איסוף יומנים של אימות מונע

נתמך ב:

במאמר הזה מוסבר איך להעביר יומני אימות של Preempt אל Google Security Operations באמצעות סוכן Bindplane.

Preempt Auth הוא פתרון לניטור אירועי אימות, שיוצר יומני אימות מפורטים לסביבות Active Directory. הוא מתעד אירועי כניסה מוצלחים וכניסות שנכשלו, חיפושי LDAP, גישה לשירותים וסוגי אימות בנקודות קצה שונות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין שרת Preempt
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות מיוחדות ל-Preempt Auth (CrowdStrike Identity Protection) עם הרשאות אדמין

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/preempt_auth:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: <REGION_ENDPOINT>
        log_type: PREEMPT_AUTH
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/preempt_auth_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/preempt_auth

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫tcplog: מקבל syslog דרך TCP. משתמשים ב-udplog אם פריסת Preempt מעבירה נתונים באמצעות UDP.
    • ‫0.0.0.0:514: האזנה בכל הממשקים ביציאה 514. אם צריך, משנים את היציאה (לדוגמה, 1514 ל-Linux שאינו root).

  • הגדרת כלי הייצוא:

    • ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫<CUSTOMER_ID>: מספר הלקוח משלב קבלת מספר הלקוח ב-Google SecOps.
    • ‫<REGION_ENDPOINT>: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog לאימות עם עדיפות

  1. נכנסים למסוף הניהול של Preempt.
  2. עוברים אל הגדרות > שילוב SIEM.
  3. מפעילים העברה של syslog לאירועי אימות.
  4. מספקים את פרטי ההגדרה הבאים:
    • פרוטוקול: בוחרים באפשרות TCP (חייב להיות זהה להגדרת המקלט של סוכן Bindplane).
    • כתובת שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (חייב להיות זהה ליציאת המקלט של סוכן Bindplane).
  5. בוחרים את סוגי אירועי האימות שרוצים להעביר:
    • אירועי אימות מוצלחים
    • אירועי אימות שנכשלו
    • חיפושים ב-LDAP
    • אירועים של גישה לשירות
  6. לוחצים על שמירה או על החלה.
  7. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
authenticationType extensions.auth.type הערך הוא SSO אם authenticationType תואם ל-SSO_LOGIN או ל-LDAP_AUTHENTICATION; הערך הוא MACHINE אם DOMAIN_LOGIN; הערך הוא AUTHTYPE_UNSPECIFIED אם NTLM_AUTHENTICATION
extensions.auth.mechanism ההגדרה היא MECHANISM_UNSPECIFIED
inter_ip intermediary.hostname הגדרה אם inter_ip היא לא כתובת IP תקינה
inter_ip intermediary.ip הגדרת התנאי inter_ip ככתובת IP תקינה
eventLabel metadata.description הערך הועתק ישירות
eventType metadata.event_type הערך צריך להיות USER_LOGIN אם eventType הוא SUCCESSFUL_AUTHENTICATION או FAILED_AUTHENTICATION, ו-SERVICE_UNSPECIFIED אם eventType הוא SERVICE_ACCESS או LDAP_SEARCH והערך של principal_host_set הוא true.
eventType metadata.product_event_type הערך הועתק ישירות
endpointDisplayName, ipAddress principal.hostname הגדרה אם endpointDisplayName != ipAddress ו-endpointDisplayName != ""
ipAddress, inter_ip principal.ip הערך מ-ipAddress אם ipAddress != inter_ip, אחרת מ-inter_ip
networkType principal.resource.name הערך הועתק ישירות
principal.resource.type הגדרה של 'סוג הרשת'
userDisplayName principal.user.email_addresses הגדרה אם שם התצוגה של המשתמש תואם לביטוי הרגולרי של כתובת האימייל
userDisplayName principal.user.user_display_name הערך הועתק ישירות
userEntity.secondaryDisplayName, userDisplayName principal.user.userid הערך מ-userEntity.secondaryDisplayName אם הוא לא ריק, אחרת הערך מ-userDisplayName אם userEntity.secondaryDisplayName ריק
eventType security_result.action הערך הוא ALLOW אם SUCCESSFUL_AUTHENTICATION,‏ BLOCK אם FAILED_AUTHENTICATION
eventSeverity security_result.severity_details הערך הועתק ישירות
authenticationType security_result.summary הערך הועתק ישירות
targetEntity.primaryDisplayName, targetServiceIdentifier, eventType, targetEntity.type target.application הערך מ-targetEntity.primaryDisplayName אם targetEntity.type == "CLOUD_SERVICE"; אחרת מ-targetServiceIdentifier אם targetServiceIdentifier != "" ולא הוגדר קודם; אחרת "LDAP" אם eventType == "LDAP_SEARCH" ולא הוגדר קודם
targetEntity.primaryDisplayName, targetEntity.type target.hostname Set if targetEntity.type == "ENDPOINT"
targetServiceType target.resource.name הגדרה אם targetServiceType != "" ו-!= "UNKNOWN"
targetServiceType target.resource.type הערך הוא 'סוג השירות' אם targetServiceType != '' ו-!= 'UNKNOWN'
targetEntity.primaryDisplayName, targetEntity.type target.user.user_display_name ‫Set if targetEntity.type == "USER"
targetEntity.secondaryDisplayName, targetEntity.type target.user.userid ‫Set if targetEntity.type == "USER"
metadata.product_name ההגדרה היא PREEMPT_AUTH
metadata.vendor_name הגדרה כ'קדימות'

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.