איסוף יומני vsftpd

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני vsftpd ב-Google Security Operations באמצעות סוכן Bindplane.

‫vsftpd (Very Secure FTP Daemon) הוא שרת FTP שיוצר הודעות syslog לחיבורי FTP, להעברות קבצים, לאירועי אימות ולפעילות בסשן.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת vsftpd
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישת רוט (Root) או sudo לשרת vsftpd

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vsftpd:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VSFTPD
    raw_log_field: body

service:
  pipelines:
    logs/vsftpd_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vsftpd

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vsftpd:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VSFTPD
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ל-vsftpd

  1. עורכים את קובץ התצורה של vsftpd:

    sudo nano /etc/vsftpd.conf

  2. מגדירים את הפרמטרים הבאים:

    syslog_enable=YES
log_ftp_protocol=YES

  3. מגדירים את rsyslog להעברת יומני vsftpd. עורכים את /etc/rsyslog.conf או יוצרים קובץ חדש /etc/rsyslog.d/vsftpd.conf:

    sudo nano /etc/rsyslog.d/vsftpd.conf

  4. מוסיפים את כלל ההעברה הבא (מחליפים את <bindplane-ip> בכתובת ה-IP של סוכן Bindplane):

    if $programname == 'vsftpd' then @<bindplane-ip>:514

  5. מפעילים מחדש את vsftpd ואת rsyslog כדי להחיל את השינויים:

    sudo systemctl restart vsftpd
sudo systemctl restart rsyslog

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
certificate security_result.detection_fields.key: "cert"
security_result.detection_fields.value: ערך של certificate		 הערך של השדה certificate ממופה לאובייקט security_result.detection_fields עם המפתח "cert".
cipher network.tls.cipher הערך של השדה cipher ממופה ישירות.
client_ip principal.ip הערך של השדה client_ip ממופה ישירות.
date metadata.event_timestamp משמש עם month,‏ year ו-time כדי ליצור את metadata.event_timestamp. הפורמט נגזר מהשדה timestamp ביומן הגולמי, מנותח ומומר לאובייקט של חותמת זמן.
day metadata.event_timestamp משמש עם month,‏ year ו-time כדי ליצור את metadata.event_timestamp.
desc metadata.description הערך של השדה desc (שנשלף מהשדה type) ממופה ישירות. ההגדרה הזו חלה על הפעולות "MKDIR",‏ "RMDIR" ו-"DELETE".
description network.ftp.command
security_result.description
target.file.full_path		 אם type הוא "פקודת FTP", הערך ממופה אל network.ftp.command. אם הערך של type הוא "DEBUG" והוא לא תואם לתבניות SSL ספציפיות, הוא ממופה ל-security_result.description. אם type מתחיל ב-"OK" והוא לא "OK LOGIN", והיומן מתאר פעולה על קובץ (MKDIR, ‏ RMDIR, ‏ DELETE), הוא ממופה ל-target.file.full_path.
file_name target.file.full_path הערך של השדה file_name ממופה ישירות.
file_size network.received_bytes
network.sent_bytes		 אם הערך של type הוא "OK DOWNLOAD" או "FAIL DOWNLOAD", הערך מומר למספר שלם ללא סימן וממופה ל-network.received_bytes. אם הערך של type הוא OK UPLOAD או FAIL UPLOAD, הוא מומר למספר שלם ללא סימן וממופה ל-network.sent_bytes. צריך להגדיר את הערך USER_LOGIN אם הערך של type הוא OK LOGIN. צריך להגדיר את הערך "FILE_UNCATEGORIZED" אם type קשור לפעולות על קבצים ("OK UPLOAD",‏ "OK DOWNLOAD",‏ "FAIL DOWNLOAD",‏ "OK MKDIR",‏ "OK RMDIR",‏ "OK DELETE",‏ "FAIL UPLOAD"). מגדירים את הערך STATUS_UPDATE לכל שאר הערכים של type. תמיד מוגדר כ-"VSFTPD". תמיד מוגדר כ-"VSFTPD". תמיד מוגדר כ-"VSFTPD".
month metadata.event_timestamp משמש עם day,‏ year ו-time כדי ליצור את metadata.event_timestamp.
pid principal.process.pid הערך של השדה pid ממופה ישירות.
response_code network.http.response_code הערך של השדה response_code מומר למספר שלם וממופה.
reused_status security_result.detection_fields.key: "סטטוס שימוש חוזר"
security_result.detection_fields.value: ערך של reused_status		 הערך של השדה reused_status ממופה לאובייקט security_result.detection_fields עם המפתח "reused status".
speed ‫additional.fields.key: "download_speed" או "upload_speed"
additional.fields.value.string_value: הערך של speed		 אם הערך של type הוא "OK DOWNLOAD" או "FAIL DOWNLOAD", הערך ממופה ל-additional.fields עם המפתח "download_speed". אם הערך של type הוא "OK UPLOAD" או "FAIL UPLOAD", הערך ממופה אל additional.fields עם המפתח "upload_speed".
ssl_shutdown_state security_result.detection_fields.key: "SSL Shutdown State"
security_result.detection_fields.value: ערך של ssl_shutdown_state		 הערך של השדה ssl_shutdown_state ממופה לאובייקט security_result.detection_fields עם המפתח "SSL Shutdown State".
ssl_version network.tls.version הערך של השדה ssl_version ממופה ישירות.
time metadata.event_timestamp משמש עם day,‏ month ו-year כדי ליצור את metadata.event_timestamp.
type metadata.description
security_result.action_details		 הערך של השדה type ממופה ל-metadata.description, אלא אם הוא "OK LOGIN". הוא ממופה גם ל-security_result.action_details כשהוא מציין פעולת אישור או חסימה (מתחיל ב-"OK" או ב-"FAIL").
userid principal.user.userid
target.user.userid		 אם הערך של type הוא "OK LOGIN", הערך ממופה אל target.user.userid. אחרת, הוא ממופה ל-principal.user.userid.
year metadata.event_timestamp משמש עם day,‏ month ו-time כדי ליצור את metadata.event_timestamp. צריך להגדיר את הערך "NETWORK" אם הערך של type הוא "OK LOGIN". צריך להגדיר את הערך "MACHINE" אם הערך של type הוא "OK LOGIN". אם type מתחיל ב-"OK", צריך להגדיר את הערך "ALLOW". צריך להגדיר את הערך "BLOCK" אם type מתחיל ב-"FAIL".

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.