‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומני NGINX

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני NGINX ב-Google Security Operations באמצעות סוכן Bindplane.

‫NGINX הוא שרת אינטרנט ושרת proxy הפוך שיוצר הודעות syslog לאירועי גישה ל-HTTP, אירועי שגיאה, פעילות אימות ומידע על תהליכים. הכלי לניתוח מחלץ שדות מפורמטים שונים של יומנים (syslog,‏ JSON, יומני גישה) באמצעות דפוסי grok, וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מופע של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין שרת NGINX
אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
הרשאת אדמין במארח NGINX

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
לוחצים על יצירת חשבון שירות.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sc query observiq-otel-collector
```
השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

‫Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/nginx:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: NGINX
    raw_log_field: body

service:
  pipelines:
    logs/nginx_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/nginx

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת המקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)
הגדרת הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
  - ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
- ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/nginx:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: NGINX
    raw_log_field: body
```

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מאתרים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת NGINX להעברת יומנים ל-Bindplane

פותחים את קובץ התצורה של NGINX (לדוגמה, /etc/nginx/nginx.conf):
```
sudo vi /etc/nginx/nginx.conf
```

עורכים את ההגדרות ומחליפים את <BINDPLANE_SERVER> ו-<BINDPLANE_PORT> בערכים שלכם:

http {
    access_log syslog:server=<BINDPLANE_SERVER>:<BINDPLANE_PORT>,facility=local7,tag=nginx_access;
    error_log syslog:server=<BINDPLANE_SERVER>:<BINDPLANE_PORT>,facility=local7,tag=nginx_error;
}

