收集 Kiteworks (舊稱 Accellion) 記錄

剖析器版本：16.0

支援的國家/地區：

本文說明如何使用 Bindplane，將 Kiteworks (舊稱 Accellion) 記錄檔擷取至 Google Security Operations。

Kiteworks 是安全的檔案共用和控管平台，可透過電子郵件、檔案共用、受管理檔案傳輸和網路表單，提供企業內容通訊服務。可讓您掌握、控管及確保機構內外傳輸的機密內容符合規定。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • Bindplane 代理程式與 Kiteworks 設備之間的網路連線
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Kiteworks 管理控制台的特殊存取權 (系統管理員角色)

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。

  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /status observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/accellion:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ACCELLION
        raw_log_field: body

service:
    pipelines:
        logs/accellion_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/accellion

設定參數

替換下列預留位置：

  • 接收器設定：

    • listen_address：要接聽的 IP 位址和通訊埠：
      • 0.0.0.0，監聽所有介面 (建議)
      • 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；非根層級權限請使用 1514)

  • 匯出工具設定：

    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：從 Google SecOps 控制台複製的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列步驟：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務正在執行：

    sudo systemctl status observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Kiteworks (舊稱 Accellion) 上設定系統記錄轉送

  1. 以系統管理員身分登入 Kiteworks 管理控制台。
  2. 前往「地區」頁面：
    • 舊版管理員使用者介面：依序前往「系統」>「位置」。
    • 新版管理員使用者介面：依序前往「系統設定」>「地點」。
  3. 從清單中選取目標位置。
  4. 前往「外部服務」部分。
  5. 展開「Syslog Settings」(系統記錄設定) 面板。
  6. 按一下「新增」，建立新的系統記錄伺服器設定。
  7. 請提供下列設定詳細資料：
    • 系統記錄檔伺服器：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
    • 通訊協定：根據 Bindplane 代理程式接收器設定，選取「UDP」或「TCP」。
    • 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠號碼 (例如 514)。
    • 使用 TLS：如要透過 TLS 傳輸系統記錄訊息，請選取這個核取方塊 (僅在選取 TCP 做為通訊協定時適用)。
    • 格式：選取「JSON 格式」 (建議用於結構化剖析)。

  8. 按一下「儲存」，套用設定。

UDM 對應表

記錄欄位 UDM 對應 邏輯
acct principal.user.user_display_name 原始記錄檔 msg 欄位的 acct 值。
acct target.user.user_display_name 原始記錄檔 msg 欄位的 acct 值。
addr principal.ip 原始記錄檔 msg 欄位的 addr 值。
a0 security_result.about.labels.value 原始記錄 msg 欄位中的 a0 值，對應的 key 為「a0」。
a1 security_result.about.labels.value 原始記錄 msg 欄位中的 a1 值，其中對應的 key 為「a1」。
a2 security_result.about.labels.value 原始記錄 msg 欄位中的 a2 值，其中對應的 key 為「a2」。
a3 security_result.about.labels.value 原始記錄 msg 欄位中的 a3 值，對應的 key 為「a3」。
arch security_result.about.platform_version 原始記錄檔 msg 欄位的 arch 值。僅適用於 type_name SYSCALL。
auid about.user.userid 原始記錄檔 msg 欄位的 auid 值。
auid security_result.detection_fields.value 原始記錄 msg 欄位中的 auid 值，其中對應的 key 為「auid」。
comm principal.application 原始記錄檔 msg 欄位的 comm 值。
cmd principal.process.command_line 原始記錄檔 msg 欄位的 cmd 值。
cwd security_result.detection_fields.value 原始記錄 msg 欄位中的 cwd 值，其中對應的 key 為「cwd」。
cwd target.process.file.full_path 原始記錄檔 msg 欄位的 cwd 值。
exe principal.process.file.full_path 原始記錄檔 msg 欄位的 exe 值。
exe target.process.file.full_path 原始記錄檔 msg 欄位的 exe 值。
exit security_result.about.labels.value 原始記錄檔 msg 欄位中的 exit 值，對應的 key 為「Exit Code」。
hostname principal.hostname 原始記錄檔 msg 欄位的 hostname 值。
key security_result.about.registry.registry_key 原始記錄檔 msg 欄位的 key 值。僅適用於 type_name SYSCALL。
log_type metadata.log_type 原始記錄中的 log_type 值。
msg security_result.action_details 原始記錄的 msg 欄位中，res= 後方的值。
msg security_result.summary 原始記錄檔 msg 欄位的欄位組合。從原始記錄的 msg 欄位中剖析 audit 區段。根據原始記錄中的 type 欄位對應。舉例來說，「USER_START」會對應至「USER_LOGIN」、「CRED_DISP」會對應至「USER_LOGOUT」、「CRED_ACQ」會對應至「USER_LOGIN」、「USER_END」會對應至「USER_LOGOUT」、「CRED_REFR」會對應至「USER_LOGIN」、「USER_CMD」會對應至「USER_LOGIN」、「CWD」會對應至「STATUS_UPDATE」、「PROCTITLE」會對應至「STATUS_UPDATE」、「USER_ACCT」會對應至「USER_UNCATEGORIZED」，而「SYSCALL」會對應至「USER_UNCATEGORIZED」。
node principal.hostname 原始記錄檔 msg 欄位的 node 值。
pid principal.process.pid 原始記錄檔 msg 欄位的 pid 值。
ppid principal.process.parent_process.pid 原始記錄檔 msg 欄位的 ppid 值。
proctitle target.process.file.full_path 原始記錄 msg 欄位的 proctitle 解碼十六進位值。已硬式編碼為「LINUX」。如果原始記錄的 msg 欄位中含有 res=success，請設為「ALLOW」。
ses network.session_id 原始記錄檔 msg 欄位的 ses 值。
syscall security_result.about.labels.value 原始記錄 msg 欄位中的 syscall 值，其中對應的 key 為「Syscall」。
success security_result.summary 並與其他欄位合併，形成摘要。如果是 SYSCALL 事件，邏輯為：如果 success=yes，則為「yes, The System call succeeded」，否則為「no, The System call failed」。
terminal principal.terminal 原始記錄檔 msg 欄位的 terminal 值。
timestamp timestamp 原始記錄項目的 timestamp 值。
tty principal.terminal 原始記錄檔 msg 欄位的 tty 值。
type metadata.product_event_type 原始記錄檔 msg 欄位的 type 值。
uid about.user.userid 原始記錄檔 msg 欄位的 uid 值。僅適用於 type_name SYSCALL。
uid target.user.userid 原始記錄檔 msg 欄位的 uid 值。如果 type 為「USER_ACCT」，則設為「SETTING」。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。