איסוף יומנים של Omnissa Horizon (לשעבר VMware Horizon)

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Omnissa Horizon (לשעבר VMware Horizon) ב-Google Security Operations באמצעות Bindplane.

‫Omnissa Horizon היא פלטפורמה של תשתית מחשבים וירטואליים (VDI) שמספקת מחשבים וירטואליים ואפליקציות למשתמשי קצה. הוא מאפשר לנהל באופן מרכזי מכונות וירטואליות, לעקוב אחרי סשנים ולאכוף מדיניות בסביבות מקומיות ובענן היברידי. המנתח מחלץ שדות מהודעות syslog גולמיות באמצעות ביטויים רגולריים (תבניות grok) וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין Omnissa Horizon Connection Server
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות למסוף Omnissa Horizon (תפקיד אדמין)

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane כדי להטמיע את syslog ולשלוח ל-Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_horizon:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_HORIZON
    raw_log_field: body

service:
  pipelines:
    logs/vmware_horizon_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_horizon

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:

      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):

      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps

    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.

    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.

    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vmware_horizon:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_HORIZON
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

  1. מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. מוודאים שהשירות פועל:

    sudo systemctl status observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

  1. בוחרים אחת מהאפשרויות האלה:

    • שורת הפקודה או PowerShell כאדמין:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • מסוף השירותים:
      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  2. מוודאים שהשירות פועל:

    sc query observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Omnissa Horizon (לשעבר VMware Horizon)

  1. נכנסים ל-Omnissa Horizon Console באמצעות חשבון אדמין.
  2. עוברים אל הגדרות > הגדרת אירועים.

  3. בקטע שליחה לשרתי syslog, לוחצים על הוספה.

  4. ממלאים את פרטי ההגדרה הבאים:

    • כתובת השרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514.
    • פרוטוקול: בוחרים באפשרות UDP.

  5. לוחצים על Save.