מפעילים מחדש את NGINX כדי להחיל את השינויים:
```
sudo systemctl reload nginx
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`_Internal_WorkspaceResourceId`	`target.resource.product_object_id`	מיפוי ישיר
`Computer`	`principal.asset.hostname`	מיפוי ישיר
`Facility`	`additional.fields[`facility`]`	מיפוי ישיר
`HostName`	`principal.asset.hostname`	מיפוי ישיר אם `src_ip` לא קיים
`ProcessName`	`principal.application`	מיפוי ישיר
`SeverityLevel`	`security_result.severity`	ממופה לערך INFORMATIONAL אם הערך הוא `info`
`SourceSystem`	`principal.asset.platform`	ממופה ל-LINUX אם הערך תואם ל-`Linux`
`SyslogMessage`	כמה שדות	הניתוח מתבצע באמצעות grok כדי לחלץ את הערכים `time`, `method`, `target_path`, `protocol`, `response_code`, `referral_url`, `user_agent`, `target_ip`, `target_host` ו-`cache`
`TenantId`	`additional.fields[`TenantId`]`	מיפוי ישיר
`acct`	`principal.user.user_id`	מיפוי ישיר אם לא ריק או `?`
`addr`	`principal.asset.ip`	מיפוי ישיר
`audit_epoch`	`metadata.event_timestamp`	הערך מומר לחותמת זמן בפורמט `UNIX`. הננו-שניות נשלפות מהודעת היומן המקורית.
`cache`	`additional.fields[`cache`]`	מיפוי ישיר
`collection_time.nanos`	`metadata.event_timestamp.nanos`	משמש לננו-שניות של חותמת הזמן של האירוע, אם הן זמינות
`collection_time.seconds`	`metadata.event_timestamp.seconds`	משמש לשניות של חותמת הזמן של האירוע, אם זמינה
`data`	כמה שדות	מקור הנתונים הראשי, שמנותח באופן שונה בהתאם לפורמט של היומן (Syslog,‏ JSON או אחר)
`exe`	`target.process.command_line`	מיפוי ישיר אחרי הסרת לוכסנים הפוכים ומירכאות
`hostname`	`principal.asset.hostname` או `principal.asset.ip`	אם זה כתובת IP, המיפוי הוא ל-`principal.asset.ip`. אחרת, ממופה אל `principal.asset.hostname`
`msg`	`metadata.description`	ממופה ישירות כתיאור
`node`	`target.asset.hostname`	מיפוי ישיר
`pid`	`target.process.pid`	מיפוי ישיר
`protocol`	`network.application_protocol`	ממופה ל-HTTP אם הערך תואם ל-`HTTP`
`referral_url`	`network.http.referral_url`	מיפוי ישיר אם לא ריק או `-`
`res`	`security_result.action_details`	מיפוי ישיר
`response_code`	`network.http.response_code`	מיפוי ישיר והמרה למספר שלם
`ses`	`network.session_id`	מיפוי ישיר
`src_ip`	`principal.asset.ip`	מיפוי ישיר
`target_host`	`target.asset.hostname`	מיפוי ישיר
`target_ip`	`target.asset.ip`	מיפוי ישיר, אחרי המרה של ייצוג המחרוזת למערך JSON ואז חילוץ של כתובות IP נפרדות
`target_path`	`target.url`	מיפוי ישיר
`time`	`metadata.event_timestamp`	מנותח כדי לחלץ את חותמת הזמן באמצעות הפורמט `dd/MMM/yyyy:HH:mm:ss Z`
`user_agent`	`network.http.user_agent`	מיפוי ישיר אם לא ריק או `-`
	`metadata.event_type`	מוגדר בהתחלה כ-`GENERIC_EVENT`, ואז יכול להיות שיוחלף על סמך שדות אחרים כמו `terminal` ו-`protocol`. אם אין התאמה לתבנית ה-grok הראשית, ברירת המחדל היא `USER_UNCATEGORIZED`. צריך להגדיר את הערך `NETWORK_HTTP` אם `protocol` הוא HTTP ו-`target_ip` קיים, ואת הערך `STATUS_UPDATE` אם `protocol` הוא HTTP אבל `target_ip` לא קיים
	`metadata.log_type`	הוגדר בתור `NGINX`
	`metadata.product_name`	הוגדר לערך `NGINX`
	`metadata.vendor_name`	הוגדר לערך `NGINX`
	`network.ip_protocol`	הערך שמוגדר הוא `TCP` אם `terminal` הוא `sshd` או `ssh`, או אם אין התאמה לתבנית grok הראשית
	`principal.asset_id`	צריך להגדיר את הערך `GCP.GCE:0001` אם הערך של `terminal` הוא `sshd` או `ssh`. הגדרה ל-`GCP.GCE:0002` אם תבנית ה-grok הראשית לא תואמת
	`extensions.auth.type`	הערך שמוגדר הוא `MACHINE` אם `terminal` הוא `sshd` או `ssh`
`log_hostname`	`event.idm.read_only_udm.principal.asset.hostname`	מופה מיומן השינויים
`ip_part`	`event.idm.read_only_udm.intermediary.ip`	מופה מיומן השינויים
`domain_part`	`event.idm.read_only_udm.intermediary.administrative_domain`	מופה מיומן השינויים
`location_part`	`event.idm.read_only_udm.intermediary.location.name`	מופה מיומן השינויים
`labels.compute_googleapis_com/resource_name`	`event.idm.read_only_udm.target.hostname`	מופה מיומן השינויים
`resource.labels.instance_id`	`event.idm.read_only_udm.target.resource.product_object_id`	מופה מיומן השינויים
`resource.labels.project_id`	`event.idm.read_only_udm.target.resource_ancestors.name`	מופה מיומן השינויים
`resource.labels.zone`	`event.idm.read_only_udm.target.resource.attribute.cloud.availability_zone`	מופה מיומן השינויים
`resource.type`	`event.idm.read_only_udm.target.resource.resource_type`	מופה מיומן השינויים
`insertId`	`event.idm.read_only_udm.metadata.product_log_id`	מופה מיומן השינויים
`jsonPayload.latency`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`remoteIp`	`event.idm.read_only_udm.target.ip`	מופה מיומן השינויים
`jsonPayload.requestMethod`	`event.idm.read_only_udm.network.http.method`	מופה מיומן השינויים
`jsonPayload.requestSize`	`event.idm.read_only_udm.network.sent_bytes`	מופה מיומן השינויים
`jsonPayload.requestUrl`	`event.idm.read_only_udm.network.http.referral_url`	מופה מיומן השינויים
`jsonPayload.responseSize`	`event.idm.read_only_udm.network.received_bytes`	מופה מיומן השינויים
`jsonPayload.serverIp`	`event.idm.read_only_udm.target.ip`	מופה מיומן השינויים
`jsonPayload.status`	`event.idm.read_only_udm.network.http.response_code`	מופה מיומן השינויים
`jsonPayload.userAgent`	`event.idm.read_only_udm.network.http.user_agent`	מופה מיומן השינויים
`jsonPayload.userAgent`	`event.idm.read_only_udm.network.http.parsed_user_agent`	מופה מיומן השינויים
`labels`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`terminal`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`logName`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`resource.labels`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`resource.type`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`resource.name`	`event.idm.read_only_udm.target.resource.name`	מופה מיומן השינויים
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	מופה מיומן השינויים
`user_agent`	`event.idm.read_only_udm.network.http.parsed_user_agent`	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.