולות של LUN, לניהול קבוצות של יוזמים, לשינויים בסטטוס של יציאות ולפעילויות גישה לאחסון.

מידע נוסף זמין במאמר איסוף יומני NetApp SAN.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או מארח Linux עם systemd.
• קישוריות לרשת: אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות לממשק הניהול של אשכול NetApp ONTAP (ממשק CLI או ONTAP System Manager).
• ‫ONTAP 9.x ואילך שפועלת במערכת האחסון.

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

מקורות מידע נוספים בנושא התקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת Syslog ושליחה אל Google SecOps

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

2. עורכים את הקובץ config.yaml:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/netapp_san:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: NETAPP_SAN
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/netapp_san_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/netapp_san
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
• מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את <CUSTOMER_ID> במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1).

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/netapp_san:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: NETAPP_SAN
      raw_log_field: body
      ingestion_labels:
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברת syslog ב-NetApp ONTAP

הגדרת syslog באמצעות ONTAP CLI

1. מתחברים ל-LIF של ניהול האשכולות של NetApp ONTAP באמצעות SSH.

2. כדי לראות את היעדים הנוכחיים של ההתראות לגבי אירועים, מזינים את הפקודה הבאה:

   cluster1::> event notification destination show
   

3. יוצרים יעד להתראות syslog שמפנה לסוכן Bindplane:

   cluster1::> event notification destination create -name bindplane-syslog -syslog <BINDPLANE_IP_ADDRESS> -syslog-port 514 -syslog-transport udp-unencrypted
   

   • מחליפים את <BINDPLANE_IP_ADDRESS> בכתובת ה-IP של המארח של סוכן Bindplane.

4. יוצרים התראה לגבי אירוע כדי להעביר אירועי EMS ליעד של syslog:

   cluster1::> event notification create -filter-name default-trap-events -destinations bindplane-syslog
   

   הערה: המסנן default-trap-events כולל אירועי EMS קריטיים וחשובים. אפשר ליצור מסננים בהתאמה אישית כדי לכלול רמות חומרה נוספות של אירועים.

5. (אופציונלי) יוצרים מסנן בהתאמה אישית כדי לכלול את כל האירועים:

   cluster1::> event filter create -filter-name all-events
   cluster1::> event filter rule add -filter-name all-events -type include -message-name * -severity <=NOTICE
   cluster1::> event notification create -filter-name all-events -destinations bindplane-syslog
   

6. מאמתים את ההגדרות:

   cluster1::> event notification destination show
   cluster1::> event notification show
   

הגדרת syslog באמצעות ONTAP System Manager

1. נכנסים אל ONTAP System Manager.
2. עוברים אל Events & Jobs (אירועים ומשימות) > Events (אירועים) > EMS Event Notifications (התראות לגבי אירועי EMS).
3. לוחצים על Add כדי ליצור יעד להתראות.
4. מזינים את פרטי ההגדרה הבאים:
   • שם: מזינים bindplane-syslog.
   • ‫Type (סוג): בוחרים באפשרות Syslog.
   • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאה: מזינים 514.
   • פרוטוקול תעבורה: בוחרים באפשרות UDP.
5. לוחצים על Save.
6. יוצרים כלל התראות לגבי אירועים ומשייכים אותו ליעד bindplane-syslog.
7. בוחרים את מסנן האירועים (לדוגמה, default-trap-events או מסנן בהתאמה אישית).
8. לוחצים על Save.

מידע נוסף זמין במסמכי התיעוד בנושא הגדרת NetApp ONTAP EMS.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
desc	metadata.description	מיפוי ישיר
datetime	metadata.event_timestamp	נותח בתור MMM d HH:mm:ss
ip	principal.ip	ממוזג
port	principal.port	מיפוי ישיר
userid	principal.user.userid	מיפוי ישיר
sr	security_result	ממוזג
לא רלוונטי	metadata.event_type	קבוע: STATUS_UPDATE
לא רלוונטי	metadata.product_name	קבוע: Storage Area Network
לא רלוונטי	metadata.vendor_name	קבוע: NetApp

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.