‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומני Snort IDS

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Snort IDS ב-Google Security Operations באמצעות סוכן Bindplane.

‫Snort היא מערכת קוד פתוח לגילוי ולמניעת חדירות, שיוצרת הודעות syslog להתראות על חדירה לרשת, לאירועים של ניתוח פרוטוקולים ולחריגות בתנועה. המנתח מחלץ שדות מיומנים בפורמט syslog ובפורמט JSON באמצעות תבניות grok וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane למכשיר Snort
אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה לטרמינל של מכשיר Snort

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/snort_ids:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: SNORT_IDS
    raw_log_field: body

service:
  pipelines:
    logs/snort_ids_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/snort_ids

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת המקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)
הגדרת הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/snort_ids:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: SNORT_IDS
    raw_log_field: body
```

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
  2. מאתרים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת ייצוא של syslog ב-Snort v2.x

נכנסים למכשיר Snort באמצעות הטרמינל.
עורכים את הקובץ הבא: /etc/snort/snort.conf.
עוברים אל 6) Configure output plugins.
מוסיפים את הרשומה הבאה:
```
# syslog output
alert_syslog: host=<BINDPLANE_IP>:<PORT_NUMBER>, LOG_AUTH LOG_ALERT
```
- מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane ואת <PORT_NUMBER> במספר היציאה.
שומרים את הקובץ.
מפעילים את השירות snort.
עוצרים את השירות rsyslog.
עורכים את הקובץ הבא: /etc/rsyslogd.conf:
```
# remote host is: name/ip:port
*.* @@<BINDPLANE_IP>:<PORT_NUMBER>
```
- מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane ואת <PORT_NUMBER> במספר היציאה.
מפעילים את השירות rsyslog.

הגדרת ייצוא של syslog ב-Snort גרסה 3.1.53

נכנסים למכשיר Snort באמצעות הטרמינל.
עוצרים את השירותים rsyslog ו-snort.
עוברים לספריית ההתקנה של Snort:‏ /usr/local/etc/snort/.
עורכים את קובץ התצורה של Snort:‏ snort.lua.

באפשרויות Configure outputs, מוסיפים את הקוד הבא:

alert_syslog = {
    facility = 'local3',
    level = 'info',
}

שומרים את קובץ התצורה של Snort.
עוברים לספריית קובצי ברירת המחדל של הגדרות השירות rsyslog: /etc/rsyslog.d.
יוצרים קובץ חדש: 3-snort.conf.
כדי לשלוח יומנים דרך TCP או UDP, מוסיפים את ההגדרות הבאות:
```
local3.* @@<BINDPLANE_IP>:<PORT_NUMBER>
```
- מחליפים את <BINDPLANE_IP> בכתובת ה-IP של סוכן Bindplane ואת <PORT_NUMBER> במספר היציאה.
שומרים את הקובץ.
מפעילים את rsyslog ואז את שירות snort.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
agent.hostname	observer.hostname	הערך נלקח מהשדה `agent.hostname` ביומן הגולמי.
agent.id	observer.asset_id	הערך נלקח מהשדה `agent.id` ביומן הגולמי ומשורשר עם `agent.type` באופן הבא: `agent.type:agent.id`.
agent.type	observer.application	הערך נלקח מהשדה `agent.type` ביומן הגולמי.
agent.version	observer.platform_version	הערך נלקח מהשדה `agent.version` ביומן הגולמי.
alert.category	security_result.category_details	הערך נלקח מהשדה `alert.category` ביומן הגולמי.
alert.rev	security_result.rule_version	הערך נלקח מהשדה `alert.rev` ביומן הגולמי.
