איסוף יומנים של Omnissa Workspace ONE UEM (לשעבר VMware Workspace ONE)

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Omnissa Workspace ONE UEM (לשעבר VMware Workspace ONE) ב-Google Security Operations באמצעות Bindplane.

‫Omnissa Workspace ONE UEM היא פלטפורמה מאוחדת לניהול נקודות קצה שמאפשרת לארגונים לנהל ולאבטח מכשירים, אפליקציות ונתונים בנקודות קצה ניידות, שולחניות, מחוספסות ושל IoT. הכלי מנתח הודעות syslog מ-Workspace ONE UEM, מחלץ שדות כמו אירועי תאימות של מכשירים, פעולות ניהול אפליקציות, שינויים בסטטוס ההרשמה ופעולות ניהול במסוף, וממפה אותם למודל נתונים מאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדרישות המוקדמות הבאות: * מכונה של Google SecOps * Windows Server 2016 ואילך, או מארח Linux עם systemd * קישוריות רשת בין סוכן Bindplane לבין מסוף Omnissa Workspace ONE UEM * אם אתם פועלים מאחורי שרת proxy, ודאו שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane * הרשאת אדמין למסוף Omnissa Workspace ONE UEM

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.

3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/workspace_one:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VMWARE_WORKSPACE_ONE
          raw_log_field: body
  
  service:
      pipelines:
          logs/workspace_one_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/workspace_one
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:

• ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

הגדרת כלי הייצוא:

• ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
  • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
• ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
  • ארה"ב: malachiteingestion-pa.googleapis.com
  • אירופה: europe-malachiteingestion-pa.googleapis.com
  • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
  • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

• שורת הפקודה או PowerShell כאדמין:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

• מסוף השירותים:

  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.

  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  4. מוודאים שהשירות פועל:

     sc query observiq-otel-collector
     

  5. בודקים אם יש שגיאות ביומנים:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

הגדרת העברת syslog ב-Omnissa Workspace ONE UEM

1. נכנסים למסוף Omnissa Workspace ONE UEM.
2. עוברים אל הגדרות > מערכת > שילוב עם ארגונים > Syslog.
3. בוחרים באפשרות מופעל כדי להפעיל את השילוב של syslog.

4. ממלאים את פרטי ההגדרה הבאים:

   • שם המארח: מזינים את כתובת ה-IP או את שם המארח של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514.
   • Protocol: בוחרים באפשרות TCP.
   • Syslog Facility: בוחרים באפשרות Local0 או באפשרות אחרת שמתאימה לסביבה שלכם.
   • תג הודעה: מזינים תג תיאורי (לדוגמה, WorkspaceONE).
   הערה: הפרוטוקול והיציאה צריכים להיות זהים להגדרות של מקלט סוכן Bindplane. במדריך הזה נעשה שימוש ב-TCP ביציאה 514.

5. בקטע Event Categories, בוחרים את סוגי האירועים שרוצים להעביר:

   • אירועים במכשיר – הרשמה, עמידה בדרישות ושינויים בסטטוס המכשיר
   • אירועים במסוף – פעולות של אדמינים ושינויים בהגדרות
   • אירועים שקשורים לאפליקציות – התקנה, הסרה ופעולות ניהול של אפליקציות
   • אירועי תאימות – הפרות מדיניות תאימות ופעולות תיקון

6. לוחצים על שמירה כדי להחיל את ההגדרה של syslog.

7. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

   הערה: בגרסה 2410 ואילך של מסוף Workspace ONE UEM, יכול להיות שבממשק המשתמש יוצג מיתוג מעודכן של Omnissa, אבל בחלק מההפניות הפנימיות עדיין יוצגו שמות של VMware או AirWatch. השינוי הזה לא משפיע על הפונקציונליות של syslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
AdminAccount	principal.user.userid	השדה AdminAccount מיומן הגולמי ממופה לשדה principal.user.userid.
Application	target.application	השדה Application מיומן הגולמי ממופה לשדה target.application.
ApplicationUUID	additional.fields	השדה ApplicationUUID מהיומן הגולמי מתווסף כמפתח/ערך למערך additional.fields ב-UDM. המפתח הוא ApplicationUUID.
BytesReceived	network.received_bytes	השדה BytesReceived מהיומן הגולמי ממופה לשדה network.received_bytes.
Device	target.hostname	השדה Device מיומן הגולמי ממופה לשדה target.hostname.
FriendlyName	target.hostname	השדה FriendlyName מיומן הרישום הגולמי ממופה לשדה target.hostname כשהשדה Device לא זמין.
GroupManagementData	security_result.description	השדה GroupManagementData מיומן הגולמי ממופה לשדה security_result.description.
Hmac	additional.fields	השדה Hmac מהיומן הגולמי מתווסף כמפתח/ערך למערך additional.fields ב-UDM. המפתח הוא Hmac.
LoginSessionID	network.session_id	השדה LoginSessionID מיומן הגולמי ממופה לשדה network.session_id.
LogDescription	metadata.description	השדה LogDescription מיומן הגולמי ממופה לשדה metadata.description.
MessageText	metadata.description	השדה MessageText מיומן הגולמי ממופה לשדה metadata.description.
OriginatingOrganizationGroup	principal.user.group_identifiers	השדה OriginatingOrganizationGroup מהיומן הגולמי ממופה לשדה principal.user.group_identifiers.
OwnershipType	additional.fields	השדה OwnershipType מהיומן הגולמי מתווסף כמפתח/ערך למערך additional.fields ב-UDM. המפתח הוא OwnershipType.
Profile	target.resource.name	השדה Profile מיומן הרישום הגולמי ממופה לשדה target.resource.name כשהשדה ProfileName לא זמין.
ProfileName	target.resource.name	השדה ProfileName מהיומן הגולמי ממופה לשדה target.resource.name.
Request Url	target.url	השדה Request Url מיומן הגולמי ממופה לשדה target.url.
SmartGroupName	target.group.group_display_name	השדה SmartGroupName מיומן הגולמי ממופה לשדה target.group.group_display_name.
Tags	additional.fields	השדה Tags מהיומן הגולמי נוסף כצמד מפתח/ערך למערך additional.fields ב-UDM. המפתח הוא Tags.
User	target.user.userid	השדה User מיומן הגולמי ממופה לשדה target.user.userid. הערך Event Category מיומן הגולמי מתווסף כמפתח/ערך למערך additional.fields ב-UDM. המפתח הוא Event Category (קטגוריית אירוע). הערך Event Module מהיומן הגולמי מתווסף כמפתח/ערך למערך additional.fields ב-UDM. המפתח הוא Event Module (מודול אירועים). הערך Event Source מהיומן הגולמי מתווסף כמפתח/ערך למערך additional.fields ב-UDM. המפתח הוא Event Source (מקור האירוע). הערך מוגדר ל-SSO על ידי מנתח התוכן לאירועים ספציפיים. נגזר מחותמת הזמן של היומן הגולמי. הכלי לניתוח מחלץ את התאריך והשעה מיומן הגולמי וממיר אותם לחותמת זמן של UDM. הערך נקבע על ידי מנתח התוכן על סמך event_name ושדות אחרים. אפשר לראות את הלוגיקה של המיפוי בקוד של כלי הניתוח. מוגדר כ-"AIRWATCH" על ידי המנתח. השדה event_name מהיומן הגולמי ממופה לשדה metadata.product_event_type. הערך שמוגדר הוא AirWatch על ידי מנתח התוכן. הערך מוגדר ל-VMWare על ידי מנתח התוכן. השדה domain מיומן הגולמי ממופה לשדה principal.administrative_domain. השדה hostname נשלף מהשדה device_name ביומן הגולמי או ממופה מהשדות Device או FriendlyName. השדה sys_ip מהיומן הגולמי ממופה לשדה principal.ip. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. השדה user_name מיומן הגולמי ממופה לשדה principal.user.userid. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. מוגדר על ידי כלי הניתוח לאירועים ספציפיים. מוגדר על ידי המנתח לאירועים ספציפיים. השדה event_category מהיומן הגולמי ממופה לשדה security_result.category_details. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. השדה domain מיומן הגולמי ממופה לשדה target.administrative_domain. הערך הזה נוצר משילוב של DeviceSerialNumber ו-DeviceUdid מיומן הגולמי של האירוע DeleteDeviceRequested. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. הנתונים נשלפים מהיומן הגולמי של סוגי אירועים מסוימים. כתובת ה-IP‏ sys_ip או כתובות IP אחרות מיומני הגולמיים ממופות לשדה target.ip. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. מוגדר על ידי כלי הניתוח לאירועים ספציפיים. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים. הערך הזה מחולץ מהיומן הגולמי עבור סוגים מסוימים של אירועים.

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.