איסוף יומני מתח

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Voltage SecureMail ב-Google Security Operations באמצעות סוכן Bindplane.

‫Voltage SecureMail היא פלטפורמה להצפנת אימיילים שיוצרת הודעות syslog לאירועים של הצפנה או פענוח של אימיילים, אכיפת מדיניות ופעולות אדמין.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת Voltage SecureMail
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למסוף הניהול של Voltage SecureMail

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/voltage:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VOLTAGE
      raw_log_field: body
  
  service:
    pipelines:
      logs/voltage_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/voltage
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/voltage:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VOLTAGE
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ב-Voltage SecureMail

1. נכנסים למסוף הניהול של Voltage SecureMail.
2. עוברים אל System > Syslog Settings (מערכת > הגדרות Syslog).
3. מזינים את פרטי ההגדרה הבאים:
   • כתובת השרת: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות UDP.
   • ‫Facility: בוחרים את ה-facility המתאים של syslog.
   • רמת היומן: בוחרים את רמת היומן הרצויה.
4. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
attemptedAuthMethods_label	additional.fields	ממוזג
authTokens_label	additional.fields	ממוזג
elapsedTimeMillis_label	additional.fields	ממוזג
isUserPassSet_label	additional.fields	ממוזג
keyId_label	additional.fields	ממוזג
leadingDigits_label	additional.fields	ממוזג
masked_label	additional.fields	ממוזג
merchantId_label	additional.fields	ממוזג
out_label	additional.fields	ממוזג
phaseBit_label	additional.fields	ממוזג
proxyType_label	additional.fields	ממוזג
rollover_label	additional.fields	ממוזג
trailingDigits_label	additional.fields	ממוזג
AuthenticationMethod	extensions.auth.mechanism	מופה: USER_PASSWORD ← mechanism
mechanism	extensions.auth.mechanism	ממוזג
has_principal	extensions.auth.type	מופה: true ← AUTHTYPE_UNSPECIFIED
proxyConnectionIp	intermediary.asset.ip	ממוזג
inter_hostname	intermediary.hostname	מיפוי ישיר
proxyConnectionIp	intermediary.ip	ממוזג
description	metadata.description	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true ← USER_LOGIN, true ← NETWORK_CONNECTION, true ← STATUS_UPDATE
has_user	metadata.event_type	מופה: true ← USER_UNCATEGORIZED
prod_event_name	metadata.product_event_type	מיפוי ישיר
event_id	metadata.product_log_id	מיפוי ישיר
cef_product	metadata.product_name	מיפוי ישיר
version	metadata.product_version	מיפוי ישיר
request	network.http.referral_url	מיפוי ישיר
length	network.received_bytes	מיפוי ישיר
requestTimeMillis	network.session_duration.nanos	מיפוי ישיר
timeMillis	network.session_duration.seconds	מיפוי ישיר
sessionid	network.session_id	מיפוי ישיר
cvProduct	observer.application	מיפוי ישיר
cvapi_label	observer.labels	ממוזג
cvdevice_label	observer.labels	ממוזג
cvframework_label	observer.labels	ממוזג
cvos	observer.platform	מופה: Li ← LINUX, Win ← WINDOWS
requestClientApplication	principal.application	מיפוי ישיר
src_hostname	principal.asset.hostname	מיפוי ישיר
ip	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
src_hostname	principal.hostname	מיפוי ישיר
ip	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
src_port	principal.port	שינוי שם/מיפוי
identity	principal.user.email_addresses	מופה: (.*)@(.*) ← identity
user	principal.user.userid	מיפוי ישיר
username	principal.user.userid	מיפוי ישיר
sec_action	security_result.action	ממוזג
msg	security_result.description	מיפוי ישיר
CachedAuthentication_label	security_result.detection_fields	ממוזג
acceptBadData_label	security_result.detection_fields	ממוזג
algorithm_label	security_result.detection_fields	ממוזג
authMethodName_label	security_result.detection_fields	ממוזג
authTimeMillis_label	security_result.detection_fields	ממוזג
authType_label	security_result.detection_fields	ממוזג
format_label	security_result.detection_fields	ממוזג
fullIdentity_label	security_result.detection_fields	ממוזג
hsmEnabled_label	security_result.detection_fields	ממוזג
returnEncryptedKeyOption_label	security_result.detection_fields	ממוזג
returnFullIdentity_label	security_result.detection_fields	ממוזג
wrappedMode_label	security_result.detection_fields	ממוזג
severity	security_result.severity	מיפוי: "0", "1", "2" ← INFORMATIONAL, "3", "4" ← LOW, "5", "6" ← MEDIUM, ‎"7", ...‎
severity	security_result.severity_details	מיפוי ישיר
district	target.administrative_domain	מיפוי ישיר
shost	target.asset.hostname	מיפוי ישיר
dst_ip	target.asset.ip	ממוזג
shost	target.hostname	מיפוי ישיר
dst_ip	target.ip	ממוזג
cmd_line	target.process.command_line	מיפוי ישיר
pid	target.process.pid	מיפוי ישיר
path	target.resource.name	מיפוי ישיר
tar_user	target.user.userid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: USER_LOGIN
לא רלוונטי	metadata.product_name	קבוע: VOLTAGE
לא רלוונטי	metadata.vendor_name	קבוע: VOLTAGE
לא רלוונטי	observer.platform	קבוע: LINUX
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
district	event.idm.read_only_udm.target.administrative_domain	מופה מיומן השינויים
identity	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
src	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
username	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
shost	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
requestClientApplication	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
length	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
AuthenticationMethod	event.idm.read_only_udm.extensions.auth.mechanism	מופה מיומן השינויים
cvProduct	event.idm.read_only_udm.observer.application	מופה מיומן השינויים
cvapi	event.idm.read_only_udm.observer.labels	מופה מיומן השינויים
cvframework	event.idm.read_only_udm.observer.labels	מופה מיומן השינויים
cvdevice	event.idm.read_only_udm.observer.labels	מופה מיומן השינויים
cvos	event.idm.read_only_udm.observer.platform	מופה מיומן השינויים
msg	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
proxyConnectionIp	event.idm.read_only_udm.intermediary.ip וגם event.idm.read_only_udm.intermediary.asset.ip	מופה מיומן השינויים
:	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
,	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
and	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cached	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
fullIdentity	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
algorithm	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
returnEncryptedKeyOption	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
authMethodName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
authType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
authTimeMillis	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
hsmEnabled	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
wrappedMode	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
format	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
returnFullIdentity	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
acceptBadData	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
CachedAuthentication	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.