איסוף יומני uberAgent

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני uberAgent ב-Google Security Operations באמצעות סוכן Bindplane.

‫uberAgent היא פלטפורמה לניתוח אבטחת נקודות קצה ולניטור חוויית משתמש עבור Windows ו-macOS. הוא אוסף נתוני טלמטריה, כולל אירועים של תהליכים, אירועי כניסה, חיבורים לרשת ושימוש באפליקציות בנקודות קצה מפוקחות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין נקודות הקצה של uberAgent
  • אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • הרשאות גישה מיוחדות למסוף הניהול של uberAgent או לנקודות הקצה שבהן מותקן uberAgent

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.
  1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
  2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הגדרת סוכן Bindplane להטמעה של יומנים ושליחה שלהם אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ תצורה

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
  filelog:
    include:
      - 'C:\uberAgent\logs\*.log'
      - 'C:\uberAgent\logs\*.csv'
    start_at: beginning
    poll_interval: 5s

exporters:
  chronicle/uberagent:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: UBERAGENT
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/uberagent_to_chronicle:
      receivers:
        - filelog
      exporters:
        - chronicle/uberagent

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫include: נתיבים לקובצי היומן של uberAgent:
      • Windows (local): C:\uberAgent\logs\*.log ו-C:\uberAgent\logs\*.csv
      • ‫Windows (שיתוף קבצים): \\SERVER\Share\uberagent-logs\*.log
      • משנים את הנתיב בהתאם להגדרת הפלט של קובץ uberAgent
    • ‫start_at: מגדירים את הערך beginning כדי לקרוא יומנים קיימים, או end כדי לקרוא רק רשומות חדשות
    • ‫poll_interval: באיזו תדירות לבדוק אם יש נתוני יומן חדשים (ברירת מחדל: 5s)

  • הגדרת הייצוא:

    • ‫uberagent: שם תיאורי של המייצא
    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫<customer_id>: מספר הלקוח מהשלב הקודם
    • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
    • ‫UBERAGENT: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
    • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

  • הגדרת צינור עיבוד הנתונים:

    • ‫uberagent_to_chronicle: שם תיאורי לצינור עיבוד הנתונים

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/uberagent:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: UBERAGENT
    raw_log_field: body
    ingestion_labels:
      env: production

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת פלט הקובץ של uberAgent

‫uberAgent תומך בכמה קצוות עורפיים של פלט. כדי לייצא נתונים כקבצים לאיסוף על ידי סוכן Bindplane:

  1. פותחים את קובץ התצורה של uberAgent‏ (uberAgent.conf) בנקודת הקצה או דרך מדיניות קבוצתית.

  2. הגדרת מקלט פלט מבוסס-קובץ:

    [Receiver]
Name = FileOutput
Type = File
Path = C:\uberAgent\logs\

  3. מגדירים את המדדים ואת סוגי המקורות לייצוא:

    • תהליך: אירועי התחלה/עצירה של תהליך, שימוש במשאבים.
    • כניסה: אירועי כניסה/יציאה של משתמשים.
    • רשת: אירועים שקשורים לחיבור לרשת.
    • אפליקציה: שימוש באפליקציה ושגיאות.

  4. שומרים את ההגדרה ומפעילים מחדש את שירות uberAgent.

  5. מוודאים שנוצרים קובצי יומן בספריית הפלט שהוגדרה.

