CyberArk Machine Identity Security 로그 수집 (이전 명칭: Venafi)

다음에서 지원:

이 문서에서는 Bindplane을 사용하여 CyberArk Machine Identity Security (이전 명칭: Venafi) 로그를 Google Security Operations에 수집하는 방법을 설명합니다. CyberArk Machine Identity Security는 자동화된 인증서 수명 주기 관리, 머신 ID 보호, 제로 트러스트 PKI 서비스를 제공합니다. 이를 통해 조직은 인프라 전반에서 TLS/SSL 인증서와 암호화 키의 프로비저닝 및 갱신을 검색, 관리, 자동화할 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스입니다.
  • systemd가 있는 Windows 2016 이상 또는 Linux 호스트
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • Venafi Configuration Console (VCC)에 대한 액세스 권한

Google SecOps 수집 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.

  3. 데이터 수집 인증 파일을 다운로드합니다.

    • Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

추가 설치 리소스

추가 설치 옵션은 이 설치 가이드를 참고하세요.

Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

  1. 구성 파일에 액세스합니다.

    • config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
    • 텍스트 편집기 (예: nano, vi 또는 메모장)를 사용하여 파일을 엽니다.

  2. 다음과 같이 config.yaml 파일을 수정합니다.

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <your_customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VENAFI_ZTPKI'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.
  • <your_customer_id>를 실제 고객 ID로 바꿉니다.
  • 1단계에서 인증 파일을 저장한 파일 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

  1. Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart observiq-otel-collector

  2. Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

    net stop observiq-otel-collector && net start observiq-otel-collector

CyberArk Machine Identity Security (이전 명칭: Venafi)에서 Syslog 전달 구성

  1. Venafi Configuration Console (VCC)에 로그인합니다.
  2. 구성 > 시스템 환경설정 > 로깅으로 이동합니다.

  3. Syslog 설정 섹션에서 Syslog 사용 설정을 선택합니다.

  4. 다음 구성 세부정보를 제공합니다.

    • Syslog 서버: Bindplane 에이전트 호스트의 IP 주소를 입력합니다.
    • 포트: 514 (또는 Bindplane 에이전트에서 구성한 포트)를 입력합니다.
    • 프로토콜: TCP를 선택합니다.
    • Syslog 형식: RFC 5424 (권장) 또는 RFC 3164를 선택합니다.

  5. 로그 카테고리 섹션에서 전달할 이벤트 유형을 선택합니다.

    • 인증서 수명 주기 이벤트 (발급, 갱신, 취소)
    • 정책 위반 및 규정 준수 알림
    • 인증 및 승인 이벤트
    • 관리 작업 및 구성 변경사항
    • 탐색 스캔 결과

  6. 저장을 클릭하여 구성을 적용합니다.

  7. 호스트 시스템에서 Bindplane 에이전트 로그를 확인하여 로그가 전송되고 있는지 확인합니다.

버전별 자세한 안내는 Venafi 문서를 참고하거나 CyberArk 지원팀에 문의하세요.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
account_list additional.fields 병합됨
data_name_label additional.fields 병합됨
data_value_label additional.fields 병합됨
grouping_name_label additional.fields 병합됨
grouping_value_label additional.fields 병합됨
text1_name_label additional.fields 병합됨
text2_name_label additional.fields 병합됨
text2_value_label additional.fields 병합됨
value1_name_label additional.fields 병합됨
value2_name_label additional.fields 병합됨
value2_value_label additional.fields 병합됨
description metadata.description 직접 매핑됨
created_at metadata.event_timestamp ISO8601로 파싱됨
not_after metadata.event_timestamp ISO8601로 파싱됨
not_before metadata.event_timestamp ISO8601로 파싱됨
time_stamp metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ로 파싱됨
timestamp metadata.event_timestamp ISO8601로 파싱됨
has_principal metadata.event_type 매핑됨: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type 매핑됨: true → USER_UNCATEGORIZED
name metadata.product_event_type 직접 매핑됨
%{id} metadata.product_log_id 병합됨
event_id metadata.product_log_id 직접 매핑됨
id metadata.product_log_id id이(가) ``이 아닌 경우 매핑됩니다.
organization_name network.organization_name 직접 매핑됨
issuer_dn network.tls.client.certificate.issuer 직접 매핑됨
serial network.tls.client.certificate.serial 직접 매핑됨
fingerprint network.tls.client.certificate.sha1 직접 매핑됨
fingerprint_sha256 network.tls.client.certificate.sha256 직접 매핑됨
dvc_ip principal.asset.ip 병합됨
dvc_ip principal.ip 병합됨
organization_id_label principal.user.attribute.labels 병합됨
subject_dn_label principal.user.attribute.labels 병합됨
user_email principal.user.email_addresses 매핑됨: ^.+@.+$ → user_email
common_name principal.user.user_display_name 직접 매핑됨
user_id principal.user.userid 직접 매핑됨
certificate_id_label security_result.detection_fields 병합됨
certificate_request_id_label security_result.detection_fields 병합됨
deleted_at_label security_result.detection_fields 병합됨
imported_label security_result.detection_fields 병합됨
key_algorithm_label security_result.detection_fields 병합됨
key_size_label security_result.detection_fields 병합됨
revocation_reason_label security_result.detection_fields 병합됨
revocation_status_label security_result.detection_fields 병합됨
signature_algorithm_label security_result.detection_fields 병합됨
updated_at_label security_result.detection_fields 병합됨
policy_id security_result.rule_id 직접 매핑됨
policy_name security_result.rule_name 직접 매핑됨
text1_value target.asset.ip 병합됨
text1_value target.ip 병합됨
target_port target.port 직접 매핑됨
subsystem_label target.resource.attribute.labels 병합됨
object target.resource.name 직접 매핑됨
object_id target.resource.product_object_id 직접 매핑됨
account_name target.user.user_display_name 직접 매핑됨
account_id target.user.userid 직접 매핑됨
해당 사항 없음 metadata.event_type 상수: GENERIC_EVENT
해당 사항 없음 metadata.product_name 상수: VENAFI ZTPKI
해당 사항 없음 metadata.vendor_name 상수: VENAFI ZTPKI
해당 사항 없음 security_result.severity 상수: LOW
time_stamp event.idm.read_only_udm.metadata.event_timestamp 변경 로그에서 매핑됨
name event.idm.read_only_udm.metadata.product_event_type 변경 로그에서 매핑됨
dvc_ip event.idm.read_only_udm.principal.ip 및 event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
object event.idm.read_only_udm.target.resource.name 변경 로그에서 매핑됨
object_subsystem event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
event_id event.idm.read_only_udm.metadata.product_log_id 변경 로그에서 매핑됨
description event.idm.read_only_udm.metadata.description 변경 로그에서 매핑됨
object_id event.idm.read_only_udm.target.resource.product_object_id 변경 로그에서 매핑됨
value1.value event.idm.read_only_udm.target_port 변경 로그에서 매핑됨
value1.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
text2.value event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
data.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
data.value event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
grouping.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
grouping.value event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
value2.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
value2.value event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
text1.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
text2.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
text1.value event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip 변경 로그에서 매핑됨
severity event.idm.read_only_udm.security_result.severity 변경 로그에서 매핑됨
key_size" and "key_algorithm security_result.detection_fields 변경 로그에서 매핑됨
fringerprint_sha1 network.tls.client.certificate.sha1 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.