איסוף יומנים של Tripwire

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך אפשר לאסוף את יומני Tripwire באמצעות מעביר של Google Security Operations.

מידע נוסף זמין במאמר בנושא העברת נתונים אל Google Security Operations.

תווית הטמעה מזהה את מנתח התוכן שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תווית ההטמעה TRIPWIRE_FIM.

הגדרת Tripwire Enterprise

1. נכנסים למסוף האינטרנט של Tripwire Enterprise באמצעות פרטי אדמין.
2. כדי לערוך את ההגדרות של ניהול יומנים, לוחצים על הכרטיסייה הגדרות.
3. בוחרים באפשרות Tripwire > System > Log management.
4. בחלון העדפות לניהול יומנים, מבצעים את הפעולות הבאות:
   1. מסמנים את תיבת הסימון העברת הודעות יומן של TE אל syslog.
   2. בשדה TCP host (מארח TCP), מזינים את כתובת ה-IP או את שם המארח של המעביר של Google Security Operations.
   3. בשדה יציאת TCP, מזינים את היציאה שדרכה נשלחות הודעות היומן באמצעות TCP.
   4. כדי לבדוק את ההגדרה, לוחצים על בדיקת החיבור.
5. כדי לשמור את השינויים, לוחצים על אישור.

הגדרה של מעביר הנתונים של Google Security Operations להטמעה של יומני Tripwire

1. עוברים אל SIEM Settings (הגדרות SIEM) > Forwarders (העברה).
2. לוחצים על הוספת מעביר חדש.
3. בשדה שם המעביר, מזינים שם ייחודי למעביר.
4. לוחצים על שליחה. המעביר נוסף ומופיע החלון Add collector configuration (הוספת הגדרת איסוף).
5. בשדה Collector name (שם המאסף), מקלידים שם.
6. בוחרים באפשרות Tripwire (מלכודת) בתור סוג היומן.
7. בוחרים באפשרות Syslog בתור סוג האוסף.
8. מגדירים את פרמטרי הקלט הבאים שהם חובה:
   • פרוטוקול: מציינים את פרוטוקול החיבור (TCP) שבו הכלי לאיסוף נתונים משתמש כדי להאזין לנתוני syslog.
   • כתובת: מציינים את כתובת ה-IP או את שם המארח של היעד שבו נמצא המאסף והוא מאזין לנתוני syslog.
   • יציאה: מציינים את יציאת היעד שבה נמצא האוסף והוא מאזין לנתוני syslog.
9. לוחצים על שליחה.

מידע נוסף על מעבירי נתונים של Google Security Operations זמין במאמר ניהול הגדרות של מעבירי נתונים דרך ממשק המשתמש של Google Security Operations.

אם נתקלתם בבעיות כשאתם יוצרים כלים להעברת נתונים, פנו לתמיכה של Google Security Operations.

