איסוף יומני ביקורת של גישה לקבצים ב-Quest

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומני ביקורת של Quest File Access ב-Google Security Operations באמצעות סוכן Bindplane.

‫Quest Change Auditor (לשעבר Quest File Access Audit) היא פלטפורמה לביקורת של שרתי קבצים ו-Active Directory, שעוקבת אחרי פעילויות גישה לקבצים, שינויים בהרשאות ופעולות ניהול בסביבות Windows ומדווחת עליהן. ל-Change Auditor יש יכולות מובנות לשילוב עם SIEM, כולל העברת syslog באמצעות מינויים לאירועים.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת הרכז של Quest Change Auditor
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות לשרת הלקוח או לשרת הרכז של Quest Change Auditor

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/quest_file_audit:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: QUEST_FILE_AUDIT
    raw_log_field: body

service:
  pipelines:
    logs/quest_file_audit_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/quest_file_audit

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/quest_file_audit:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: QUEST_FILE_AUDIT
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog של Quest Change Auditor

אפשרות 1: הגדרת העברת syslog באמצעות לקוח Change Auditor

  1. פותחים את אפליקציית הלקוח Change Auditor.
  2. עוברים אל Administration > Event Subscriptions.
  3. לוחצים על New ובוחרים באפשרות Syslog בתור סוג המינוי.
  4. באשף ההרשמה לאירועי Syslog, קובעים את ההגדרות הבאות:
    • ‫Host: כתובת ה-IP של המארח של סוכן Bindplane.
    • יציאה: מזינים 514.
    • פורמט ההודעה: בוחרים באפשרות CEF (פורמט אירועים נפוץ) או LEEF (פורמט מורחב של אירועי יומן).
    • תת-מערכות: בוחרים את תת-המערכות של האירועים שרוצים להעביר (לדוגמה, מערכת קבצים).
  5. לוחצים על Finish כדי ליצור את המינוי.

אפשרות 2: הגדרת העברת syslog באמצעות PowerShell

  1. פותחים את PowerShell בשרת של Change Auditor coordinator ומייבאים את המודול של Change Auditor.

  2. יוצרים מינוי לאירועי syslog:

    $subsystems = Get-CAEventExportSubsystems | Where-Object { $_.Name -like "*File*" }
New-CASyslogEventSubscription -Host "<BINDPLANE_AGENT_IP>" -Port 514 -SyslogFormat "CEF" -Subsystems $subsystems

  3. מוודאים שהמינוי נוצר:

    Get-CASyslogEventSubscriptions

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
מילות מפתח, EventType, משימה, ThreadID, ערוץ, קוד פעולה additional.fields מידע נוסף על האירוע
EventTime metadata.event_timestamp חותמת הזמן של האירוע
event_type metadata.event_type סוג האירוע
EventReceivedTime metadata.ingested_timestamp חותמת הזמן של הטמעת האירוע
EventID metadata.product_event_type סוג האירוע כפי שהוגדר על ידי המוצר
RecordNumber metadata.product_log_id מזהה היומן שהוקצה על ידי המוצר
metadata.product_name שם המוצר שיצר את האירוע
metadata.vendor_name שם הספק שיצר את האירוע
SourceModuleType observer.application האפליקציה שבה משתמש הצופה
SourceModuleName observer.resource.attribute.labels תוויות שמשויכות למשאב של הצופה
דומיין principal.administrative_domain הדומיין הניהולי של החשבון הראשי
SourceName principal.application האפליקציה שבה משתמש חשבון המשתמש
שם המארח principal.asset.hostname שם המארח של הנכס שמשויך לחשבון המשתמש
ip_address principal.asset.ip כתובת ה-IP של הנכס שמשויך לחשבון הראשי
שם המארח principal.hostname שם המארח של חשבון המשתמש
ip_address principal.ip כתובת ה-IP של החשבון הראשי
ProcessID principal.process.pid מזהה התהליך
logonID principal.user.attribute.labels תוויות שמשויכות למשתמש
AccountType principal.user.attribute.roles תפקידים שמשויכים למשתמש
AccountName principal.user.userid מזהה המשתמש
UserID principal.user.windows_sid מזהה האבטחה (SID) של המשתמש ב-Windows
description security_result.description תיאור של תוצאת האבטחה
SeverityValue security_result.severity חומרת תוצאת האבטחה
חוּמרה security_result.severity_details פרטים על חומרת הבעיה
קטגוריה security_result.summary סיכום של תוצאת האבטחה
file_path target.file.full_path הנתיב המלא של קובץ היעד
file_path target.process.file.full_path הנתיב המלא של הקובץ שמשויך לתהליך היעד

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.