איסוף יומנים של ReviveSec

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של ReviveSec ב-Google Security Operations באמצעות סוכן Bindplane.

‫ReviveSec היא פלטפורמה לניתוח נתוני אבטחה של חברת Revive Security Ltd (ישראל), שמתמחה בניטור תקינות חומת האש של Check Point, בזיהוי יזום של תקלות ובניטור נקודות קצה. הפלטפורמה פורסת סוכנים קלי משקל במכונות Windows ו-Linux שמנטרים תהליכים, קבצים, חיבורים לרשת, DNS והתקני USB.

לפני שמתחילים

• חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps

• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd

• קישוריות לרשת בין סוכן Bindplane לבין שרת ReviveSec

• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane

• גישה עם הרשאות מיוחדות לפורטל ReviveSec עם הרשאות אדמין

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. מורידים את קובץ האימות להטמעת נתונים.

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      filelog:
          include:
              - /path/to/revivesec/logs/*.json
              - /path/to/revivesec/logs/*.csv
          start_at: beginning
  
  exporters:
      chronicle/revivesec:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: REVIVESEC
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/revivesec_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/revivesec
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • filelog: סוג המקלט לאיסוף קובצי יומן מהדיסק
  • ‫include: רשימה של נתיבי קבצים או תבניות glob למעקב:
    • משנים את הנתיב כך שיתאים למיקום של קובץ היומן של ReviveSec
    • שימוש בתבניות glob (לדוגמה, *.json, *.csv) כדי להתאים לכמה קבצים
  • ‫start_at: מגדירים את הערך ל-beginning כדי לקרוא קובצי יומן קיימים מההתחלה, או ל-end כדי לקרוא רק רשומות חדשות

• הגדרת כלי הייצוא:

  • ‫revivesec: שם תיאורי של הכלי לייצוא
  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
  • ‫REVIVESEC: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

• הגדרת צינור עיבוד נתונים:

  • ‫revivesec_to_chronicle: שם תיאורי של צינור העיבוד

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

ייצוא יומנים של ReviveSec לאיסוף

1. נכנסים לפורטל הניהול של ReviveSec.
2. עוברים לקטע Analytics או דוחות.
3. בוחרים את סוג הדוח הרצוי (בדיקת תקינות, תאימות, פעילות של נקודות קצה או ניתוח חומת אש).
4. מחילים מסננים של טווח תאריכים לפי הצורך.
5. לוחצים על ייצוא ובוחרים את פורמט הפלט:
   • ‫JSON: מומלץ להטמעה ב-SIEM.
   • ‫CSV: פורמט טבלאי לנתונים מובְנים.
6. שומרים את הקבצים המיוצאים בספרייה שנמצאת במעקב של סוכן Bindplane (לדוגמה, /path/to/revivesec/logs/).

7. (אופציונלי) הגדרת דוחות מתוזמנים (יומיים, שבועיים או חודשיים) לייצוא אוטומטי של נתונים לספרייה שבמעקב. כדי לקבל פרטים על אפשרויות ייצוא אוטומטיות וגישה ל-API, אפשר לפנות לתמיכה של ReviveSec.

   הערה: חשוב לוודא לסוכן Bindplane יש גישת קריאה לספרייה שבה נשמרים קובצי היומן של ReviveSec.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
country_label	additional.fields	ממוזג
hit_count_label	additional.fields	ממוזג
linkInfo_label	additional.fields	ממוזג
proxy_label	additional.fields	ממוזג
signature_label	additional.fields	ממוזג
signature_status_label	additional.fields	ממוזג
svc_num_label	additional.fields	ממוזג
desc	metadata.description	מיפוי ישיר
description	metadata.description	מיפוי ישיר
description_gateway	metadata.description	מיפוי ישיר
description_signature	metadata.description	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, ‏ true ← STATUS_UPDATE
has_user	metadata.event_type	מיפוי: true → USER_UNCATEGORIZED
product_event	metadata.product_event_type	מיפוי ישיר
domain	principal.asset.hostname	מיפוי ישיר
info_ip	principal.asset.ip	ממוזג
ipadd	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
domain	principal.hostname	מיפוי ישיר
info_ip	principal.ip	ממוזג
ipadd	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
country_name	principal.location.country_or_region	מיפוי ישיר
port	principal.port	מיפוי ישיר
link_url	principal.url	מיפוי ישיר
display_name	principal.user.user_display_name	מיפוי ישיר
username	principal.user.userid	מיפוי ישיר
domain_name	target.asset.hostname	מיפוי ישיר
ipadd	target.asset.ip	ממוזג
domain_name	target.hostname	מיפוי ישיר
ipadd	target.ip	ממוזג
לא רלוונטי	metadata.event_type	קבוע: NETWORK_CONNECTION
לא רלוונטי	metadata.product_name	קבוע: REVIVESEC
לא רלוונטי	metadata.vendor_name	קבוע: REVIVESEC

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.