איסוף יומנים של Onapsis Platform

נתמך ב:

Google SecOps SIEM

הערה: התכונה הזו כפופה לתנאי השימוש במוצרים בשלב טרום-GA, בתנאים הספציפיים לשירות Google Security Operations. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושהשינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף זמין בהנחיות לשירותי התמיכה הטכנית של Google SecOps ובתנאים הספציפיים לשירות Google SecOps.
אם התכונה הזו לא מופיעה בסביבה שלכם, עיינו במאמר ניהול תכונות בגרסת טרום-השקה (Preview) או פנו לאדמין.

במאמר הזה מוסבר איך להטמיע יומנים של פלטפורמת Onapsis ב-Google Security Operations באמצעות Bindplane.

Onapsis Platform הוא פתרון לאבטחת סייבר שמתמחה בהגנה על אפליקציות חיוניות לעסק, כמו SAP ו-Oracle. הוא מספק מעקב רציף, ניהול נקודות חולשה, ביקורת תאימות וזיהוי איומים למערכות ERP, ומספק תובנות מעמיקות ספציפיות לאפליקציות כדי לעזור לארגונים לאבטח סביבות מורכבות מפני איומי סייבר, הגדרות שגויות וגישה לא מורשית.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין פלטפורמת Onapsis
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למסוף Onapsis Platform
• מוצר Onapsis Defend למעקב אחרי איומים בזמן אמת ויכולות ייצוא של syslog

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane כדי להטמיע את syslog ולשלוח ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/onapsis:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: ONAPSIS
      raw_log_field: body
      ingestion_labels:
        env: production
        source: onapsis_defend
  
  service:
    pipelines:
      logs/onapsis_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/onapsis
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: מגדירים את הערך 0.0.0.0:514 כדי להאזין לכל הממשקים ביציאת UDP‏ 51. אם יציאה 514 דורשת הרשאות ברמה הבסיסית (root) ב-Linux, צריך להשתמש במקום זאת ב-0.0.0.0:1514 ולהגדיר את Onapsis לשליחה ליציאה 1514.

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫YOUR_CUSTOMER_ID: מחליפים במזהה הלקוח ב-Chronicle מהשלב הקודם.
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • ‫log_type: הגדרה ל-ONAPSIS (תווית הטמעה של Chronicle)
  • ‫ingestion_labels: תוויות אופציונליות לסיווג היומנים (אפשר להתאים אישית לפי הצורך)

הערה: Onapsis תומך בפרוטוקולים UDP ו-TCP של syslog. ההגדרה הזו משתמשת ב-UDP כדי להפחית את זמן האחזור. כדי להשתמש ב-TCP במקום זאת, מחליפים את udplog ב-tcplog גם בקטע receivers וגם בקטע service.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/onapsis:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: ONAPSIS
      raw_log_field: body
      ingestion_labels:
        env: production
        source: onapsis_defend
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog של Onapsis Platform

מגדירים את Onapsis Platform כך שתעביר אירועי אבטחה ויומני מעקב אחרי איומים לסוכן Bindplane באמצעות syslog.

1. נכנסים למסוף Onapsis Platform.
2. עוברים אל הגדרות > שילובים.
3. בקטע Integrations, מאתרים את אפשרות השילוב Syslog.
4. לוחצים על הוספה או על הגדרה כדי ליצור יעד חדש ל-syslog.
5. מזינים את פרטי ההגדרה הבאים:
   • כתובת שרת Syslog: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (או 1514 אם הגדרתם את סוכן Bindplane לשימוש ביציאה ללא הרשאות).
   • ‫Protocol: בוחרים באפשרות UDP (או TCP אם הגדרתם את סוכן Bindplane לשימוש ב-TCP).
   • פורמט: בוחרים באפשרות Syslog (פורמט Syslog רגיל) או LEEF (פורמט מורחב של אירועי יומן) אם משלבים עם מערכות שתואמות ל-IBM QRadar.
6. לוחצים על Save (שמירה) או על Apply (החלה) כדי להפעיל את הגדרת הייצוא של syslog.

7. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane:

   Linux:

   sudo journalctl -u observiq-otel-collector -f
   

   Windows:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הערה: המוצר Onapsis Defend מספק מעקב אחרי איומים בזמן אמת וסטרימינג של אירועי אבטחה דרך syslog. מוודאים ש-Onapsis Defend מוגדר ליצור התראות על אירועי האבטחה שרוצים לעקוב אחריהם ב-Google SecOps.

הערה: השילוב של Syslog בפלטפורמת Onapsis נמצא בדרך כלל בקטע Settings > Integrations. יכול להיות שיהיו הבדלים קלים בנתיב הניווט המדויק, בהתאם לגרסה של Onapsis Platform. אם אתם לא מוצאים את הגדרת ה-syslog, פנו לאדמין של Onapsis Platform או עיינו במסמכי התיעוד של Onapsis Platform לגרסה הספציפית שלכם.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
bucket	additional.fields	נוספו כתוויות עם מפתחות שנגזרו משדות המקור
task_sent	additional.fields
sub_path	additional.fields
facilityName	additional.fields
source_version	additional.fields
db_table	additional.fields
incident_type	additional.fields
incident_name	additional.fields
program_name	additional.fields
task_type	additional.fields
policy_id	additional.fields
name	additional.fields
authentication_method	additional.fields
alarm_profile_matches	additional.fields
לקוח	additional.fields
db_table_pk	additional.fields
system_type	additional.fields
log_line	additional.fields
פעולה	additional.fields
task_id	additional.fields
job_name	additional.fields
job_id	additional.fields
osp_link	additional.fields
sid	additional.fields
description	metadata.description	הערך מהתיאור אם הוא לא ריק, אחרת הוא מוגדר כ-'Uploading' אם log_data תואם ל-'Uploading', כ-'Celery task sent' אם הוא תואם ל-'Celery task sent', כ-'Calling ModuleApi.put' אם הוא תואם ל-'Calling ModuleApi.put', אחרת מ-job_type
log_data	metadata.description
job_type	metadata.description
created_at	metadata.event_timestamp	ההמרה בוצעה באמצעות תאריך בפורמט yyyy-mm-ddTHH:mm:ss
has_principal	metadata.event_type	הערך מוגדר כ-"NETWORK_UNCATEGORIZED" אם has_principal,‏ has_target,‏ has_network הם true; כ-"STATUS_UPDATE" אם has_principal הוא true; אחרת, כ-"GENERIC_EVENT"
has_target	metadata.event_type
has_network	metadata.event_type
http_method	network.http.method	הערך הועתק ישירות
url	network.http.referral_url	הערך הועתק ישירות
response_code	network.http.response_code	ההמרה למספר שלם
אפליקציה	principal.application	הערך הועתק ישירות
מארח	principal.hostname	ערך מהמארח אם הוא לא IP, אחרת מ-src, אחרת מ-terminal_source אם הוא לא IP
src	principal.hostname
terminal_source	principal.hostname
מארח	principal.ip	מוזג מהמארח אם IP, ‏erp_host, ‏terminal_source אם IP
erp_host	principal.ip
terminal_source	principal.ip
asset_name	principal.resource.name	הערך הועתק ישירות
user_type	principal.user.role_name	הערך הועתק ישירות
user_name	principal.user.user_display_name	ערך מ-user_name, מוזג עם username
שם משתמש	principal.user.user_display_name
user_id	principal.user.userid	הערך הועתק ישירות
מודולים	security_result.detection_fields	תוויות ממוזגות ממפת המודולים, ממפת נקודות החולשה ומ-new_state
נקודות חולשה	security_result.detection_fields
new_state	security_result.detection_fields
severityName	security_result.severity	ההגדרה תהיה INFORMATIONAL אם הערך של severityName הוא INFO או info
file_name	target.file.full_path	הערך הועתק ישירות
dst	target.hostname	הערך הועתק ישירות
metadata.product_name	metadata.product_name	צריך להגדיר את הערך "ONAPSIS"
metadata.vendor_name	metadata.vendor_name	צריך להגדיר את הערך "ONAPSIS"
conditions.condition_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
conditions.eval_value.success	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
conditions.matched	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
erp_event_source	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
erp_time	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
protocol	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
confidence	event.idm.read_only_udm.security_result.confidence_details	מופה מיומן השינויים
severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
success	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
inter_ip	event.idm.read_only_udm.intermediary.ip וגם event.idm.read_only_udm.intermediary.asset.ip	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.