  6. מוודאים שלסוכן Bindplane יש הרשאות קריאה בספרייה ובקבצים של היומן.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
SessionRpLatencyMs2, SessionHRes, SessionVRes, SessionColorDepth, SessionClientPlatform, SessionClientVersion, SessionClientOsLanguage, SessionPublishedName, SessionPublishedAppsCtx, SessionAppStateCtx, SessionEncryptionCtx, SessionClientTypeCtx, SessionBrokerDnsVmw, SessionBrokerUrlVmw, SessionBrokerTunneledVmw, SessionBrokerTunnelUrlVmw, SessionBrokerRemoteIpVmw, SessionBrokerUserVmw, SessionBrokerDomainVmw, SessionClientTimezoneVmw, SessionClientIdVmw, SessionTypeVmw, SessionBrokerType, SessionFgAppId, SessionFgAppVersion, SessionFgProcessName, SessionFgProcessId, SessionFgBrowserType, SessionFgBrowserActiveTabHost, SessionFgWindowTitle, SessionClientHwIdCtx2, SessionRoundTripTimeMs, SessionFps, SessionTransportProtocols, SessionProcessCount, SessionIOMB, SessionCPUTimeMs, SessionConnectionState, SessionUser, SessionIOCount, SessionNetKBPS, SessionWorkingSetMB, SessionCPUUsagePercent, SessionIOPS, SessionClientName, SessionIOLatencyMs, PowerSupportsS3, IsBatteryPresent, PowerSupportsS1, PowerSupportsS2, PowerSupportsS5, CPUMaxMhz, BaseboardSerial, CtxMachineCatalogName, AdDomainDns, HwHypervisorVendor, OsBuild, HwBiosVersion, PowerSupportsS4, HwIsVirtualMachine, IsUpsPresent, PowerSupportsConnectedStandby, OsInstallDate, Sourcetype, uberagent_index_name, data_stream.namespace, data_stream.dataset, data_stream.type, data_stream.subset, CPUCoresLogical, AdOu, AdDomainNetBios, logstash_pipeline, AdSite, CtxFarmName, CPUSockets, OsSpName, OsName, OsType, OsUpdateBuildRevision, ComputerNameCanonical, ComputerNameDn, CtxDeliveryGroupName, tags, user_agent.original additional.fields המיזוג מתבצע כצמדי מפתח/ערך מהשדות שמופיעים ברשימה
metadata.event_type הערך מוגדר כ-STATUS_UPDATE אם has_principal הוא true ו-has_target הוא false, כ-NETWORK_CONNECTION אם שניהם true, וכ-GENERIC_EVENT בכל מקרה אחר
SessionGUID metadata.product_log_id הערך הועתק ישירות
user_agent.original network.http.parsed_user_agent הומר לסוכן משתמש מנותח
user_agent.original network.http.user_agent הערך הועתק ישירות
SessionTransportProtocols network.ip_protocol צריך להגדיר ל-UDP אם יש התאמה ל-(?i)udp, ול-TCP אם יש התאמה ל-(?i)tcp
SessionID network.session_id הערך הועתק ישירות
SessionClientUserDomain principal.administrative_domain הערך הועתק ישירות
CPUCoresPhysical, RAMSizeGB, CPUName, HwManufacturer, OsArchitecture, BIOSSerial, HwModel principal.asset.hardware מוזג לאובייקט חומרה
‫SessionClientDomain, מארח principal.asset.hostname הערך מ-SessionClientDomain אם הוא לא ריק, אחרת המארח
prin_ip, ‏ SessionClientIp, ‏ system_ip principal.asset.ip הערך של prin_ip אם הוא לא ריק, אחרת SessionClientIp, אחרת system_ip
‫SessionClientDomain, מארח principal.hostname הערך מ-SessionClientDomain אם הוא לא ריק, אחרת המארח
prin_ip, ‏ SessionClientIp, ‏ system_ip principal.ip הערך מ-prin_ip אם הוא לא ריק, אחרת SessionClientIp, אחרת system_ip
SessionClientMac principal.mac ערך מ-SessionClientMac, כאשר התו - מוחלף בתו :, באותיות קטנות
SessionClientPlatform principal.platform הגדרה ל-WINDOWS אם יש התאמה ל-(?i)windows
SessionClientVersion principal.platform_version הגדרה לערך אם יש התאמה ל-windows‏ (?i)
SessionUser, ‏ SessionClientUser principal.user.user_display_name הערך מ-SessionUser אם הוא לא ריק, אחרת SessionClientUser
SessionBrokerRemoteIpVmw target.ip הערך הועתק ישירות
SessionBrokerUserVmw target.user.user_display_name הערך הועתק ישירות
SessionClientIdVmw target.user.userid הערך הועתק ישירות
metadata.product_name ההגדרה היא UBERAGENT
metadata.vendor_name צריך להגדיר את הערך "UBERAGENT"

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.