收集 Vectra Detect 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Vectra Detect 記錄檔擷取至 Google Security Operations。剖析器會將 SYSLOG、JSON 和 CEF 格式的記錄轉換為統一資料模型 (UDM)。首先，系統會移除不必要的字元和欄位，將資料標準化，然後使用 grok 模式從不同記錄格式中擷取資訊，最後將擷取的欄位對應至相應的 UDM 屬性。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 BindPlane 代理程式需求開啟
Vectra UI 的特殊存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

安裝 Linux

開啟具備根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
1. 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
2. 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VECTRA_DETECT'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

視基礎架構需求替換通訊埠和 IP 位址。
將 <CUSTOMER_ID> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart bindplane-agent
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

設定 Vectra Detect 傳送 Syslog

登入 Vectra Detect 使用者介面。
依序前往「設定」>「通知」。
前往「系統記錄」Syslog部分。
按一下「編輯」，即可新增或編輯 Syslog 設定。
- 目的地：輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號。
- 通訊協定：根據實際的 Bindplane 代理程式設定，選取 UDP 或 TCP。
- 格式：選取「JSON」。
- 記錄類型：選取要傳送至 Google SecOps 的記錄。
- 選取「Include Enhanced Details」(包含詳細資料) 核取方塊。
右側會顯示三個切換按鈕，可供您進行其他設定：
- 納入已分類的偵測結果：關閉這項設定後，系統就不會在建立或更新已分類的偵測結果時傳送 Syslog 訊息。
- 在「資訊」類別中加入偵測結果：關閉後，系統就不會在建立或更新「資訊」類別中的偵測結果時傳送系統記錄訊息。
- 包含主機/帳戶分數下降：關閉這項設定後，如果威脅和確定度分數都下降和/或維持不變，系統就不會傳送系統記錄訊息。
按一下 [儲存]。
按一下「測試」，測試設定。

