收集 CyberArk Endpoint Privilege Manager 日志

解析器版本：2.0

支持的平台：

本文档介绍了如何使用 Bindplane 将 CyberArk Endpoint Privilege Manager (EPM) 日志注入到 Google Security Operations。CyberArk EPM 通过移除本地管理员权限来强制执行端点上的最小权限，同时允许用户运行已获批准的应用。它可为 Windows、macOS 和 Linux 端点提供应用控制、权限管理和凭据盗窃防护。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例。
  • 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
  • 对 CyberArk EPM 管理控制台的管理员权限的特权访问权限。

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。
    • 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：

    • 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector/ 目录中或 Windows 上的安装目录中。
    • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <PLACEHOLDER_CUSTOMER_ID>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CYBERARK_EPM'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels
  • 根据基础架构的需要替换端口和 IP 地址。
  • 将 <PLACEHOLDER_CUSTOMER_ID> 替换为实际的客户 ID。
  • 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 注入身份验证文件部分中保存身份验证文件的文件路径。

重启 Bindplane 代理以应用更改

  1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop observiq-otel-collector && net start observiq-otel-collector

配置 CyberArk EPM syslog 转发

  1. 以管理员身份登录 CyberArk EPM 控制台。
  2. 依次前往管理 > 系统配置 > SIEM 集成。
  3. 选择启用 SIEM 以激活 syslog 转发。
  4. 提供以下配置详细信息：
    • SIEM 类型：选择 Syslog。
    • 服务器地址：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
    • 端口：输入与 Bindplane 代理配置相符的端口号（例如 514）。
    • 协议：选择 TCP。
    • 格式：选择 CEF（通用事件格式）。
  5. 在事件类型部分中，选择要转发的事件类别：
    • 政策审核事件：政策执行操作。
    • 管理员审核事件：EPM 控制台中的管理操作。
    • 威胁防护事件：凭据盗窃和勒索软件防护事件。
    • 应用控制事件：应用允许/阻止事件。
  6. 点击保存。