alert.rule	security_result.summary	הערך נלקח מהשדה `alert.rule` ביומן הגולמי, ללא המירכאות הכפולות.
alert.severity	security_result.severity	אם הערך של `alert.severity` גדול מ-4 או שווה לו, מגדירים את `LOW`. אם הערך של `alert.severity` הוא 2 או 3, מגדירים את `MEDIUM`. אם הערך של `alert.severity` הוא 1, מגדירים את `HIGH`. אחרת, מגדירים את הערך `UNKNOWN_SEVERITY`.
alert.signature	security_result.rule_name	הערך נלקח מהשדה `alert.signature` ביומן הגולמי.
alert.signature_id	security_result.rule_id	הערך נלקח מהשדה `alert.signature_id` ביומן הגולמי.
app_proto	network.application_protocol	אם הערך של `app_proto` הוא `dns`,‏ `smb` או `http`, צריך להמיר אותו לאותיות רישיות ולהשתמש בערך הזה. אחרת, מגדירים את הערך `UNKNOWN_APPLICATION_PROTOCOL`.
קטגוריה	security_result.category	אם `category` הוא `trojan-activity`, צריך להגדיר אותו כ-`NETWORK_MALICIOUS`. אם `category` הוא `policy-violation`, צריך להגדיר אותו כ-`POLICY_VIOLATION`. אחרת, מגדירים את הערך `UNKNOWN_CATEGORY`.
classtype	security_result.rule_type	הערך נלקח מהשדה `classtype` ביומן הגולמי, אם הוא לא ריק או `unknown`.
community_id	network.community_id	הערך נלקח מהשדה `community_id` ביומן הגולמי.
date_log		משמש להגדרת חותמת הזמן של האירוע אם השדה `time` ריק.
desc	metadata.description	הערך נלקח מהשדה `desc` ביומן הגולמי.
dest_ip	target.ip	הערך נלקח מהשדה `dest_ip` ביומן הגולמי.
dest_port	target.port	הערך נלקח מהשדה `dest_port` ביומן הגולמי ומומר למספר שלם.
dstport	target.port	הערך נלקח מהשדה `dstport` ביומן הגולמי ומומר למספר שלם.
file.filename	security_result.about.file.full_path	הערך נלקח מהשדה `file.filename` ביומן הגולמי, אם הוא לא ריק או `/`.
file.size	security_result.about.file.size	הערך נלקח מהשדה `file.size` ביומן הגולמי והומר למספר שלם ללא סימן.
host.name	principal.hostname	הערך נלקח מהשדה `host.name` ביומן הגולמי.
שם המארח	principal.hostname	הערך נלקח מהשדה `hostname` ביומן הגולמי.
inter_host	intermediary.hostname	הערך נלקח מהשדה `inter_host` ביומן הגולמי.
log.file.path	principal.process.file.full_path	הערך נלקח מהשדה `log.file.path` ביומן הגולמי.
metadata.version	metadata.product_version	הערך נלקח מהשדה `metadata.version` ביומן הגולמי.
proto	network.ip_protocol	הערך נלקח מהשדה `proto` ביומן הגולמי. אם זה מספר, הוא מומר לשם של פרוטוקול ה-IP התואם באמצעות טבלת בדיקת מידע.
rule_name	security_result.rule_name	הערך נלקח מהשדה `rule_name` ביומן הגולמי.
signature_id	security_result.rule_id	הערך נלקח מהשדה `signature_id` ביומן הגולמי.
signature_rev	security_result.rule_version	הערך נלקח מהשדה `signature_rev` ביומן הגולמי.
src_ip	principal.ip	הערך נלקח מהשדה `src_ip` ביומן הגולמי.
src_port	principal.port	הערך נלקח מהשדה `src_port` ביומן הגולמי ומומר למספר שלם.
srcport	principal.port	הערך נלקח מהשדה `srcport` ביומן הגולמי ומומר למספר שלם.
פעם		משמש להגדרת חותמת הזמן של האירוע.
	metadata.event_type	תמיד מוגדר כ-`SCAN_NETWORK`.
	metadata.log_type	מקודד בתוך הקוד ל-`SNORT_IDS`.
	metadata.product_name	מקודד בתוך הקוד ל-`SNORT_IDS`.
	metadata.vendor_name	מקודד בתוך הקוד ל-`SNORT`.
	security_result.action	צריך להגדיר את הערך `ALLOW` אם הערך של `alert.action` הוא `allowed`, אחרת צריך להגדיר את הערך `UNKNOWN_ACTION`.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.