איסוף יומנים של אימות מונע

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Preempt Auth ב-Google Security Operations באמצעות סוכן Bindplane.

Preempt Auth הוא פתרון לניטור אירועי אימות, שיוצר יומני אימות מפורטים לסביבות Active Directory. הוא מתעד אירועי התחברות מוצלחים ונכשלים, חיפושים ב-LDAP, גישה לשירותים וסוגי אימות בנקודות קצה שונות.

הערה: חברת Preempt Security נרכשה על ידי CrowdStrike בספטמבר 2020 ושולבה באופן מלא ב-CrowdStrike Falcon Identity Protection. המוצר העצמאי של Preempt כבר לא זמין. אם עברתם ל-CrowdStrike Falcon Identity Protection, עיינו במדריך איסוף יומנים של CrowdStrike Falcon.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת Preempt
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מורשית ל-Preempt Auth‏ (CrowdStrike Identity Protection) עם הרשאות אדמין

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/preempt_auth:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: PREEMPT_AUTH
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/preempt_auth_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/preempt_auth
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫tcplog: קבלת syslog דרך TCP. אם הפריסה של Preempt מעבירה נתונים דרך UDP, צריך להשתמש ב-udplog.
  • ‫0.0.0.0:514: האזנה לכל הממשקים ביציאה 514. אם צריך, משנים את היציאה (לדוגמה, 1514 ל-Linux ללא הרשאות בסיס).

• הגדרת הייצוא:

  • ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<CUSTOMER_ID>: מספר הלקוח משלב קבלת מספר הלקוח ב-Google SecOps.
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/preempt_auth:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PREEMPT_AUTH
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברה של syslog לאימות עם עדיפות

הערה: Preempt Auth הוא מוצר שהוצא משימוש. ההוראות האלה רלוונטיות רק לפריסות קודמות של Preempt. אם עברתם אל CrowdStrike Falcon Identity Protection, עליכם להשתמש במדריך השילוב של CrowdStrike.

1. נכנסים למסוף הניהול של Preempt.
2. עוברים אל הגדרות > שילוב SIEM.
3. מפעילים העברה של syslog לאירועי אימות.
4. מזינים את פרטי ההגדרה הבאים:
   • ‫Protocol: בוחרים באפשרות TCP (צריך להתאים להגדרת המקלט של סוכן Bindplane).
   • כתובת שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (חייבת להתאים ליציאת המקלט של סוכן Bindplane).
5. בוחרים את סוגי אירועי האימות שרוצים להעביר:
   • אירועי אימות מוצלחים
   • אירועי אימות שנכשלו
   • חיפושים ב-LDAP
   • אירועים של גישה לשירות
6. לוחצים על שמירה או על אישור.
7. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
authenticationType	extensions.auth.type	הערך הוא SSO אם authenticationType תואם ל-SSO_LOGIN או ל-LDAP_AUTHENTICATION; הערך הוא MACHINE אם DOMAIN_LOGIN; הערך הוא AUTHTYPE_UNSPECIFIED אם NTLM_AUTHENTICATION
	extensions.auth.mechanism	ההגדרה היא MECHANISM_UNSPECIFIED
inter_ip	intermediary.hostname	צריך להגדיר אם inter_ip היא לא כתובת IP חוקית
inter_ip	intermediary.ip	הגדרה אם inter_ip היא כתובת IP חוקית
eventLabel	metadata.description	הערך הועתק ישירות
eventType	metadata.event_type	הערך צריך להיות USER_LOGIN אם eventType הוא SUCCESSFUL_AUTHENTICATION או FAILED_AUTHENTICATION, ו-SERVICE_UNSPECIFIED אם eventType הוא SERVICE_ACCESS או LDAP_SEARCH והערך של principal_host_set הוא true.
eventType	metadata.product_event_type	הערך הועתק ישירות
endpointDisplayName, ipAddress	principal.hostname	צריך להגדיר אם endpointDisplayName != ipAddress וגם endpointDisplayName != ""‎
ipAddress, inter_ip	principal.ip	הערך מ-ipAddress אם ipAddress != inter_ip, אחרת מ-inter_ip
networkType	principal.resource.name	הערך הועתק ישירות
	principal.resource.type	הגדרה של 'סוג הרשת'
userDisplayName	principal.user.email_addresses	הגדרה אם userDisplayName תואם לביטוי הרגולרי של כתובת אימייל
userDisplayName	principal.user.user_display_name	הערך הועתק ישירות
userEntity.secondaryDisplayName, userDisplayName	principal.user.userid	הערך מ-userEntity.secondaryDisplayName אם הוא לא ריק, אחרת הערך מ-userDisplayName אם userEntity.secondaryDisplayName ריק
eventType	security_result.action	צריך להגדיר את הערך ALLOW אם SUCCESSFUL_AUTHENTICATION, ואת הערך BLOCK אם FAILED_AUTHENTICATION
eventSeverity	security_result.severity_details	הערך הועתק ישירות
authenticationType	security_result.summary	הערך הועתק ישירות
targetEntity.primaryDisplayName, targetServiceIdentifier, eventType, targetEntity.type	target.application	הערך מ-targetEntity.primaryDisplayName אם targetEntity.type == "CLOUD_SERVICE"; אחרת מ-targetServiceIdentifier אם targetServiceIdentifier != "" ולא הוגדר קודם; אחרת "LDAP" אם eventType == "LDAP_SEARCH" ולא הוגדר קודם
targetEntity.primaryDisplayName, targetEntity.type	target.hostname	Set if targetEntity.type == "ENDPOINT"
targetServiceType	target.resource.name	מוגדר אם targetServiceType != "" וגם != "UNKNOWN"
targetServiceType	target.resource.type	צריך להגדיר את הערך "Service Type" אם targetServiceType != "" וגם != "UNKNOWN"
targetEntity.primaryDisplayName, targetEntity.type	target.user.user_display_name	‫Set if targetEntity.type == "USER"
targetEntity.secondaryDisplayName, targetEntity.type	target.user.userid	מוגדר אם targetEntity.type == "USER"
	metadata.product_name	צריך להגדיר את הערך "PREEMPT_AUTH"
	metadata.vendor_name	הגדרה כ'קדימות'

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.