收集 SentinelOne Attivo (舊稱 Attivo Networks) 記錄

剖析器版本：9.0

支援的國家/地區：

本文說明如何使用 Bindplane，將 SentinelOne Attivo (舊稱 Attivo Networks) 記錄檔擷取至 Google Security Operations。

SentinelOne Attivo 是詐騙技術平台，可偵測網路內威脅、橫向移動和憑證式攻擊。在環境中部署誘餌和陷阱，偵測已繞過周邊防禦機制的攻擊者。Attivo 會透過系統記錄轉送偵測事件和快訊。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體。
  • 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
  • SentinelOne Attivo BOTsink 管理主控台的特殊存取權。

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。
    • 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

  1. 存取設定檔：

    • 找出 config.yaml 檔案。通常位於 Linux 的 /observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

  2. 按照下列方式編輯 config.yaml 檔案：

    receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <your_customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'ATTIVO'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels
  • 視基礎架構需求，替換通訊埠和 IP 位址。
  • 將 <your_customer_id> 替換為實際的客戶 ID。
  • 將 /path/to/ingestion-authentication-file.json 更新為您在步驟 1 中儲存驗證檔案的檔案路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列步驟：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務正在執行：

    sudo systemctl status observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 SentinelOne Attivo 系統記錄檔轉送

建立 CEF 系統記錄檔設定檔

  1. 登入 Attivo BOTsink 管理控制台。
  2. 依序前往「Administration」>「Management」>「Syslog」。
  3. 按一下「新增」，建立新的系統記錄設定檔。
  4. 輸入設定檔的描述性名稱 (例如 SecOps-CEF)。
  5. 將「事件轉送」設為「已啟用」。
  6. 選取「CEF」做為「訊息格式」。
  7. 設定事件的嚴重程度對應：
    • 過量級：選取「緊急」。
    • 高：選取「重大」。
    • 媒介：選取「快訊」。
    • 低：選取「警告」。
    • 非常低：選取「資訊型」。
  8. 按一下「儲存」，即可儲存系統記錄設定檔。

新增系統記錄伺服器連線

  1. 在您建立的系統記錄設定檔中，按一下「新增連線」。
  2. 請提供下列連線詳細資料：
    • 伺服器名稱：輸入連線的描述性名稱 (例如 Bindplane-Agent)。
    • 「設定檔名稱」：選取上一節建立的 CEF Syslog 設定檔。
    • IP 位址：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
    • 「Port」(通訊埠)：輸入 514 (或您設定的 Bindplane 代理程式通訊埠)。
    • 「通訊協定」：選取「TCP」。
  3. 點選「測試連線」，確認 BOTsink 可以連上 Bindplane 代理程式。
  4. 按一下 [儲存]。