UDM 對應表

記錄欄位	UDM 對應	邏輯
動作	read_only_udm.security_result.action	如果稽核事件中的 [result] 為「true」或「failure」，則取自「action」欄位的值。
category	read_only_udm.security_result.category_details	取自「category」欄位的值。
確定度	read_only_udm.security_result.confidence	如果 [certainty] 介於 0 到 35 之間，請設為「LOW_CONFIDENCE」。如果 [certainty] 介於 35 到 70 之間，請設為「MEDIUM_CONFIDENCE」。如果 [certainty] 介於 70 到 100 之間，請設為「HIGH_CONFIDENCE」。
dd_bytes_rcvd	read_only_udm.network.received_bytes	取自「dd_bytes_rcvd」欄位的值。
dd_bytes_sent	read_only_udm.network.sent_bytes	取自「dd_bytes_sent」欄位的值。
dd_dst_dns	read_only_udm.target.hostname	取自「dd_dst_dns」欄位的值。
dd_dst_dns	read_only_udm.target.asset.hostname	取自「dd_dst_dns」欄位的值。
dd_dst_ip	read_only_udm.target.asset.ip	取自「dd_dst_ip」欄位的值。
dd_dst_ip	read_only_udm.target.ip	取自「dd_dst_ip」欄位的值。
dd_dst_port	read_only_udm.target.port	取自「dd_dst_port」欄位的值。
detection_id	read_only_udm.metadata.product_log_id	值取自「detection_id」欄位。
detection_profile.name	read_only_udm.security_result.detection_fields	索引鍵為「detection_profile name」，值取自「detection_profile.name」欄位。
detection_profile.scoringDetections	read_only_udm.security_result.detection_fields	鍵為「detectionprofile scoringDetections{index}」，值取自「detection_profile.scoringDetections」陣列中的每個元素。
detection_profile.vname	read_only_udm.security_result.detection_fields	索引鍵為「detection_profile vname」，值取自「detection_profile.vname」欄位。
dest_ip	read_only_udm.target.asset.ip	取自廣告活動事件的「dest_ip」欄位值。
dest_ip	read_only_udm.target.ip	取自廣告活動事件的「dest_ip」欄位值。
dest_name	read_only_udm.target.asset.hostname	取自廣告活動事件的「dest_name」欄位。
dest_name	read_only_udm.target.hostname	取自廣告活動事件的「dest_name」欄位。
d_type	read_only_udm.additional.fields	鍵為「d_type」，值取自「d_type」欄位。
d_type_vname	read_only_udm.additional.fields	索引鍵為「d_type_vname」，值取自「d_type_vname」欄位。
dvchost	read_only_udm.observer.hostname	取自「dvchost」欄位的值。
dvchost	read_only_udm.principal.asset.hostname	如果 HOST 事件中的 [host_name] 為空，則取自「dvchost」欄位。
dvchost	read_only_udm.principal.hostname	如果 HOST 事件中的 [host_name] 為空，則取自「dvchost」欄位。
headend_addr	read_only_udm.observer.ip	取自「headend_addr」欄位的值。
headend_addr	read_only_udm.principal.asset.ip	如果「Detections Events」中的 [host_ip] 為空，則取自「headend_addr」欄位。
headend_addr	read_only_udm.principal.ip	如果「Detections Events」中的 [host_ip] 為空，則取自「headend_addr」欄位。
href	read_only_udm.target.url	取自「href」欄位的值。
host_id	read_only_udm.target.asset_id	在主機事件中，值為「VectraAI.DETECT:{host_id}」。
host_ip	read_only_udm.principal.asset.ip	取自 HOST 和偵測事件中「host_ip」欄位的值。
host_ip	read_only_udm.principal.ip	取自 HOST 和偵測事件中「host_ip」欄位的值。
host_name	read_only_udm.principal.asset.hostname	值取自「host_name」欄位。
host_name	read_only_udm.principal.hostname	值取自「host_name」欄位。
msg_data	read_only_udm.security_result.summary	取自稽核和健康狀態事件的「msg_data」欄位。
象限	read_only_udm.security_result.priority_details	取自「象限」欄位的值。
result	read_only_udm.security_result.action	如果 [result] 為「true」，請設為「ALLOW」。如果 [結果] 為「失敗」，請在稽核事件中設為「BLOCK」。
result	read_only_udm.security_result.detection_fields	索引鍵為「result」，值取自稽核和健康狀態事件中的「result」欄位。
角色	read_only_udm.target.user.attribute.roles.name	取自稽核事件的「角色」欄位。
嚴重性	read_only_udm.security_result.severity	如果 [threat] 介於 0 到 20 之間，請設為「INFORMATIONAL」。如果 [威脅] 介於 20 到 40 之間，請設為「低」。如果 [威脅] 介於 40 到 60 之間，請設為「中」。如果 [威脅] 介於 60 到 80 之間，請設為「高」。如果 [威脅] 介於 80 到 100 之間，請設為「重大」。
嚴重性	read_only_udm.security_result.severity_details	取自「嚴重程度」欄位的值。
source_ip	read_only_udm.principal.asset.ip	取自稽核和健康狀態事件中的「source_ip」欄位。
source_ip	read_only_udm.principal.ip	取自稽核和健康狀態事件中的「source_ip」欄位。
src	read_only_udm.principal.asset.ip	取自 CEF 事件的「src」欄位。
src	read_only_udm.principal.ip	取自 CEF 事件的「src」欄位。
src_ip	read_only_udm.principal.asset.ip	取自廣告活動事件中的「src_ip」欄位。
src_ip	read_only_udm.principal.ip	取自廣告活動事件中的「src_ip」欄位。
src_name	read_only_udm.principal.asset.hostname	如果 [host_name] 和 [dvchost] 為空白，則取自「src_name」欄位的值。
src_name	read_only_udm.principal.hostname	如果 [host_name] 和 [dvchost] 為空白，則取自「src_name」欄位的值。
威脅	read_only_udm.security_result.severity	如果 [threat] 介於 0 到 20 之間，請設為「INFORMATIONAL」。如果 [威脅] 介於 20 到 40 之間，請設為「低」。如果 [威脅] 介於 40 到 60 之間，請設為「中」。如果 [威脅] 介於 60 到 80 之間，請設為「高」。如果 [威脅] 介於 80 到 100 之間，請設為「重大」。
已分類	read_only_udm.additional.fields	索引鍵為「triaged」，值取自「triaged」欄位。
類型	read_only_udm.metadata.product_event_type	取自健康事件的「類型」欄位。
使用者	read_only_udm.target.user.userid	取自稽核事件的「user」欄位。
vectra_timestamp	read_only_udm.metadata.event_timestamp	取自「vectra_timestamp」欄位的值。
版本	read_only_udm.metadata.product_version	取自「版本」欄位的值。
	read_only_udm.metadata.event_type	如果 [msg_data] 包含「log in」，且 [user] 在稽核事件中不為空白，則設為「USER_LOGIN」。
	read_only_udm.metadata.event_type	在 HOST 事件中設為「SCAN_HOST」。
	read_only_udm.metadata.event_type	如果 [host_ip] 不為空白、[principal_present] 為 true，且 [target_present] 在偵測事件中為 true，請設為「NETWORK_HTTP」。
	read_only_udm.metadata.event_type	如果「偵測事件」中的 [principal_present] 為 true，請設為「STATUS_UPDATE」。
	read_only_udm.metadata.event_type	如果「偵測事件」中的 [principal_present] 和 [target_present] 均為 true，請設為「NETWORK_CONNECTION」。
	read_only_udm.metadata.event_type	如果 [event_type] 為「GENERIC_EVENT」，[principal_present] 為 true，且 [target_present] 為 true，則設為「NETWORK_CONNECTION」。
	read_only_udm.metadata.event_type	如果 [event_type] 為「GENERIC_EVENT」，且 [principal_present] 為 true，請設為「STATUS_UPDATE」。
	read_only_udm.metadata.log_type	設為「VECTRA_DETECT」。
	read_only_udm.metadata.vendor_name	設為「Vectra.AI」。
	read_only_udm.metadata.product_name	設為「DETECT」。
	read_only_udm.network.application_protocol	如果 [dd_dst_port] 為 80，請設為「HTTP」。
	read_only_udm.network.application_protocol	如果 [dd_dst_port] 為 443，請設為「HTTPS」。
	read_only_udm.network.application_protocol	如果「Detections Events」中的 [principal_present] 和 [target_present] 均為 true，請設為「UNKNOWN_APPLICATION_PROTOCOL」。
	read_only_udm.network.http.method	設為「METHOD_OTHER」。
	read_only_udm.extensions.auth.type	如果 [msg_data] 在稽核事件中包含「log in」，請設為「AUTHTYPE_UNSPECIFIED」。
	is_alert	如果 [triaged] 為 true，則設為「true」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。