הפניה למיפוי שדות

סקירה כללית: מנתח התוכן הזה מחלץ שדות מהודעות syslog של Tripwire File Integrity Manager (FIM) ומנרמל אותם לפורמט UDM. הוא מטפל בקטגוריות שונות של יומנים, כולל אירועי מערכת, אירועי אבטחה, שינויים וביקורות, ממפה אותם לסוגי אירועים תואמים ב-UDM ומוסיף לנתונים פרטים כמו מידע על המשתמש, משאבים מושפעים ותוצאות אבטחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
AffectedHost	principal.hostname	ממופה ישירות מהשדה AffectedHost ביומני CEF.
AffectedIP	principal.ip	ממופה ישירות מהשדה AffectedIP ביומני CEF.
AppType	target.file.full_path	מופה ישירות מהשדה AppType כשהשדה desc מכיל את הערך HKEY והשדה AppType קיים.
ChangeType	target.resource.attribute.labels.key: Change Type target.resource.attribute.labels.value: %{ChangeType}	ממופה ישירות מהשדה ChangeType ביומני CEF כתווית.
ChangeType	sec_result.summary	ממופה ישירות מהשדה change_type אם הוא מופיע ביומנים.
cs1	target.resource.attribute.labels.key: cs1Label target.resource.attribute.labels.value: cs1	ממופה ישירות משדות cs1 ו-cs1Label ביומני CEF כתווית.
cs2	target.resource.attribute.labels.key: cs2Label target.resource.attribute.labels.value: cs2	ממופה ישירות משדות cs2 ו-cs2Label ביומני CEF כתווית.
cs3	target.resource.attribute.labels.key: cs3Label target.resource.attribute.labels.value: cs3	ממופה ישירות משדות cs3 ו-cs3Label ביומני CEF כתווית.
cs4	target.resource.attribute.labels.key: cs4Label target.resource.attribute.labels.value: cs4	ממופה ישירות משדות cs4 ו-cs4Label ביומני CEF כתווית.
cs5	target.resource.attribute.labels.key: cs5Label target.resource.attribute.labels.value: cs5	ממופה ישירות משדות cs5 ו-cs5Label ביומני CEF כתווית.
cs6	target.resource.attribute.labels.key: cs6Label target.resource.attribute.labels.value: cs6	ממופה ישירות משדות cs6 ו-cs6Label ביומני CEF כתווית.
datetime	metadata.event_timestamp	הפונקציה מנתחת וממירה לחותמת זמן מפורמטים שונים כמו 'MMM d HH:mm:ss' ו-'yyyy-MM-dd HH:mm:ss'.
device_event_class_id	principal.resource.product_object_id	ממופה ישירות מהשדה device_event_class_id ביומני CEF.
device_product	metadata.product_name	ממופה ישירות מהשדה device_product ביומני CEF.
device_vendor	metadata.vendor_name	ממופה ישירות מהשדה device_vendor ביומני CEF.
device_version	metadata.product_version	ממופה ישירות מהשדה device_version ביומני CEF.
dhost	target.hostname	ממופה ישירות מהשדה dhost ביומני CEF.
duser	target.user.userid	ממופה ישירות מהשדה duser ביומני CEF.
dvc	principal.ip	ממופה ישירות מהשדה dvc ביומני CEF.
elementOID	target.resource.attribute.labels.key: elementOIDLabel target.resource.attribute.labels.value: elementOID	ממופה ישירות משדות elementOID ו-elementOIDLabel ביומני CEF כתווית.
event_name	metadata.product_event_type	ממופה ישירות מהשדה event_name ביומני CEF.
FileName	principal.process.file.full_path	ממופה ישירות מהשדה FileName ביומני CEF.
fname	target.file.full_path	ממופה ישירות מהשדה fname ביומני CEF.
HostName	principal.hostname	מופה ישירות מהשדה HostName אם השדה desc מכיל את המחרוזת TE:.
licurl	about.url	ממופה ישירות מהשדה licurl ביומני CEF.
log_level	security_result.severity	ממופה מהשדה log_level. הערך 'מידע' הופך ל-'INFORMATIONAL', הערך 'אזהרה' הופך ל-'MEDIUM', הערך 'שגיאה' הופך ל-'ERROR', והערך 'קריטי' הופך ל-'CRITICAL'.
