איסוף יומנים של Symantec Web Isolation

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של Symantec Web Isolation באמצעות סוכן Bindplane.

‫Symantec Web Isolation היא פלטפורמה לבידוד דפדפנים שיוצרת הודעות syslog עבור סשנים של גלישה באינטרנט, אירועי גישה לכתובות URL, פעילות של הורדת קבצים, אכיפת מדיניות ואירועים של ניהול מכשירים. הכלי לניתוח מחלץ שדות מיומנים בפורמט JSON וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין פלטפורמת Symantec Web Isolation
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין לממשק המשתמש של Symantec Web Isolation באינטרנט

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/symantec_web_isolation:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: SYMANTEC_WEB_ISOLATION
      raw_log_field: body
  
  service:
    pipelines:
      logs/symantec_web_isolation_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/symantec_web_isolation
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
  • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/symantec_web_isolation:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: SYMANTEC_WEB_ISOLATION
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog בפלטפורמת Symantec Web Isolation

1. נכנסים לממשק המשתמש של Symantec Web Isolation באינטרנט.
2. עוברים אל System Configuration > External Log Server > New External Log Server > Syslog Server.
3. מזינים את פרטי ההגדרה הבאים:
   • סטטוס: מסמנים את התיבה הפעלה.
   • ‫Host: מזינים את כתובת ה-IP של הסוכן של Bindplane.
   • יציאה: מזינים את מספר היציאה של סוכן Bindplane (לדוגמה, 514 ל-UDP).
   • פרוטוקול: בוחרים באפשרות UDP.
   • שם האפליקציה: מזינים תג כדי לזהות את פלטפורמת הבידוד באינטרנט.
   • מתקן: שם המתקן ב-Syslog שקשור ליומני בידוד אתרים.
4. לוחצים על יצירה.
5. עוברים אל דוחות > העברת יומנים.
6. לוחצים על Edit.
7. מספקים את פרטי ההגדרה הבאים:
   • ‫יומן פעילות: בוחרים את שרת Bindplane שנוסף.
   • יומני ביקורת של ניהול: בוחרים את שרת Bindplane שנוסף לאחרונה.
   • ‫יומני ביקורת של שער: בוחרים את שרת Bindplane שהוספתם.
8. לוחצים על עדכון.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
action	security_result.summary	הסיכום נוצר על ידי שרשור של action_reason.
action_reason	security_result.summary	הסיכום נוצר על ידי שרשור של action.
content_action	security_result.action_details	מיפוי ישיר.
createdAt	metadata.event_timestamp	הומר לחותמת זמן בפורמט UNIX_MS.
creationDate	metadata.event_timestamp	הומר לחותמת זמן בפורמט UNIX_MS.
data.level	security_result.severity	ממופה ל-INFORMATIONAL,‏ LOW או HIGH על סמך הערך.
data.properties.environment.str	intermediary.location.name	מיפוי ישיר.
data.properties.hostname.str	intermediary.hostname	מיפוי ישיר.
destination_ip	target.ip	מיפוי ישיר.
destination_ip_country_name	target.location.country_or_region	מיפוי ישיר.
device.current_risk_warnings	security_result.category_details	מיפוי ישיר.
device.identifier	target.asset.product_object_id	מיפוי ישיר.
device.model	hardware.model	מיפוי ישיר.
device.os_version	target.asset.platform_software.platform_version	מיפוי ישיר.
device.serial_number	hardware.serial_number	מיפוי ישיר.
device.udid	target.asset.asset_id	הקידומת 'UDID:‎' מופיעה לפני המיפוי.
device.user.email	target.user.email_addresses	מיפוי ישיר.
device.user.id	target.user.userid	מיפוי ישיר.
device.user.name	target.user.user_display_name	מיפוי ישיר.
device.user.organization.id	target.user.groupid	מיפוי ישיר.
device.user.organization.name	target.user.group_identifiers	מיפוי ישיר.
event	metadata.product_event_type	מיפוי ישיר.
event_type	metadata.event_type	צריך להגדיר את הערך "GENERIC_EVENT" או "NETWORK_HTTP" על סמך נתוני היומן.
file_name	target.file.names	מיפוי ישיר.
file_type	about.labels, about.resource.attribute.labels	נוסף כתווית עם המפתח "file_type".
id	metadata.product_log_id	מיפוי ישיר.
isolation_session_id	network.parent_session_id	מיפוי ישיר.
level	security_result.severity	ממופה ל-INFORMATIONAL,‏ LOW או HIGH על סמך הערך.
original_source_ip	principal.ip	מיפוי ישיר.
policy_version	security_result.rule_version	מיפוי ישיר.
properties.environment	intermediary.location.name	מיפוי ישיר.
properties.hostname	intermediary.hostname	מיפוי ישיר.
referer_url	network.http.referral_url	מיפוי ישיר.
request_method	network.http.method	מיפוי ישיר.
resource_response_headers.x-nauthilus-traceid	network.community_id	מיפוי ישיר.
response_status_code	network.http.response_code	מיפוי ישיר.
rule_id	security_result.rule_id	מיפוי ישיר.
rule_name_at_log_time	security_result.rule_name	מיפוי ישיר.
rule_type	security_result.rule_type	מיפוי ישיר.
service	principal.application	מיפוי ישיר.
session_id	network.session_id	מיפוי ישיר.
severity	security_result.severity	המיפוי הוא לערך LOW,‏ MEDIUM או HIGH בהתאם לערך.
source_ip	principal.ip	מיפוי ישיר.
source_ip_country_name	principal.location.country_or_region	מיפוי ישיר.
source_port	principal.port	מיפוי ישיר.
sub_type	security_result.summary	מיפוי ישיר.
target.asset.type	target.asset.type	הערך הוא MOBILE אם device.model מכיל את הערך ipad או iphone.
target.asset.platform_software.platform	target.asset.platform_software.platform	הערך שמוגדר הוא MAC אם device.model מכיל ipad או iphone.
timestamp	metadata.event_timestamp	הניתוח בוצע באמצעות הפורמט yyyy-MM-dd HH:mm:ss.SSS Z.
total_bytes	network.received_bytes	מיפוי ישיר אם הערך גדול מ-0.
traceId	metadata.product_log_id	מיפוי ישיר.
type	metadata.product_event_type	מיפוי ישיר.
url	target.url	מיפוי ישיר.
url_host	principal.hostname	מיפוי ישיר.
user_download_usage_bytes	network.received_bytes	מיפוי ישיר.
user_total_usage_bytes	about.labels, about.resource.attribute.labels	נוסף כתווית עם המפתח user_total_usage_bytes.
user_upload_usage_bytes	network.sent_bytes	מיפוי ישיר.
username	principal.user.user_display_name	מיפוי ישיר.
vendor_name	metadata.vendor_name	צריך להגדיר את הערך "Broadcom Inc.".
product_name	metadata.product_name	מגדירים את האפשרות "Symantec Web Isolation".
log_type	metadata.log_type	ההגדרה היא SYMANTEC_WEB_ISOLATION.
sandbox	about.labels, about.resource.attribute.labels	התווסף כתווית עם המפתח Sandbox והערך שחולץ מכתובת ה-URL.
utub	about.labels, about.resource.attribute.labels	נוסף כתווית עם המפתח "user_total_usage_bytes".
userid	target.user.userid	נשלפו מכתובת ה-URL.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.