איסוף יומנים של Varonis

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומני Varonis ב-Google Security Operations באמצעות סוכן Bindplane.

‫Varonis היא פלטפורמה לאבטחת מידע ולניתוח נתונים שמפיקה הודעות syslog בפורמט CEF ו-LEEF לאירועי גישה לקבצים, לשינויים בהרשאות, לפעילות אימות ולהתראות אבטחה של DatAlert. הכלי לניתוח מחלץ שדות מיומנים בפורמטים CEF, ‏ LEEF ופורמט של צמדי מפתח-ערך, וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת Varonis
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה מיוחדת ל-Varonis

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.
  3. מורידים את קובץ האימות להטמעת נתונים.

  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/varonis:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VARONIS
        raw_log_field: body

service:
    pipelines:
        logs/varonis_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/varonis

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת ייצוא של syslog ב-Varonis

  1. נכנסים לממשק המשתמש באינטרנט של Varonis.
  2. עוברים אל כלים > DatAlert > בחירה ב-DatAlert.
  3. לוחצים על הגדרה.
  4. מספקים את פרטי ההגדרה הבאים:
    • כתובת ה-IP של הודעת Syslog: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה של סוכן Bindplane (לדוגמה, 514 ל-UDP).
    • שם המתקן: בוחרים מתקן.
  5. לוחצים על אישור.

