איסוף יומנים של Stealthbits StealthDEFEND

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Stealthbits StealthDEFEND ב-Google Security Operations באמצעות סוכן Bindplane.

‫StealthDEFEND של Stealthbits (עכשיו Netwrix) היא פלטפורמה לזיהוי איומים בזמן אמת, שמזהה התקפות שמטרתן לפגוע ב-Active Directory ובמערכות קבצים, ומגיבה להן. הוא יוצר התראות בפורמט LEEF שמכסות חריגות באימות, הרחבת הרשאות ושינויים באובייקטים של AD. המנתח מחלץ שדות מרשומות ביומן של StealthDEFEND וממפה אותם למודל הנתונים המאוחד (UDM). הוא מתעד מזהים של ישויות ושל יעדים, תוצאות אבטחה ופרטים של סריקת נקודות חולשה.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לשרת StealthDEFEND
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מורשית למסוף StealthDEFEND עם הרשאות אדמין

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane כדי להטמיע את syslog ולשלוח ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/stealthbits_defend:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: STEALTHBITS_DEFEND
      raw_log_field: body
  
  service:
    pipelines:
      logs/stealthbits_defend:
        receivers:
          - tcplog
        exporters:
          - chronicle/stealthbits_defend
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫tcplog: סוג המקלט לפי הפרוטוקול:
    • ‫udplog ל-UDP syslog
    • ‫tcplog ל-syslog של TCP
    • ‫syslog ל-syslog של RFC 3164/5424
  • ‫0.0.0.0: כתובת ה-IP להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • כתובת IP ספציפית להאזנה בממשק אחד
  • ‫514: מספר היציאה להאזנה (לדוגמה, 514,‏ 1514,‏ 6514)

• הגדרת הייצוא:

  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • משנים את creds_file_path לנתיב של קובץ מפתח ה-JSON של חשבון השירות (אפשרות 1), בהתאם לפלטפורמה:
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/stealthbits_defend:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: STEALTHBITS_DEFEND
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog ב-StealthDEFEND

‫StealthDEFEND תומך בשילוב SIEM דרך syslog בפורמט LEEF. מגדירים את הייצוא של syslog כדי להעביר התראות ואירועים לסוכן Bindplane.

1. נכנסים למסוף הניהול של StealthDEFEND.
2. עוברים אל Configuration > SIEM.
3. לוחצים על הוספה כדי ליצור שילוב חדש של SIEM.
4. מזינים את פרטי ההגדרה הבאים:
   • ‫Type (סוג): בוחרים באפשרות Syslog.
   • Format: בוחרים באפשרות LEEF.
   • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (צריך להתאים ליציאת המקלט של Bindplane).
   • Protocol: בוחרים באפשרות TCP (צריך להתאים לסוג המקלט של Bindplane).
5. בוחרים את קטגוריות האירועים שרוצים להעביר (לדוגמה, התראות על איומים, שינויים ב-AD, אירועי אימות).

6. לוחצים על Save.

   הערה: StealthDEFEND שולח יומנים בפורמט LEEF ‏(Log Event Extended Format). מוודאים שהמקלט של Bindplane מוגדר לקבל חיבורי TCP ביציאה שצוינה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
attack_host	about.hostname	שם המארח שמשויך לישויות נוספות
	extensions.auth.type	סוג האימות שבו נעשה שימוש
הסתיים	extensions.vulns.vulnerabilities.scan_end_time	שעת הסיום של בדיקת נקודות החולשה
התחיל	extensions.vulns.vulnerabilities.scan_start_time	שעת ההתחלה של בדיקת נקודות החולשה
intermediary_hostname	intermediary.hostname	שם המארח של המכשיר המתווך
SettingName	metadata.description	תיאור האירוע
event_type	metadata.event_type	סוג האירוע
product_event	metadata.product_event_type	סוג אירוע ספציפי למוצר
device_version	metadata.product_version	גרסת המוצר
דומיין	principal.administrative_domain	הדומיין הניהולי של החשבון הראשי
source_domain	principal.domain.name	שם הדומיין של הגורם המנהל
src, ‏ shost, ‏ AttackingHost, ‏ breached_from_host	principal.hostname	שם המארח של הישות המורשית
src, shost, AttackingHostIp	principal.ip	כתובת ה-IP של החשבון הראשי
DistinguishedName	principal.user.group_identifiers	מזהי קבוצות של המשתמש הראשי
AffectedObject	principal.user.user_display_name	השם המוצג של המשתמש הראשי
suser, usrName	principal.user.userid	מזהה המשתמש של הישות המורשית
protocol_label	security_result.about.labels	תוויות לקטע "מידע על תוצאת האבטחה"
sec_result_action	security_result.action	הפעולה שבוצעה על ידי מערכת האבטחה
קטגוריה	security_result.category_details	קטגוריה מפורטת של תוצאת האבטחה
AlertText, operation	security_result.description	תיאור של תוצאת האבטחה
policy_name	security_result.rule_name	שם הכלל שהפעיל את התוצאה
חוּמרה	security_result.severity	חומרת תוצאת האבטחה
Reason, att_name	security_result.summary	סיכום של תוצאת האבטחה
OrigServer, AttackedHost	target.hostname	שם המארח של היעד
dst, AttackedHostIp	target.ip	כתובת ה-IP של היעד
duser, UserName	target.user.userid	מזהה המשתמש של היעד
UserSID	target.user.windows_sid	מזהה האבטחה (SID) של Windows של משתמש היעד
device_product	metadata.product_name	שם המוצר
device_vendor	metadata.vendor_name	שם הספק

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.