איסוף יומנים של Symantec Security Analytics

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומנים של Symantec Security Analytics ב-Google Security Operations באמצעות Bindplane.

‫Symantec Security Analytics (לשעבר Blue Coat) היא פלטפורמה לניתוח פלילי של רשתות ולתיעוד מנות נתונים, שמספקת בדיקה מעמיקה של מנות נתונים, חשיפה מלאה של הרשת וניתוח איומים לפריסות מקומיות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין מכשיר Symantec Security Analytics
  • אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות אדמין למכשיר Symantec Security Analytics

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
  12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sudo systemctl status observiq-otel-collector

השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/symantec_sa:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: SYMANTEC_SA
    raw_log_field: body

service:
  pipelines:
    logs/symantec_sa_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/symantec_sa

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

  • אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/symantec_sa:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: SYMANTEC_SA
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

  1. מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. מוודאים שהשירות פועל:

    sudo systemctl status observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

  1. בוחרים אחת מהאפשרויות האלה:

    • שורת פקודה או PowerShell כאדמין:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • מסוף השירותים:
      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  2. מוודאים שהשירות פועל:

    sc query observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Symantec Security Analytics

  1. נכנסים לממשק האינטרנט של מכשיר Symantec Security Analytics.
  2. עוברים אל System > Alerting > Syslog.
  3. כדי ליצור יעד חדש של syslog, לוחצים על הוספה.
  4. מזינים את פרטי ההגדרה הבאים:
    • שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
    • יציאה: מזינים 514.
    • פרוטוקול: בוחרים באפשרות UDP.
    • Facility: בוחרים באפשרות Local0 או במתקן המועדף.
  5. בוחרים את קטגוריות היומנים שרוצים להעביר (התראות אבטחה, אירועי מערכת, אירועי רשת).
  6. לוחצים על שמירה כדי להחיל את ההגדרה.
  7. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
additional.fields מוזג מ-m_label, ‏ c_label, ‏ start_time_label
action_name security_result.action_details הערך הועתק ישירות
קטגוריה target.resource.type הערך הועתק ישירות
cs4 security_result.description הערך הועתק ישירות
cs5 security_result.summary הערך הועתק ישירות
dmac target.mac הערך הועתק ישירות
dpt target.port הומר למספר שלם
dst target.ip חולץ באמצעות תבנית grok בתור dst_ip
dst target.asset.ip חולץ באמצעות תבנית grok בתור dst_ip
elapsed_time security_result.detection_fields Merged from elapsed_time_label
מקש End ההמרה מתבצעת מאלפיות השנייה של ראשית הזמן לחותמת זמן (לא בשימוש במיפוי UDM)
event_id security_result.rule_id הערך הועתק ישירות
event_name metadata.product_event_type הערך הועתק ישירות
evt metadata.product_event_type הערך הועתק ישירות
מארח intermediary.hostname הערך הועתק ישירות
מארח intermediary.asset.hostname הערך הועתק ישירות
id target.resource.id הערך הועתק ישירות
ip principal.ip חולצה באמצעות תבנית grok בתור ip_address1
ip principal.asset.ip חולצה באמצעות תבנית grok בתור ip_address1
ip_address principal.ip חולץ באמצעות תבנית grok בתור ip_address2
ip_address principal.asset.ip חילוץ באמצעות תבנית grok בתור ip_address2
logmsg metadata.description הערך הועתק ישירות
m additional.fields מוזג מ-m_label
mac_address principal.mac הערך הועתק ישירות
מודל target.resource.name הערך הועתק ישירות
msgs metadata.description הערך הועתק ישירות
נתיב target.file.full_path הערך הועתק ישירות
query_id target.resource.attribute.labels מוזג מ-query_id_label
remote_ip target.ip חולץ באמצעות תבנית grok בתור r_ipaddress
remote_ip target.asset.ip חולץ באמצעות תבנית grok בתור r_ipaddress
sequenceId metadata.product_log_id הערך הועתק ישירות
severity security_result.severity_details הערך הועתק ישירות
severity security_result.severity הגדרה ל-LOW אם הערך הוא ["0","1","2","3"]; ל-MEDIUM אם הערך הוא ["4","5","6"]; ל-HIGH אם הערך הוא ["7","8"]; ל-CRITICAL אם הערך הוא ["9","10"]; אחרת, UNKNOWN_SEVERITY
smac principal.mac הערך הועתק ישירות
sn principal.mac הערך הועתק ישירות
spt principal.port הומר למספר שלם
src principal.ip חילוץ באמצעות תבנית grok בתור src_ip
src principal.asset.ip חילוץ באמצעות תבנית grok בתור src_ip
התחלה additional.fields מוזג מ-start_time_label
ts metadata.collected_timestamp ההמרה בוצעה באמצעות פורמטים של התאמת תאריכים
משתמש principal.user.userid הערך הועתק ישירות
גרסה metadata.product_version הערך הועתק ישירות
metadata.event_type צריך להגדיר את הערך NETWORK_CONNECTION אם has_principal ו-has_target הם true; את הערך STATUS_UPDATE אם has_principal הוא true ו-has_target הוא false; את הערך USER_UNCATEGORIZED אם has_principal_user הוא true; אחרת, את הערך GENERIC_EVENT
metadata.product_name הגדרה ל-Security Analytics Platform
metadata.vendor_name צריך להגדיר את הערך "Symantec Corporation"
host event.idm.read_only_udm.intermediary.hostname וגם event.idm.read_only_udm.intermediary.asset.hostname מופה מיומן השינויים
event_name event.idm.read_only_udm.metadata.product_event_type מופה מיומן השינויים
end event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
ts event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
host principal.hostname מופה מיומן השינויים
logmsg metadata description מופה מיומן השינויים
m" and "c additional.fields מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.