הגדרת פורמט syslog ב-Varonis

  1. עוברים אל כלים > DatAlert > תבניות של התראות.
  2. לוחצים על עריכת תבנית ההתראה ובוחרים באפשרות תבנית ברירת המחדל של מערכת חיצונית.
  3. בקטע Apply to alert methods (החלת ההגדרה על שיטות התראה), בוחרים באפשרות Syslog message (הודעת Syslog) מהרשימה.
  4. בתפריט, בוחרים באפשרות כללים > שיטת התראה.
  5. בוחרים באפשרות הודעת Syslog.
  6. לוחצים על OK.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
act security_result.summary הערך מהשדה act בהודעת ה-CEF.
cn1 security_result.rule_id הערך מהשדה cn1 בהודעת ה-CEF.
cs1 network.email.to הערך מהשדה cs1 בהודעת CEF, במיוחד הנמען של האימייל.
cs2 security_result.rule_name הערך מהשדה cs2 בהודעת ה-CEF.
device_version metadata.product_version הערך מהשדה device_version בהודעת ה-CEF.
dhost principal.hostname הערך מהשדה dhost בהודעת ה-CEF, שמייצג את שם המארח הראשי. אם file_server קיים והוא לא DirectoryServices, הוא מחליף את הערך הזה.
duser target.user.userid הערך מהשדה duser בהודעת ה-CEF. עובר טרנספורמציה של gsub כדי להסיר קווים נטויים הפוכים ולפצל ל-target.user.userid ול-target.administrative_domain.
dvchost target.hostname הערך מהשדה dvchost בהודעת ה-CEF.
filePath target.file.full_path הערך מהשדה filePath בהודעת ה-CEF.
rt metadata.event_timestamp הערך מהשדה rt בהודעת CEF, מנותח כחותמת זמן.
severity security_result.severity הערך מהשדה severity בהודעת CEF או בהודעת LEEF. הומר לאותיות רישיות. ממופה לערכי חומרה של UDM (נמוך, מידע, בינוני, גבוה, קריטי) על סמך ערך מספרי או מילת מפתח.
Acting Object target.user.user_display_name הערך מהשדה Acting Object בנתוני המפתח/ערך. מפצלים לפי '\' כדי לחלץ את השם המוצג.
Acting Object SAM Account Name target.user.userid הערך מהשדה Acting Object SAM Account Name בנתוני המפתח/ערך.
Device hostname target.hostname הערך מהשדה Device hostname בנתוני המפתח/ערך.
Device IP address target.ip הערך מהשדה Device IP address בנתוני המפתח/ערך.
Event Time metadata.event_timestamp הערך מהשדה Event Time בנתוני המפתח-ערך, שנותח כחותמת זמן.
Event Type target.application, metadata.event_type הערך מהשדה Event Type בנתוני המפתח/ערך. הפרמטר הזה משמש להפקת הערך metadata.event_type (FILE_OPEN, ‏ USER_CHANGE_PERMISSIONS, ‏ USER_CHANGE_PASSWORD, ‏ USER_UNCATEGORIZED).
File Server/Domain principal.hostname הערך מהשדה File Server/Domain בנתוני המפתח/ערך. אם לא, הוא מחליף את principal.hostname שנגזר מ-dhost.
Path target.file.full_path הערך מהשדה Path בנתוני המפתח/ערך.
Rule Description metadata.description הערך מהשדה Rule Description בנתוני המפתח/ערך.
Rule ID security_result.rule_id הערך מהשדה Rule ID בנתוני המפתח/ערך.
Rule Name security_result.rule_name הערך מהשדה Rule Name בנתוני המפתח/ערך.
intermediary_host intermediary.hostname ערך שחולץ על ידי grok, שמייצג את שם המארח של המתווך.
log_type metadata.log_type הוזן קוד קשיח ל-VARONIS.
metadata.event_type metadata.event_type הערך נגזר על סמך הערכים של evt_typ,‏ act ו-filepath. ברירת המחדל היא STATUS_UPDATE אם event_type הוא GENERIC_EVENT ו-principal_hostname קיים.
metadata.product_name metadata.product_name הערך מוטמע כ-VARONIS, אבל אפשר להחליף אותו בשדה product_name מהודעת LEEF.
metadata.vendor_name metadata.vendor_name הערך מוטמע כ-VARONIS, אבל אפשר להחליף אותו בשדה vendor מהודעת LEEF.
prin_host principal.hostname הערך שחולץ על ידי grok, שמייצג את שם המארח הראשי.
product_name metadata.product_name ערך מהודעת LEEF.
security_result.action security_result.action הערך נגזר מהשדה result או מהשדה Event Status. אם התוצאה היא Success, הערך שמוגדר הוא ALLOW. אחרת, הערך שמוגדר הוא BLOCK.
timestamp timestamp, metadata.event_timestamp חותמת הזמן של האירוע נגזרת משדות שונים (datetime1, event_time, start_datetime, datetime2) בהתאם לזמינות. הערך create_time מהיומן הגולמי משמש כגיבוי וממופה גם ל-timestamp וגם ל-metadata.event_timestamp אם אין שדות אחרים של חותמות זמן.
vendor metadata.vendor_name ערך מהודעת LEEF.
fname event.idm.read_only_udm.target.file.names מופה מיומן השינויים
msg event.idm.read_only_udm.security_result.description מופה מיומן השינויים
cs7 event.idm.read_only_udm.security_result.url_back_to_product מופה מיומן השינויים
usrName principal.user.userid מופה מיומן השינויים
Event_Type metadata.product_event_type מופה מיומן השינויים
domain prinicipal.administrative_domain מופה מיומן השינויים
proto", "cat", "Event_Additional_Data", "Event_Status", "Email_Attachment_Name", "Email_Date", "Account_of_Changed_Permissions", "Permissions_Changes", "Permissions_before_Change", and "Permissions_after_Change additional.fields מופה מיומן השינויים
Affected_Object_Path taregt.file.full_path מופה מיומן השינויים
Affected_Object security_result.detection_fields מופה מיומן השינויים
src principal.ip מופה מיומן השינויים
Alert_ID security_result.rule_id מופה מיומן השינויים
Email_Recipients network.email.to מופה מיומן השינויים
Email_Item", "Mailbox_Access_by_Owner", "Threshold_Value", "Threshold_First_Timestamp", "Event_by_MailboxOwner", and "Email_Sender additional.fields מופה מיומן השינויים
Email_Sender network.email.from מופה מיומן השינויים
accountName target.user.userid מופה מיומן השינויים
Device_Name taregt.hostname מופה מיומן השינויים
Event_Type_ID metadata.product_log_id מופה מיומן השינויים
Event_File_Server_Domain target.administrative_domain מופה מיומן השינויים
Alert_Page_URL taregt.url מופה מיומן השינויים
devTime metadata.event_timestamp מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.