收集 Quest Change Auditor for EMC 記錄

支援的國家/地區：

本文說明如何使用 Bindplane 代理程式，將 Quest Change Auditor for EMC 記錄檔擷取至 Google Security Operations。

Quest Change Auditor for EMC 是一項即時變更稽核和報表解決方案，適用於 EMC 儲存環境。這項功能會擷取 EMC 儲存系統中檔案、資料夾和權限變更的詳細資訊，提供完整的稽核追蹤記錄，以利進行法規遵循和安全監控。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • Bindplane 代理程式與 Quest Change Auditor 協調器伺服器之間的網路連線
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • 具備管理員權限，可存取 Quest Change Auditor for EMC 控制台

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。

  4. 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/quest_change_auditor_emc:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    <    custome>r_id: 'customer_id'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: QUEST_CHANGE_AUDITOR_EMC
        raw_log_field: body

service:
    pipelines:
        logs/quest_emc_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/quest_change_auditor_emc

設定參數

替換下列預留位置：

  • 接收器設定：

    • listen_address：要接聽的 IP 位址和通訊埠：
      • 0.0.0.0，監聽所有介面 (建議)
      • 通訊埠 514 是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；非根層級權限請使用 1514)

  • 匯出工具設定：

    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：從 Google SecOps 控制台複製的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 檢查記錄中是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Quest Change Auditor，轉送 EMC syslog

Quest Change Auditor 支援原生 SIEM 整合，包括透過事件訂閱轉送系統記錄。在協調器伺服器上設定系統記錄事件訂閱，將事件轉送至 Bindplane 代理程式。

  1. 在 Change Auditor 協調器伺服器上，以管理員權限開啟 PowerShell。

  2. 使用下列指令建立系統記錄事件訂閱項目：

    New-CASyslogEventSubscription -Name "Chronicle-Bindplane" -Sysl<ogServer &qu>ot;BINDPLANE_IP" -Port 514 -Protocol TCP
    • 將 <BINDPLANE_IP> 替換為 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。

  3. 選取要轉送的事件類型和稽核物件：

    • EMC 儲存空間中的檔案和資料夾異動
    • 權限變更
    • 分享修改內容
    • 管理動作

  4. 確認訂閱方案有效：

    Get-CASyslogEventSubscription

  5. 查看 Bindplane 代理程式記錄，確認系統是否收到記錄。

UDM 對應表

記錄欄位 UDM 對應 邏輯
facility、agentID、eventClassID、subsystemID、facilityID、valueTypeID、actionID、resultID、coordinatorId、parentDomainID、domainDn、siteDn、organizationalUnit、parentObjectID、objectID、objectClass、objectName、attributeName、objectDn、objectCanonical、sslTls、kerberos、adOriginatingObjectID、adUsnChangedPre、adUsnChangedPost、administrator、originAdSite、simpleBind、authPort、adStatusCode、eventId、id、Keywords、EventType、Task、ThreadID、Channel、Opcode additional.fields 合併為標籤，且鍵與欄位名稱相符
說明 metadata.description 直接複製值
EventTime metadata.event_timestamp 從 Epoch 毫秒轉換為時間戳記
event_data metadata.event_type 根據 event_data 的條件式邏輯設定
EventReceivedTime metadata.ingested_timestamp 從 Epoch 毫秒轉換為時間戳記
categoryBehavior、EventID metadata.product_event_type 如果 categoryBehavior 不為空白，則為該值，否則為 EventID
RecordNumber metadata.product_log_id 直接複製值
SourceModuleType observer.application 直接複製值
SourceModuleName observer.resource.attribute.labels 已合併為標籤
網域 principal.administrative_domain 直接複製值
SourceName principal.application 直接複製值
來源、主機名稱 principal.asset.hostname 如果來源值不為空，則為來源值，否則為主機名稱
ipAddress、originIPv4 principal.asset.ip 如果 ipAddress 不為空，則為 ipAddress 的值；否則，如果 originIPv4 是有效的 IP，則為 originIPv4 的值
來源、主機名稱 principal.hostname 如果來源值不為空，則為來源值，否則為主機名稱
ipAddress、originIPv4 principal.ip 如果 ipAddress 不為空，則為 ipAddress 的值；否則，如果 originIPv4 是有效的 IP，則為 originIPv4 的值
osVersion principal.platform 如果 osVersion 符合 Windows，請設為「WINDOWS」
osVersion principal.platform_version 如果是 Windows，則直接複製值
ProcessID principal.process.pid 直接複製值
連結 principal.url 直接複製值
AccountType principal.user.attribute.roles.name 直接複製值
adUserMail、initiatorMail principal.user.email_addresses 如果與電子郵件模式相符，則從 adUserMail 合併，並從 initiatorMail 合併
userDisplay、initiatorUserName principal.user.user_display_name 如果不是空白，則為 userDisplay 中的值，否則為 initiatorUserName
userSid、AccountName principal.user.userid 如果 userSid 不為空白，則為 userSid 的值，否則為 AccountName
UserID principal.user.windows_sid 直接複製值
result security_result.action 如果結果符合「成功」，請設為「ALLOW」；如果符合「失敗」，請設為「BLOCK」
result security_result.action_details 直接複製值
start、end、timeDetected、timeZoneOffset、timeBatched、timeOfDay、siteID security_result.detection_fields 合併為標籤
說明 security_result.description 直接複製值
SeverityValue security_result.severity 如果為 1 到 3，請設為「INFORMATIONAL」；如果為 4，請設為「ERROR」；如果為 5，請設為「CRITICAL」
嚴重性 security_result.severity_details 直接複製值
類別 security_result.summary 直接複製值
file_path src.file.full_path 直接複製值
file_path src.process.file.full_path 直接複製值
initiatorMail src.user.email_addresses 直接複製值
initiatorUserName src.user.user_display_name 直接複製值
initiatorSid src.user.userid 直接複製值
domainFqdn target.administrative_domain 直接複製值
子系統 target.application 直接複製值
serverFqdn、ip_or_host target.asset.hostname 如果 serverFqdn 不是空白，則為該值；否則如果 ip_or_host 不是 IP，則為該值
ip_or_host target.asset.ip 從 ip_or_host 擷取的 IP
domainID target.asset_id 設為「DOMAIN ID:」+ domainID
file_path、new_path target.file.full_path 視 EventID 而定，值來自 file_path 或 new_path
serverFqdn、ip_or_host target.hostname 如果 serverFqdn 不是空白，則為該值；否則如果 ip_or_host 不是 IP，則為該值
網站 target.location.name 直接複製值
file_path、new_path target.process.file.full_path 視 EventID 而定，值來自 file_path 或 new_path
filer_name target.resource.attribute.labels 已合併為標籤
電腦 target.resource.name 直接複製值
serverDn target.user.group_identifiers 直接複製值
metadata.product_name 設為「Quest Change Auditor EMC」
metadata.vendor_name 設為「Quest」

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。