LogUser	principal.user.userid OR target.user.userid	ממופה ל-principal.user.userid אם event_type לא ריק ולא USER_LOGIN ו-principal_user ריק. אחרת, המיפוי הוא ל-target.user.userid. מופק גם מהשדה desc כשהוא מתחיל ב-Msg="User".
MD5	target.file.md5	ממופה ישירות מהשדה MD5 ביומני CEF כשהוא לא ריק או 'לא זמין'.
Msg	security_result.description	מופה ישירות מהשדה Msg אם השדה desc מכיל את המחרוזת TE:. הערך חולץ מהשדה desc בתרחישים שונים על סמך category ושדות אחרים.
NodeIp	target.ip	מופה ישירות מהשדה NodeIp אם השדה desc מכיל את המחרוזת TE:.
NodeName	target.hostname	מופה ישירות מהשדה NodeName אם השדה desc מכיל את המחרוזת TE:.
סוג מערכת ההפעלה	principal.platform	ממופה מהשדה OS-Type. ‫'WINDOWS' (לא תלוי באותיות רישיות) הופך ל-'WINDOWS',‏ 'Solaris' (לא תלוי באותיות רישיות) הופך ל-'LINUX'.
principal_user	principal.user.userid OR target.user.userid	הערך חולץ מהשדה message כשהוא מכיל את המחרוזת CN=. הערך עבר עיבוד כדי להסיר את המחרוזת CN=, סוגריים ורווחים מיותרים. מופה ל-principal.user.userid אם event_type הוא לא USER_UNCATEGORIZED. אחרת, המיפוי הוא ל-target.user.userid. מופק גם מהשדה desc בקטגוריה 'אירוע ביקורת'.
principal_user	principal.user.group_identifiers	הערך חולץ מ-principal_user אם ldap_details לא ריק ומכיל את המחרוזת OU=.
principal_user	principal.administrative_domain	חלק הדומיין מחולץ מ-principal_user כשהוא תואם לתבנית %{GREEDYDATA:adminsitrative_domain}\\\\%{WORD:principal_user}.
product_logid	metadata.product_log_id	מופה ישירות מהשדה product_logid אם השדה desc מכיל את המחרוזת TE:.
rt	metadata.event_timestamp	המערכת מנתחת וממירה לפורמט חותמת זמן מהפורמטים MMM dd yyyy HH:mm:ss ו-MM dd yyyy HH:mm:ss ZZZ.
SHA-1	target.file.sha256	הערך שאחרי 'After=‎' מחולץ מהשדה SHA-1 וממופה.
גודל	target.file.size	הערך אחרי 'After=‎' מחולץ מהשדה Size, ממופה ומומר למספר שלם לא חתום.
software_update	target.resource.name	ממופה ישירות מהשדה software_update כשהוא לא ריק.
source_hostname	principal.hostname	מופה ישירות מהשדה source_hostname אם השדה desc מכיל את המחרוזת TE:.
source_ip	principal.ip	מופה ישירות מהשדה source_ip אם השדה desc מכיל את המחרוזת TE:.
sproc	src.process.command_line	ממופה ישירות מהשדה sproc ביומני CEF.
start	target.resource.attribute.creation_time	הערך נותח והומר לחותמת זמן מהפורמט 'MMM d yyyy HH:mm:ss'.
target_hostname	target.hostname	ממופה ישירות מהשדה target_hostname אם הוא קיים.
target_ip	target.ip	ממופה ישירות מהשדה target_ip אם הוא קיים.
פעם	metadata.event_timestamp	הניתוח בוצע מהשדה temp_data באמצעות הפורמט "<%{INT}>%{INT} %{TIMESTAMP_ISO8601:time}.*".
אזור זמן	target.resource.attribute.labels.key: timezoneLabel target.resource.attribute.labels.value: timezone	ממופה ישירות משדות timezone ו-timezoneLabel ביומני CEF כתווית. אובייקט about ריק נוצר כשהערך של licurl ריק או 'לא זמין'. נוצר אובייקט ריק auth בתוך extensions כאשר event_type הוא USER_LOGIN. הערך שמוגדר כברירת מחדל הוא STATUS_UNCATEGORIZED אם לא מוגדר ערך אחר ל-event_type, או אם הערך של event_type הוא NETWORK_CONNECTION והערכים של target_hostname ו-target_ip ריקים. ההגדרה היא TRIPWIRE_FIM. מוגדר כ-'File Integrity Monitoring' כערך ברירת מחדל, ומוחלף על ידי device_product אם הוא קיים. מגדירים את הערך TRIPWIRE. הגדרה לערך ברירת מחדל 'ALLOW'. ההגדרה היא BLOCK בתרחישים מסוימים על סמך תוכן category ו-desc.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.