איסוף יומנים של Pure Storage

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Pure Storage ב-Google Security Operations באמצעות סוכן Bindplane.

חברת Pure Storage מספקת מערכי אחסון ארגוניים מבוססי-פלאש שמפיקים יומני ביקורת, ביצועים ואירועי מערכת. הפלטפורמות FlashArray ו-FlashBlade תומכות בהעברה מקורית של אירועי מערכת, נתיבי ביקורת והתראות תפעוליות באמצעות syslog. אפשר להגדיר מערכים של Pure Storage להעברת syslog באמצעות ממשק המשתמש הגרפי, ה-CLI או ה-API בארכיטקטורת REST של Purity.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין Pure Storage FlashArray
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישה עם הרשאות לממשק הניהול של Pure Storage FlashArray או FlashBlade

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/pure_storage:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: PURE_STORAGE
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/pure_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/pure_storage
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫udplog: סוג המקלט לפי הפרוטוקול:
    • ‫udplog ל-UDP syslog
    • ‫tcplog ל-syslog של TCP
  • ‫0.0.0.0: כתובת ה-IP להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • כתובת IP ספציפית להאזנה בממשק אחד
  • ‫514: מספר היציאה להאזנה (לדוגמה, 514, ‏ 1514, ‏ 6514)

• הגדרת הייצוא:

  • ‫pure_storage: שם תיאורי של הכלי לייצוא
  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • ‫PURE_STORAGE: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

• הגדרת צינור עיבוד הנתונים:

  • ‫pure_to_chronicle: שם תיאורי לצינור עיבוד הנתונים

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/pure_storage:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PURE_STORAGE
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog ב-Pure Storage

מערכי Pure Storage FlashArray ו-FlashBlade תומכים בהעברה מקורית של syslog. אפשר להגדיר את המערך לשליחת יומני ביקורת ויומני אירועים של המערכת לסוכן Bindplane באמצעות ממשק המשתמש הגרפי, CLI או API בארכיטקטורת REST.

אפשרות 1: הגדרת syslog באמצעות Purity GUI

1. נכנסים לממשק הניהול של Pure Storage FlashArray.
2. עוברים אל הגדרות > מערכת > שרתי Syslog.
3. לוחצים על Add (או על הסמל +) כדי להוסיף יעד חדש ל-syslog.
4. בשדה Server, מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
5. בשדה Port, מזינים את היציאה שתואמת להגדרת המקלט של סוכן Bindplane (ברירת המחדל היא UDP 514).
6. לוחצים על Save.

אפשרות 2: הגדרת syslog באמצעות ה-CLI של Purity

1. מתחברים ל-FlashArray באמצעות SSH.

2. מגדירים את שרת ה-syslog למארח של סוכן Bindplane:

   purearray setattr --syslogserver <bindplane_agent_ip>
   

   הערה: צריך להחליף את <bindplane_agent_ip> בכתובת ה-IP של המארח של סוכן Bindplane.

3. מאמתים את ההגדרה:

   purearray list --syslogserver
   

אפשרות 3: הגדרת syslog באמצעות API בארכיטקטורת REST

• משתמשים ב-Pure Storage API בארכיטקטורת REST (גרסה 2) כדי להגדיר שרת Syslog באופן פרוגרמטי:

  ‫

  curl -X POST "https://FLASHARRAY_HOST/api/2.x/syslog-servers" \
    -H "Authorization: Bearer API_TOKEN" \
    -H "Content-Type: application/json" \
    -d '{"uri": "udp://<bindplane_agent_ip>:514", "name": "chronicle-syslog"}'
  

  הערה: צריך להחליף את FLASHARRAY_HOST,‏ API_TOKEN ו-<bindplane_agent_ip> בערכים בפועל.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
message_id, ‏ payload.effective_used, ‏ payload.total_extents, ‏ payload.legacy_effective_used, ‏ payload.legacy_total_extents, ‏ payload.data_reduction, ‏ payload.product, ‏ payload.array_id,‏signature, ‏ Method ,array_name, ‏ Controller, ‏ Interface, ‏ Module	additional.fields	מטא-נתונים נוספים שספציפיים לספק
תיאור	metadata.description	תיאור האירוע
חותמת זמן	metadata.event_timestamp	חותמת הזמן שבה האירוע התרחש
	metadata.event_type	סוג האירוע
פעולה	metadata.product_event_type	סוג אירוע שספציפי למוצר
payload.version	metadata.product_version	גרסת המוצר שיצרה את האירוע
מיקום משני	network.http.parsed_user_agent	פרטי סוכן המשתמש שנותחו
מיקום משני	network.http.user_agent	מחרוזת סוכן המשתמש מבקשת ה-HTTP
אירוע	network.session_id	מזהה של סשן ברשת
host_name	principal.asset.hostname	שם המארח של הנכס שמשויך לחשבון המשתמש
מיקום	principal.asset.ip	כתובת ה-IP של הנכס שמשויך לחשבון המשתמש
host_name	principal.hostname	שם המארח שמשויך לחשבון הראשי
מיקום	principal.ip	כתובת ה-IP של הגורם המרכזי
משתמש	principal.user.userid	מזהה המשתמש של הישות המורשית
תוצאה	security_result.summary	סיכום של תוצאת האבטחה או הפעולה
	metadata.product_name	שם המוצר שיצר את האירוע
	metadata.vendor_name	שם הספק שיצר את האירוע

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.