איסוף יומנים של Oracle Unified Directory

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Oracle Unified Directory ב-Google Security Operations באמצעות Bindplane.

‫Oracle Unified Directory הוא שירות ספריות LDAP ארגוני לניהול זהויות. הוא מספק ספרייה מבוססת-תקנים וניתנת להרחבה לאחסון ולניהול של נתוני זהות, עם תמיכה באימות, בהרשאה ובפונקציונליות של שרתי proxy של ספריות. המנתח מחלץ שדות מרשומות ביומן של Oracle Unified Directory וממפה אותם ל-Unified Data Model ‏ (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין שרת Oracle Unified Directory
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישה מורשית לשרת Oracle Unified Directory עם הרשאות אדמין

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/oracle_oud:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: ORACLE_OUD
      raw_log_field: body
  
  service:
    pipelines:
      logs/oracle_oud:
        receivers:
          - tcplog
        exporters:
          - chronicle/oracle_oud
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫tcplog: סוג המקלט לפי הפרוטוקול:
    • ‫udplog ל-UDP syslog
    • ‫tcplog for TCP syslog
    • ‫syslog ל-syslog של RFC 3164/5424
  • ‫0.0.0.0: כתובת ה-IP להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • כתובת IP ספציפית להאזנה בממשק אחד
  • ‫514: מספר היציאה להאזנה (לדוגמה, 514, ‏ 1514, ‏ 6514)

• הגדרת כלי הייצוא:

  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.
  • משנים את creds_file_path לנתיב של קובץ המפתח בפורמט JSON של חשבון השירות (אפשרות 1), בהתאם לפלטפורמה:
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/oracle_oud:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: ORACLE_OUD
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ב-Oracle Unified Directory

ב-Oracle Unified Directory, היומנים נשמרים באופן מקומי במערכת הקבצים של השרת, בדרך כלל בספרייה OUD_INSTANCE/logs/. מגדירים העברה של syslog באמצעות ה-daemon של syslog במערכת כדי לשלוח את היומנים האלה לסוכן Bindplane.

1. מזהים את ספריית היומנים של Oracle Unified Directory. קבצי יומן נפוצים כוללים את access,‏ errors,‏ replication ו-audit.

2. מגדירים את ה-daemon של ה-syslog במערכת (לדוגמה, rsyslog) כדי לעקוב אחרי קובצי היומן של OUD ולהעביר אותם. יוצרים קובץ תצורה חדש של rsyslog:

   sudo nano /etc/rsyslog.d/oud-forward.conf
   

3. מוסיפים את התוכן הבא:

   module(load="imfile")
   input(type="imfile"
       File="/path/to/oud-instance/logs/access"
       Tag="oracle-oud"
       Severity="info"
       Facility="local0")
   input(type="imfile"
       File="/path/to/oud-instance/logs/errors"
       Tag="oracle-oud"
       Severity="error"
       Facility="local0")
   local0.* @@BINDPLANE_AGENT_IP:514
   

   הערה: צריך להחליף את /path/to/oud-instance/logs/ בנתיב האמיתי לספריית היומנים של Oracle Unified Directory. מחליפים את BINDPLANE_AGENT_IP בכתובת ה-IP של המארח של סוכן Bindplane. משתמשים ב-@@ ל-TCP או ב-@ ל-UDP.

4. מפעילים מחדש את שירות rsyslog:

   sudo systemctl restart rsyslog
   

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
conn,op,msgID,oid,result,etime,filter,attrs,ou,version,type,authFailureID,authFailureReason,name,o	additional.fields	מטא-נתונים נוספים שלא נכללים בשדות אחרים של UDM
	metadata.event_type	סוג האירוע (למשל, USER_LOGIN, ‏ NETWORK_CONNECTION)
operation,operation1	metadata.product_event_type	סוג אירוע שספציפי למוצר
פרוטוקול	network.application_protocol	פרוטוקול האפליקציה שמשמש בחיבור לרשת
שם המארח	principal.hostname	שם המארח של הנכס העיקרי
srcaddr	principal.ip	כתובת ה-IP של הגורם המרכזי
srcport	principal.port	מספר היציאה שמשמש את ה-principal
uid	principal.user.userid	מזהה המשתמש של המשתמש הראשי
פעולה	security_result.action_details	פרטים על הפעולה שבוצעה על ידי מוצר האבטחה
reason	security_result.description	תיאור של תוצאת האבטחה
msg_data	security_result.summary	סיכום תוצאות האבטחה
destaddr	target.ip	כתובת ה-IP של היעד
destport	target.port	מספר היציאה שמשמש את היעד
	metadata.product_name	שם המוצר שיוצר את האירוע
	metadata.vendor_name	שם הספק של המוצר
authFailureID", "filter", "attrs", "changetype", "replace" and "authFailureReason	additional.fields	מופה מיומן השינויים
from	principal.ip	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.