איסוף יומנים של חומת האש של OPNsense

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של חומת האש OPNsense ב-Google Security Operations באמצעות סוכן Bindplane.

‫OPNsense היא פלטפורמה של חומת אש וניתוב בקוד פתוח, שמפיקה הודעות syslog להתאמות של כללי חומת אש, חיבורים לרשת ואירועים במערכת. הכלי לניתוח מחלץ שדות מהודעות של יומן סינון בפורמט CSV באמצעות ניתוח grok ו-CSV, וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין חומת האש של OPNsense
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין לממשק האינטרנט של OPNsense

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/opnsense:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: OPNSENSE
      raw_log_field: body
  
  service:
    pipelines:
      logs/opnsense_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/opnsense
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/opnsense:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: OPNSENSE
      raw_log_field: body
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הוספת הגדרת שרת syslog ל-OPNsense

1. נכנסים לממשק האינטרנט של OPNsense.
2. עוברים אל מערכת > הגדרות > רישום ביומן.
3. בקטע Remote Logging (רישום מרחוק), מסמנים את התיבה Send logs to remote syslog server (שליחת יומנים לשרת syslog מרוחק) כדי להפעיל את ההגדרה.
4. בשדה שרתי Syslog מרוחקים, מזינים את כתובת ה-IP של שרת ה-Syslog, כולל היציאה (לדוגמה, 10.10.10.10:514).
5. בוחרים באפשרות Local0 כמתקן ה-syslog.
6. מגדירים את רמת ה-syslog כ-Alert.
7. לוחצים על שמירה כדי להחיל את השינויים.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
column1	security_result.rule_id	מופה ישירות מ-column1.
column10	additional.fields[].key: "tos" additional.fields[].value.string_value: הערך של column10	ממופה ישירות מ-column10, מקונן בתוך additional.fields עם המפתח "tos".
column12	additional.fields[].key: "ttl" additional.fields[].value.string_value: הערך של column12	ממופה ישירות מ-column12, מקונן בתוך additional.fields עם המפתח "ttl".
column13	additional.fields[].key: "Id" additional.fields[].value.string_value: הערך של column13	ממופה ישירות מ-column13, מקונן בתוך additional.fields עם המפתח "Id".
column14	‫additional.fields[].key: "offset" additional.fields[].value.string_value: הערך של column14	מופה ישירות מ-column14, מוטמע ב-additional.fields עם המפתח offset.
column15	additional.fields[].key: "flags" additional.fields[].value.string_value: הערך של column15	ממופה ישירות מ-column15, מקונן ב-additional.fields עם המפתח "flags".
column17	network.ip_protocol	ממופה ישירות מ-column17 אחרי המרה לאותיות רישיות.
column18	network.received_bytes	ממופה ישירות מ-column18 אחרי המרה למספר שלם ללא סימן.
column19	principal.ip	מופה ישירות מ-column19.
column20	target.ip	מיפוי ישיר מ-column20.
column21	‫principal.port (if column17 is TCP or UDP) additional.fields[].key: "data_length" additional.fields[].value.string_value: Extracted value (if column17 is ICMP, GRE, ESP, or IGMP)	אם column17 הוא TCP/UDP, ממופה ישירות מ-column21 ומומר למספר שלם. אחרת, הערך של datalength מחולץ באמצעות grok ומוצב ב-additional.fields עם המפתח data_length.
column22	target.port	ממופה ישירות מ-column22 אם column17 הוא TCP או UDP, ומומר למספר שלם.
column24	‫additional.fields[].key: "tcp_flags" additional.fields[].value.string_value: הערך של column24	מופה ישירות מ-column24 אם column17 הוא TCP, מוטמע ב-additional.fields עם המפתח tcp_flags.
column29	additional.fields[].key: "tcp_options" additional.fields[].value.string_value: הערך של column29	מיפוי ישיר מ-column29 אם column17 הוא TCP, בתצוגת עץ מתחת ל-additional.fields עם המפתח "tcp_options".
column4	additional.fields[].key: "tracker" additional.fields[].value.string_value: הערך של column4	ממופה ישירות מ-column4, מקונן בתוך additional.fields עם המפתח tracker.
column5	additional.fields[].key: "interface" additional.fields[].value.string_value: הערך של column5	ממופה ישירות מ-column5, מקונן בתוך additional.fields עם המפתח interface.
column6	security_result.rule_type	מופה ישירות מ-column6.
column7	security_result.action	מיפוי מ-column7. אם הערך הוא "block", הוא יומר לאותיות רישיות "BLOCK". אם התוצאה היא pass, מגדירים את הערך ALLOW.
column8	network.direction	מופה מ-column8. אם הערך הוא "in", מגדירים "INBOUND". אם הערך הוא "out", מגדירים את הערך "OUTBOUND".
domain	principal.administrative_domain	ממופה ישירות מ-domain שחולץ על ידי Grok. הערך מוגדר כ-"NETWORK_CONNECTION" אם כתובות ה-IP של הגורם המנהל ושל היעד קיימות, אחרת הערך מוגדר כ-"GENERIC_EVENT". מקודד באופן קשיח ל-"OPNSENSE". מקודד באופן קשיח ל-"OPNSENSE".
message	שדות שונים	מנותח באמצעות מסנני grok ו-csv כדי לחלץ שדות שונים. אפשר לראות שורות אחרות למיפויים ספציפיים.
ts	metadata.event_timestamp.seconds, timestamp.seconds	מנותח משדה ההודעה באמצעות grok ואז מומר לחותמת זמן. ערך השניות משמש לאכלוס של metadata.event_timestamp.seconds וגם של timestamp.seconds.
application	principal.application	ממופה ישירות מה-application שחולץ על ידי Grok.
column27	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column2	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column3	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column11	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column26	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column28	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column25	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column16	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column9	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.