Mengumpulkan log Stealthbits StealthDEFEND

Didukung di:

Dokumen ini menjelaskan cara menyerap log Stealthbits StealthDEFEND ke Google Security Operations menggunakan agen Bindplane.

Stealthbits (sekarang Netwrix) StealthDEFEND adalah platform deteksi ancaman real-time yang mengidentifikasi dan merespons serangan yang menargetkan Active Directory dan sistem file. Alat ini menghasilkan pemberitahuan dalam format LEEF yang mencakup anomali autentikasi, eskalasi hak istimewa, dan modifikasi objek AD. Parser mengekstrak kolom dari entri log StealthDEFEND dan memetakannya ke Model Data Terpadu (UDM), yang mencakup ID target dan pokok, hasil keamanan, serta detail pemindaian kerentanan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan server StealthDEFEND
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke konsol StealthDEFEND dengan izin administrator

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan.

  4. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

    Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

    Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/stealthbits_defend:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: STEALTHBITS_DEFEND
        raw_log_field: body

service:
    pipelines:
        logs/stealthbits_defend:
            receivers:
                - tcplog
            exporters:
                - chronicle/stealthbits_defend

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • tcplog: Jenis penerima berdasarkan protokol:
      • udplog untuk syslog UDP
      • tcplog untuk syslog TCP
      • syslog untuk syslog RFC 3164/5424
    • 0.0.0.0: Alamat IP yang akan didengarkan:
      • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
      • Alamat IP tertentu untuk memproses permintaan di satu antarmuka
    • 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

  • Konfigurasi pengekspor:

    • <customer_id>: ID Pelanggan dari langkah sebelumnya
    • malachiteingestion-pa.googleapis.com: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
    • Sesuaikan creds_file_path bergantung pada platform:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

    1. Pastikan layanan sedang berjalan:

      sudo systemctl status observiq-otel-collector

    2. Periksa log untuk mengetahui error:

      sudo journalctl -u observiq-otel-collector -f

  • Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Konsol layanan:

      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

      4. Pastikan layanan sedang berjalan:

        sc query observiq-otel-collector

      5. Periksa log untuk mengetahui error:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog StealthDEFEND

StealthDEFEND mendukung integrasi SIEM melalui syslog dalam format LEEF. Konfigurasi ekspor syslog untuk meneruskan pemberitahuan dan peristiwa ke agen Bindplane.

  1. Login ke konsol pengelolaan StealthDEFEND.
  2. Buka Configuration > SIEM.
  3. Klik Tambahkan untuk membuat integrasi SIEM baru.
  4. Berikan detail konfigurasi berikut:
    • Type: Pilih Syslog.
    • Format: Pilih LEEF.
    • Host: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
    • Port: Masukkan 514 (harus cocok dengan port penerima Bindplane).
    • Protocol: Pilih TCP (harus cocok dengan jenis penerima Bindplane).
  5. Pilih kategori peristiwa yang akan diteruskan (misalnya, pemberitahuan ancaman, perubahan AD, peristiwa autentikasi).

  6. Klik Simpan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
attack_host about.hostname Nama host yang terkait dengan entitas tambahan
extensions.auth.type Jenis autentikasi yang digunakan
Berakhir extensions.vulns.vulnerabilities.scan_end_time Waktu berakhir pemindaian kerentanan
Dimulai extensions.vulns.vulnerabilities.scan_start_time Waktu mulai pemindaian kerentanan
intermediary_hostname intermediary.hostname Nama host perangkat perantara
SettingName metadata.description Deskripsi peristiwa
event_type metadata.event_type Jenis acara
product_event metadata.product_event_type Jenis peristiwa khusus produk
device_version metadata.product_version Versi produk
domain principal.administrative_domain Domain administratif prinsipal
source_domain principal.domain.name Nama domain kepala sekolah
src, shost, AttackingHost, breached_from_host principal.hostname Nama host utama
src, shost, AttackingHostIp principal.ip Alamat IP kepala sekolah
DistinguishedName principal.user.group_identifiers ID grup untuk pengguna utama
AffectedObject principal.user.user_display_name Nama tampilan pengguna utama
suser, usrName principal.user.userid ID pengguna prinsipal
protocol_label security_result.about.labels Label untuk bagian hasil keamanan tentang
sec_result_action security_result.action Tindakan yang dilakukan oleh sistem keamanan
category security_result.category_details Kategori mendetail hasil keamanan
AlertText, operasi security_result.description Deskripsi hasil keamanan
policy_name security_result.rule_name Nama aturan yang memicu hasil
Keparahan security_result.severity Tingkat keparahan hasil keamanan
Alasan, att_name security_result.summary Ringkasan hasil keamanan
OrigServer, AttackedHost target.hostname Nama host target
dst, AttackedHostIp target.ip Alamat IP target
duser, UserName target.user.userid ID pengguna target
UserSID target.user.windows_sid SID Windows pengguna target
device_product metadata.product_name Nama produk
device_vendor metadata.vendor_name Nama vendor

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.