  7. 通过检查 Bindplane 代理日志，验证是否正在接收日志：

    sudo journalctl -u observiq-otel-collector -f

如需详细了解 CyberArk EPM syslog 集成，请参阅 CyberArk EPM 管理员指南。

UDM 映射表

日志字段 UDM 映射 逻辑
Header.deviceVendor metadata.vendor_name 从 CEF 标头供应商字段映射。
Header.deviceProduct metadata.product_name 从 CEF 标题产品字段映射。
Header.deviceVersion metadata.product_version 从 CEF 标题版本字段映射。
Header.signatureId metadata.product_event_type 从 CEF 签名 ID 字段映射而来。
Header.name metadata.description 从 CEF 事件名称字段映射。
Header.severity security_result.severity 从 CEF 严重程度（0-3=低、4-6=中、7-8=高、9-10=严重）映射而来。
shost principal.hostname 发生事件的源主机名。
src principal.ip 来源 IP 地址。
suser principal.user.userid 与事件相关的来源用户名。
fname target.file.full_path 事件涉及的文件名或路径。
fileHash target.file.md5 相关文件的 MD5 哈希。
dhost target.hostname 目标主机名。
dst target.ip 目标 IP 地址。
duser target.user.userid 目的地或目标用户名。
act security_result.action_details EPM 采取的操作（例如，阻止、允许、提升）。
cs1 security_result.detection_fields 自定义字符串字段 1（政策名称或其他上下文）。
cs2 security_result.detection_fields 自定义字符串字段 2（其他上下文）。
rt metadata.event_timestamp 事件接收时间。
userIsAdmin event.idm.read_only_udm.additional.fields 从变更日志映射
workingDirectory event.idm.read_only_udm.additional.fields 从变更日志映射
exposeduser.username event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
exposeduser.source event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
exposeduser.domain event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
sourceProcessPublisher event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
exposeduser.accountName event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
evidencesuser.accessedObject.name event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.accessedProcess.commandLine event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.accessedProcess.hash event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.accessedProcess.publisher event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.accessedProcess.username event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.accessedProcess.hashAlgorithm event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.accessedProcess.fullImageName event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.evidenceCounter event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.datetimeUTC event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.evidenceAction event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.additionalData event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
evidencesuser.comment event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
displayName event.idm.read_only_udm.metadata.description 从变更日志映射
policyName event.idm.read_only_udm.security_result.rule_name 从变更日志映射
processCommandLine event.idm.read_only_udm.target.process.command_line 从变更日志映射
sourceProcessCommandLine event.idm.read_only_udm.target.process.parent_process.command_line 从变更日志映射
sourceProcessUsername event.idm.read_only_udm.target.user.userid 从变更日志映射
sourceProcessHash event.idm.read_only_udm.target.process.parent_process.file.sha1 从变更日志映射
threatProtectionActionId event.idm.read_only_udm.additional.fields 从变更日志映射
skippedCount event.idm.read_only_udm.additional.fields 从变更日志映射
eventCount event.idm.read_only_udm.additional.fields 从变更日志映射
sourceProcessSigner event.idm.read_only_udm.additional.fields 从变更日志映射
deceptionType event.idm.read_only_udm.additional.fields 从变更日志映射
winEventType event.idm.read_only_udm.additional.fields 从变更日志映射
winEventRecordId event.idm.read_only_udm.additional.fields 从变更日志映射
logonAttemptTypeId event.idm.read_only_udm.additional.fields 从变更日志映射
logonStatusId event.idm.read_only_udm.additional.fields 从变更日志映射
fileDescription event.idm.read_only_udm.security_result.description 从变更日志映射
accessAction event.idm.read_only_udm.additional.fields 从变更日志映射
accessTargetType event.idm.read_only_udm.additional.fields 从变更日志映射
agentEventCount event.idm.read_only_udm.additional.fields 从变更日志映射
modificationTime event.idm.read_only_udm.additional.fields 从变更日志映射
arrivalTime event.idm.read_only_udm.additional.fields 从变更日志映射
originalFileName event.idm.read_only_udm.additional.fields 从变更日志映射
owner event.idm.read_only_udm.additional.fields 从变更日志映射
packageName event.idm.read_only_udm.additional.fields 从变更日志映射
publisher event.idm.read_only_udm.additional.fields 从变更日志映射
setID event.idm.read_only_udm.additional.fields 从变更日志映射
sourceType event.idm.read_only_udm.additional.fields 从变更日志映射
threatProtectionAction event.idm.read_only_udm.additional.fields 从变更日志映射
lastEventDate event.idm.read_only_udm.metadata.event_timestamp 从变更日志映射
agentId event.idm.read_only_udm.principal.asset.asset_id 从变更日志映射
company event.idm.read_only_udm.principal.user.company_name 从变更日志映射
computerName event.idm.read_only_udm.principal.hostname 从变更日志映射
computerName event.idm.read_only_udm.principal.asset.hostname 从变更日志映射
eventType event.idm.read_only_udm.metadata.product_event_type 从变更日志映射
fileDescription event.idm.read_only_udm.metadata.description 从变更日志映射
fileName event.idm.read_only_udm.target.process.file.names 从变更日志映射
filePath event.idm.read_only_udm.target.file.full_path 从变更日志映射
fileQualifier event.idm.read_only_udm.target.asset.asset_id 从变更日志映射
fileSize event.idm.read_only_udm.target.file.size 从变更日志映射
fileVersion event.idm.read_only_udm.target.asset.software.version 从变更日志映射
hash event.idm.read_only_udm.target.file.sha1 从变更日志映射
justification event.idm.read_only_udm.security_result.summary 从变更日志映射
operatingSystemType event.idm.read_only_udm.principal.platform 从变更日志映射
productName event.idm.read_only_udm.metadata.product_version 从变更日志映射
productVersion event.idm.read_only_udm.metadata.product_version 从变更日志映射
sourceName event.idm.read_only_udm.principal.file.full_path 从变更日志映射
url event.idm.read_only_udm.network.http.referral_url 从变更日志映射
userName event.idm.read_only_udm.principal.user.userid 从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。