איסוף יומני מתח

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Voltage SecureMail ב-Google Security Operations באמצעות סוכן Bindplane.

‫Voltage SecureMail היא פלטפורמה להצפנת אימיילים שיוצרת הודעות syslog לאירועים של הצפנה או פענוח של אימיילים, אכיפת מדיניות ופעולות ניהוליות.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין שרת Voltage SecureMail
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למסוף הניהול של Voltage SecureMail

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/voltage:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VOLTAGE
      raw_log_field: body
  
  service:
    pipelines:
      logs/voltage_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/voltage
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/voltage:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VOLTAGE
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ב-Voltage SecureMail

1. נכנסים למסוף הניהול של Voltage SecureMail.
2. עוברים אל System > Syslog Settings.
3. מזינים את פרטי ההגדרה הבאים:
   • כתובת השרת: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות UDP.
   • מתקן: בוחרים את מתקן ה-syslog המתאים.
   • רמת היומן: בוחרים את רמת היומן הרצויה.
4. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
attemptedAuthMethods_label	additional.fields	ממוזג
authTokens_label	additional.fields	ממוזג
elapsedTimeMillis_label	additional.fields	ממוזג
isUserPassSet_label	additional.fields	ממוזג
keyId_label	additional.fields	ממוזג
leadingDigits_label	additional.fields	ממוזג
masked_label	additional.fields	ממוזג
merchantId_label	additional.fields	ממוזג
out_label	additional.fields	ממוזג
phaseBit_label	additional.fields	ממוזג
proxyType_label	additional.fields	ממוזג
rollover_label	additional.fields	ממוזג
trailingDigits_label	additional.fields	ממוזג
AuthenticationMethod	extensions.auth.mechanism	מופה: USER_PASSWORD ← mechanism
mechanism	extensions.auth.mechanism	ממוזג
has_principal	extensions.auth.type	מיפוי: true → AUTHTYPE_UNSPECIFIED
proxyConnectionIp	intermediary.asset.ip	ממוזג
inter_hostname	intermediary.hostname	מיפוי ישיר
proxyConnectionIp	intermediary.ip	ממוזג
description	metadata.description	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true ← USER_LOGIN, ‏ true ← NETWORK_CONNECTION, ‏ true ← STATUS_UPDATE
has_user	metadata.event_type	מיפוי: true → USER_UNCATEGORIZED
prod_event_name	metadata.product_event_type	מיפוי ישיר
event_id	metadata.product_log_id	מיפוי ישיר
cef_product	metadata.product_name	מיפוי ישיר
version	metadata.product_version	מיפוי ישיר
request	network.http.referral_url	מיפוי ישיר
length	network.received_bytes	מיפוי ישיר
requestTimeMillis	network.session_duration.nanos	מיפוי ישיר
timeMillis	network.session_duration.seconds	מיפוי ישיר
sessionid	network.session_id	מיפוי ישיר
cvProduct	observer.application	מיפוי ישיר
cvapi_label	observer.labels	ממוזג
cvdevice_label	observer.labels	ממוזג
cvframework_label	observer.labels	ממוזג
cvos	observer.platform	מיפוי: Li ← LINUX, ‏ Win ← WINDOWS
requestClientApplication	principal.application	מיפוי ישיר
src_hostname	principal.asset.hostname	מיפוי ישיר
ip	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
src_hostname	principal.hostname	מיפוי ישיר
ip	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
src_port	principal.port	שם שונה/מיפוי
identity	principal.user.email_addresses	מופה: (.*)@(.*) ← identity
user	principal.user.userid	מיפוי ישיר
username	principal.user.userid	מיפוי ישיר
sec_action	security_result.action	ממוזג
msg	security_result.description	מיפוי ישיר
CachedAuthentication_label	security_result.detection_fields	ממוזג
acceptBadData_label	security_result.detection_fields	ממוזג
algorithm_label	security_result.detection_fields	ממוזג
authMethodName_label	security_result.detection_fields	ממוזג
authTimeMillis_label	security_result.detection_fields	ממוזג
authType_label	security_result.detection_fields	ממוזג
format_label	security_result.detection_fields	ממוזג
fullIdentity_label	security_result.detection_fields	ממוזג
hsmEnabled_label	security_result.detection_fields	ממוזג
returnEncryptedKeyOption_label	security_result.detection_fields	ממוזג
returnFullIdentity_label	security_result.detection_fields	ממוזג
wrappedMode_label	security_result.detection_fields	ממוזג
severity	security_result.severity	מיפוי: "0", "1", "2" ← INFORMATIONAL, ‏ "3", "4" ← LOW, ‏ "5", "6" ← MEDIUM, ‏ ‎'7', ...
severity	security_result.severity_details	מיפוי ישיר
district	target.administrative_domain	מיפוי ישיר
shost	target.asset.hostname	מיפוי ישיר
dst_ip	target.asset.ip	ממוזג
shost	target.hostname	מיפוי ישיר
dst_ip	target.ip	ממוזג
cmd_line	target.process.command_line	מיפוי ישיר
pid	target.process.pid	מיפוי ישיר
path	target.resource.name	מיפוי ישיר
tar_user	target.user.userid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: USER_LOGIN
לא רלוונטי	metadata.product_name	קבוע: VOLTAGE
לא רלוונטי	metadata.vendor_name	קבוע: VOLTAGE
לא רלוונטי	observer.platform	קבוע: LINUX
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
district	event.idm.read_only_udm.target.administrative_domain	מופה מיומן השינויים
identity	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
src	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
username	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
shost	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
requestClientApplication	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
length	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
AuthenticationMethod	event.idm.read_only_udm.extensions.auth.mechanism	מופה מיומן השינויים
cvProduct	event.idm.read_only_udm.observer.application	מופה מיומן השינויים
cvapi	event.idm.read_only_udm.observer.labels	מופה מיומן השינויים
cvframework	event.idm.read_only_udm.observer.labels	מופה מיומן השינויים
cvdevice	event.idm.read_only_udm.observer.labels	מופה מיומן השינויים
cvos	event.idm.read_only_udm.observer.platform	מופה מיומן השינויים
msg	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
proxyConnectionIp	event.idm.read_only_udm.intermediary.ip וגם event.idm.read_only_udm.intermediary.asset.ip	מופה מיומן השינויים
:	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
,	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
and	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cached	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
fullIdentity	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
algorithm	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
returnEncryptedKeyOption	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
authMethodName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
authType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
authTimeMillis	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
hsmEnabled	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
wrappedMode	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
format	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
returnFullIdentity	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
acceptBadData	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
CachedAuthentication	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.