איסוף יומנים של Stealthbits StealthDEFEND

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Stealthbits StealthDEFEND ב-Google Security Operations באמצעות סוכן Bindplane.

‫Stealthbits (עכשיו Netwrix) StealthDEFEND היא פלטפורמה לזיהוי איומים בזמן אמת שמזהה מתקפות שמכוונות ל-Active Directory ולמערכות קבצים ומגיבה להן. הוא יוצר התראות בפורמט LEEF שכוללות חריגות באימות, הרחבת הרשאות ושינויים באובייקטים של AD. הכלי לניתוח מחלץ שדות מיומני StealthDEFEND וממפה אותם למודל הנתונים המאוחד (UDM), תוך תיעוד של מזהי הגורם המבצע והיעד, תוצאות האבטחה ופרטים של סריקת פגיעויות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין שרת StealthDEFEND
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות אדמין למסוף StealthDEFEND

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/stealthbits_defend:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: STEALTHBITS_DEFEND
        raw_log_field: body

service:
    pipelines:
        logs/stealthbits_defend:
            receivers:
                - tcplog
            exporters:
                - chronicle/stealthbits_defend

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫tcplog: סוג הנמען על סמך הפרוטוקול:
      • udplog עבור UDP syslog
      • ‫tcplog for TCP syslog
      • ‫syslog עבור syslog RFC 3164/5424
    • ‫0.0.0.0: כתובת ה-IP להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • כתובת IP ספציפית להאזנה בממשק אחד
    • ‫514: מספר היציאה להאזנה (לדוגמה, 514, ‏ 1514, ‏ 6514)

  • הגדרת כלי הייצוא:

    • ‫<customer_id>: מספר הלקוח מהשלב הקודם
    • ‫malachiteingestion-pa.googleapis.com: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
    • משנים את creds_file_path בהתאם לפלטפורמה:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-StealthDEFEND

‫StealthDEFEND תומך בשילוב SIEM באמצעות syslog בפורמט LEEF. מגדירים את הייצוא של syslog כדי להעביר התראות ואירועים לסוכן Bindplane.

  1. נכנסים למסוף הניהול של StealthDEFEND.
  2. עוברים אל הגדרה > SIEM.
  3. כדי ליצור שילוב SIEM חדש, לוחצים על הוספה.
  4. מספקים את פרטי ההגדרה הבאים:
    • סוג: בוחרים באפשרות Syslog.
    • פורמט: בוחרים באפשרות LEEF.
    • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (חייב להיות זהה ליציאת המקלט של Bindplane).
    • פרוטוקול: בוחרים באפשרות TCP (חייב להיות זהה לסוג המקלט של Bindplane).
  5. בוחרים את קטגוריות האירועים להעברה (לדוגמה, התראות על איומים, שינויים ב-AD, אירועי אימות).

  6. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
attack_host about.hostname שם המארח שמשויך לישויות נוספות
extensions.auth.type סוג האימות שבו נעשה שימוש
הסתיים extensions.vulns.vulnerabilities.scan_end_time שעת הסיום של סריקת נקודות החולשה
התחיל extensions.vulns.vulnerabilities.scan_start_time שעת ההתחלה של סריקת נקודות החולשה
intermediary_hostname intermediary.hostname שם המארח של המכשיר המתווך
SettingName metadata.description תיאור האירוע
event_type metadata.event_type סוג האירוע
product_event metadata.product_event_type סוג אירוע שספציפי למוצר
device_version metadata.product_version גרסת המוצר
דומיין principal.administrative_domain הדומיין האדמיניסטרטיבי של הגורם
source_domain principal.domain.name שם הדומיין של הגורם העיקרי
src, shost, AttackingHost, breached_from_host principal.hostname שם המארח של הישות המורשית
src, shost, AttackingHostIp principal.ip כתובת ה-IP של הגורם המרכזי
DistinguishedName principal.user.group_identifiers מזהים של קבוצות שהמשתמש הראשי שייך אליהן
AffectedObject principal.user.user_display_name השם המוצג של המשתמש הראשי
suser, usrName principal.user.userid מזהה המשתמש של הישות המורשית
protocol_label security_result.about.labels תוויות לקטע 'תוצאות אבטחה'
sec_result_action security_result.action פעולה שבוצעה על ידי מערכת האבטחה
קטגוריה security_result.category_details קטגוריה מפורטת של תוצאת האבטחה
AlertText, פעולה security_result.description תיאור של תוצאת האבטחה
policy_name security_result.rule_name שם הכלל שהפעיל את התוצאה
חוּמרה security_result.severity רמת החומרה של תוצאת האבטחה
סיבה, att_name security_result.summary סיכום תוצאות האבטחה
OrigServer, AttackedHost target.hostname שם המארח של היעד
dst, AttackedHostIp target.ip כתובת ה-IP של היעד
duser, UserName target.user.userid מזהה המשתמש של היעד
UserSID target.user.windows_sid מזהה האבטחה (SID) של משתמש היעד ב-Windows
device_product metadata.product_name שם המוצר
device_vendor metadata.vendor_name שם הספק

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.