איסוף יומני ביקורת של Stealthbits

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני ביקורת של Stealthbits ב-Google Security Operations באמצעות סוכן Bindplane.

‫Stealthbits StealthAUDIT (עכשיו Netwrix StealthAUDIT) היא פלטפורמה לביקורת IT ולניהול נתונים שמשמשת למעקב אחרי Active Directory, לביקורת של מערכת קבצים ולניהול הרשאות גישה. רכיב Netwrix Activity Monitor תומך בהעברה מקורית של syslog להעברת אירועים בזמן אמת.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין שרת Stealthbits StealthAUDIT
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישת הרשאות למסוף Netwrix Enterprise Auditor (StealthAUDIT) ולכלי Activity Monitor

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/stealthbits_audit:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: STEALTHBITS_AUDIT
        raw_log_field: body

service:
    pipelines:
        logs/stealthbits_audit_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/stealthbits_audit

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה של נקודות הקצה האזוריות זמינה במאמר Regional Endpoints.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-Stealthbits StealthAUDIT

  1. פותחים את מסוף Netwrix Activity Monitor.
  2. עוברים אל מארחים בפיקוח ובוחרים את המארח או המארחת הרצויים.
  3. לוחצים על הכרטיסייה Outputs (פלט) ובוחרים באפשרות Syslog.

  4. מגדירים את ההגדרות הבאות:

    הגדרה ערך
    שרת Syslog מזינים את כתובת ה-IP והיציאה של סוכן Bindplane בפורמט SERVER:PORT (לדוגמה, 192.168.1.100:514)
    פרוטוקול בוחרים באפשרות UDP.
    תבנית הודעה הגדרה של תבנית הודעת syslog כדי לקבוע אילו נתונים ייכללו בזרם האירועים

  5. לוחצים על שמירה כדי להחיל את ההגדרה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
Operation additional.fields מיפוי: Change ← additional_old_value, ‏ Change ← additional_new_value
additional_field additional.fields ממוזג
additional_new_value additional.fields ממוזג
additional_old_value additional.fields ממוזג
intermediary_domain intermediary.hostname מיפוי ישיר
event_description metadata.description מיפוי ישיר
event_timestamp metadata.event_timestamp ניתוח הכתובות שברשימה: yyyy-MM-dd HH:mm:ss.SSS
product_event_type metadata.event_type מופה: Windows File System Update ← FILE_MODIFICATION, ‏`Active Directory Object Modifie...
product_event_type metadata.product_event_type מיפוי ישיר
ClientHost principal.hostname מיפוי ישיר
ClientAddress principal.ip ממוזג
NewAttributeValue principal.process.command_line מיפוי ישיר
blocked_event security_result.action ממוזג
Operation security_result.category_details ממוזג
target_administrative_domain target.administrative_domain מיפוי ישיר
file_path target.file.full_path שם שונה/מיפוי
target_hostname target.hostname מיפוי ישיר
target_ip target.ip ממוזג
ModifiedObject target.resource.name מיפוי ישיר
לא רלוונטי metadata.event_type קבוע: FILE_MODIFICATION
לא רלוונטי metadata.product_name קבוע: StealthINTERCEPT
לא רלוונטי metadata.vendor_name קבוע: Stealthbits

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.