  6. כדי לוודא שהאירועים מועברים, בודקים את יומני הפעילות של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
ActionId metadata.product_log_id הערך של ActionId מהיומן הגולמי ממופה ל-metadata.product_log_id.
admin_domain principal.administrative_domain הערך של admin_domain מהיומן הגולמי ממופה ל-principal.administrative_domain.
BrokerName principal.hostname הערך של BrokerName מהיומן הגולמי ממופה ל-principal.hostname.
BrokerSessionId network.session_id הערך של BrokerSessionId מהיומן הגולמי ממופה ל-network.session_id.
ClientIpAddress principal.ip הערך של ClientIpAddress מהיומן הגולמי ממופה ל-principal.ip.
CurrentSessionLength network.session_duration.seconds הערך של CurrentSessionLength מהיומן הגולמי מומר למספר שלם ואז ממופה ל-network.session_duration.seconds.
description metadata.description הערך של description מהיומן הגולמי ממופה ל-metadata.description.
DesktopDisplayName principal.hostname הערך של DesktopDisplayName מהיומן הגולמי ממופה ל-principal.hostname.
EventType metadata.product_event_type הערך של EventType מהיומן הגולמי ממופה ל-metadata.product_event_type.
ForwardedClientIpAddress principal.nat_ip הערך של ForwardedClientIpAddress מהיומן הגולמי ממופה ל-principal.nat_ip.
GlobalEntitlementName target.user.group_identifiers הערך של GlobalEntitlementName מהיומן הגולמי ממופה ל-target.user.group_identifiers.
host principal.hostname הערך של host מהיומן הגולמי ממופה ל-principal.hostname.
MachineDnsName principal.url הערך של MachineDnsName מהיומן הגולמי ממופה ל-principal.url.
MachineName intermediary.hostname הערך של MachineName מהיומן הגולמי ממופה ל-intermediary.hostname.
Module additional.fields המפתח "Module" עם הערך Module מהיומן הגולמי מתווסף למערך additional.fields.
pid principal.process.pid הערך של pid מהיומן הגולמי ממופה ל-principal.process.pid.
PoolId additional.fields המפתח PoolId עם הערך PoolId מהיומן הגולמי נוסף למערך additional.fields.
program principal.application הערך של program מהיומן הגולמי ממופה ל-principal.application.
SessionType additional.fields המפתח "SessionType" עם הערך SessionType מהיומן הגולמי נוסף למערך additional.fields.
Severity security_result.severity הערך של Severity מהיומן הגולמי מומר לאותיות רישיות, ממופה לרמות חומרה כלליות ואז ממופה ל-security_result.severity.
timestamp metadata.event_timestamp הערך של timestamp מהיומן הגולמי מומר לפורמט המתאים ואז ממופה ל-metadata.event_timestamp.
UserDisplayName target.user.user_display_name הערך של UserDisplayName מהיומן הגולמי ממופה ל-target.user.user_display_name.
UserName target.user.userid הערך של UserName מהיומן הגולמי ממופה ל-target.user.userid.
UserSID target.user.windows_sid הערך של UserSID מהיומן הגולמי ממופה ל-target.user.windows_sid.
ViewApiMethodName additional.fields המפתח ViewApiMethodName עם הערך ViewApiMethodName מהיומן הגולמי מתווסף למערך additional.fields.
ViewApiServiceName additional.fields המפתח ViewApiServiceName עם הערך ViewApiServiceName מהיומן הגולמי נוסף למערך additional.fields.
extensions.auth.type הערך מוגדר כ-"SSO" אם השדה EventType הוא אחד מהבאים: "ADMIN_USERLOGGEDOUT",‏ "AGENT_CONNECTED",‏ "AGENT_DISCONNECTED",‏ "AGENT_ENDED",‏ "AGENT_PENDING",‏ "AGENT_PENDING_EXPIRED",‏ "AGENT_RECONNECTED",‏ "BROKER_DESKTOP_REQUEST",‏ "BROKER_LMV_REMOTE_POD_DESKTOP_LAUNCH",‏ "BROKER_MACHINE_ALLOCATED",‏ "BROKER_USER_AUTHFAILED_BAD_USER_PASSWORD",‏ "BROKER_USER_LOCK_SSO",‏ "BROKER_USERLOGGEDIN",‏ "BROKER_USERLOGGEDOUT",‏ "VLSI_USERLOGGEDIN",‏ "VLSI_INSUFFICIENT_PERMISSION",‏ "VLSI_USERLOGGEDIN_REST",‏ "TIMING_PROFILER_TUNNEL_CONNECTION",‏ "TIMING_PROFILER_GET_LAUNCH_ITEMS",‏ "TIMING_PROFILER_USER_AUTHENTICATION".
metadata.event_type הערך נקבע לפי השדה EventType. אם EventType הוא אחד מהערכים הבאים: "ADMIN_USERLOGGEDOUT",‏ "AGENT_DISCONNECTED",‏ "AGENT_ENDED",‏ "AGENT_PENDING_EXPIRED",‏ "BROKER_USER_LOCK_SSO",‏ "BROKER_USERLOGGEDOUT", אז metadata.event_type הוא "USER_LOGOUT". אם EventType הוא אחד מהערכים הבאים: "AGENT_CONNECTED",‏ "AGENT_PENDING",‏ "AGENT_RECONNECTED",‏ "BROKER_USERLOGGEDIN",‏ "VLSI_USERLOGGEDIN",‏ "VLSI_INSUFFICIENT_PERMISSION",‏ "VLSI_USERLOGGEDIN_REST", אז metadata.event_type הוא "USER_LOGIN". אם הערך של EventType הוא TIMING_PROFILER_GET_LAUNCH_ITEMS, הערך של metadata.event_type הוא STATUS_UNCATEGORIZED. אם הערך של EventType הוא AGENT_SHUTDOWN, הערך של metadata.event_type הוא STATUS_SHUTDOWN. אם EventType הוא אחד מהערכים "AGENT_STARTUP" או "BROKER_LMV_REMOTE_POD_DESKTOP_LAUNCH", אז metadata.event_type הוא "STATUS_STARTUP". אחרת, הערך של metadata.event_type הוא "GENERIC_EVENT".
metadata.log_type הערך מוגדר כ-"VMWARE_HORIZON".
metadata.product_name הערך מוגדר כ-"HORIZON".
metadata.vendor_name הערך מוגדר כ-"VMWARE".
SecurityID event.idm.read_only_udm.principal.user.windows_sid מופה מיומן השינויים
AccountName event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
AccountDomain event.idm.read_only_udm.principal.administrative_domain מופה מיומן השינויים
ObjectServer event.idm.read_only_udm.target.application מופה מיומן השינויים
ObjectName event.idm.read_only_udm.target.user.windows_sid מופה מיומן השינויים
HandleID event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
ProcessID event.idm.read_only_udm.principal.process.pid מופה מיומן השינויים
ProcessName event.idm.read_only_udm.principal.process.file.full_path מופה מיומן השינויים
LogonID event.idm.read_only_udm.principal.user.attribute.labels מופה מיומן השינויים
ObjectType event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
AccessMask event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
TransactionID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
PrivilegesUsedforAccessCheck event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Accesses event.idm.read_only_udm.additional.fields מופה מיומן השינויים
AccessReasons event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Properties event.idm.read_only_udm.additional.fields מופה מיומן השינויים
RestrictedSIDCount event.idm.read_only_udm.additional.fields מופה מיומן השינויים
usr target.user.userid מופה מיומן השינויים
MachineId principal.asset.asset_id מופה מיומן השינויים
int_host intermediary.hostname מופה מיומן השינויים
ip_1 principal.ip מופה מיומן השינויים
port_number principal.port מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.