確認系統記錄傳送情形

  1. 設定 Syslog 轉送後，請觸發測試警報或等待偵測事件。

  2. 在 Bindplane 代理程式主機上，確認是否收到記錄：

    sudo journalctl -u observiq-otel-collector -f

詳情請參閱 SentinelOne Attivo 說明文件。

UDM 對應表

記錄欄位 UDM 對應 邏輯
src principal.ip 取自 src 欄位的值。
dst target.ip 取自 dst 欄位的值。
spt principal.port 從 spt 取得值並轉換為整數。
dpt target.port 從 dpt 取得值並轉換為整數。
shost principal.hostname 取自 shost 欄位的值。
dhost target.hostname 取自 dhost 欄位的值。
suser principal.user.userid 取自 suser 欄位的值。
duser target.user.userid 取自 duser 欄位的值。
msg metadata.description 取自 msg 欄位的值。
cat security_result.category_details 取自 cat (CEF 類別) 欄位的值。
act security_result.action_details 取自 act (動作) 欄位的值。
severity security_result.severity 對應自 CEF 嚴重程度：1-3 -> LOW、4-6 -> MEDIUM、7-8 -> HIGH、9-10 -> CRITICAL。
deviceEventClassId metadata.product_event_type 取自 deviceEventClassId 欄位的值。
name security_result.summary 取自 CEF name 欄位 (事件名稱) 的值。
deviceVendor metadata.vendor_name 取自 deviceVendor 欄位的值。通常會設為「Attivo Networks」。
deviceProduct metadata.product_name 取自 deviceProduct 欄位的值。通常設為「BOTsink」。
deviceVersion metadata.product_version 取自 deviceVersion 欄位的值。
metadata.event_type 預設值為「GENERIC_EVENT」。如果來源和目的地 IP 存在，請設為「NETWORK_CONNECTION」。如果只有主體資訊，請設為「STATUS_UPDATE」。
metadata.log_type 設為「ATTIVO」。
VLANID event.idm.read_only_udm.additional.fields 從變更記錄對應
Forwarder_IP event.idm.read_only_udm.additional.fields 從變更記錄對應
VTSummaryResult event.idm.read_only_udm.additional.fields 從變更記錄對應
WebRootReputation event.idm.read_only_udm.additional.fields 從變更記錄對應
Forwarder event.idm.read_only_udm.additional.fields 從變更記錄對應
Target_IP_Ports event.idm.read_only_udm.additional.fields 從變更記錄對應
TargetIP_List event.idm.read_only_udm.additional.fields 從變更記錄對應
Dest_UserName event.idm.read_only_udm.target.user.userid 從變更記錄對應
Attacker_IP_Domain event.idm.read_only_udm.principal.administrative_domain 從變更記錄對應
attacker_ip event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
detail_target_ip event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
target_host event.idm.read_only_udm.target.hostname 從變更記錄對應
target_ip event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip 從變更記錄對應
target_os event.idm.read_only_udm.target.platform_version 從變更記錄對應
description event.idm.read_only_udm.metadata.description 從變更記錄對應
detail_source_ip event.idm.read_only_udm.observer.ip 從變更記錄對應
phase event.idm.read_only_udm.security_result.category_details 從變更記錄對應
Attacker_HostName event.idm.read_only_udm.principal.hostname 從變更記錄對應
Attacker_MAC event.idm.read_only_udm.principal.mac 從變更記錄對應
Attacker_UserNames event.idm.read_only_udm.principal.user.user_display_name 從變更記錄對應
Source_Device_Name event.idm.read_only_udm.observer.hostname 從變更記錄對應
Attivo_AlertID event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
MITRE_Technique_Name event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
MITRE_Tactic_Name event.idm.read_only_udm.security_result.rule_name 從變更記錄對應
severity event.idm.read_only_udm.security_result.severity 從變更記錄對應
Target_Ports event.idm.read_only_udm.target.port 從變更記錄對應
Target_IP_Domain event.idm.read_only_udm.target.administrative_domain 從變更記錄對應
Alert.subject metadata.description 從變更記錄對應
Alert.body metadata.description 從變更記錄對應
Alert.app principal.application 從變更記錄對應
Alert.dest_ip target.ip 從變更記錄對應
Alert.dest_host target.hostname 從變更記錄對應
Alert.src_hostname principal.hostname 從變更記錄對應
Alert.src_ip_domain principal.domain.name 從變更記錄對應
Alert.dest_ip_domain target.domain.name 從變更記錄對應
Alert.id metadata.product_log_id 從變更記錄對應
Alert.des_os target.asset.platform_software.platform_version 從變更記錄對應
Alert.src_ip principal.ip 從變更記錄對應
Alert.src_mac prinicipal.mac 從變更記錄對應
Alert.bootsink_ip intermediary.ip 從變更記錄對應
Alert.forwarder" and "Alert.service additional.fields 從變更記錄對應
techinque_id security_result.attack_details.tactics.id 從變更記錄對應
techinque_name security_result.attack_details.tactics.name 從變更記錄對應
Alert.severity security_result.severity 從變更記錄對應
Alert.src_category security_result.threat_name 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。