收集 Netwrix Privilege Secure for Discovery（以前称为 Remediant SecureONE）日志

支持的平台：

本文档介绍了如何使用 Bindplane 代理将 Netwrix Privilege Secure for Discovery（以前称为 Remediant SecureONE）日志注入到 Google Security Operations。

Netwrix Privilege Secure for Discovery 是一种无代理的特权访问管理 (PAM) 解决方案，可提供动态的即时 (JIT) 特权账号访问权限。它可提供对特权账号的持续可见性，从而消除常设权限，有效防止横向移动攻击，并减少组织的攻击面。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
  • 对 Remediant SecureONE 设备具有特权访问权限（对运行 fluentd 的节点的 SSH 访问权限）
  • Remediant SecureONE 2.8 版或更高版本（或升级到 fluentd 版本 1 的 s1_fluentd 服务）

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 BindPlane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'REMEDIANT_SECUREONE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
    • 根据基础架构的需要替换端口和 IP 地址。
    • 将 <customer_id> 替换为实际的客户 ID。
    • 将 /path/to/ingestion-authentication-file.json 更新为您保存身份验证文件的文件路径。

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

  • 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop observiq-otel-collector && net start observiq-otel-collector

配置 Remediant SecureONE syslog 转发

  1. 使用 SSH 连接到运行 fluentd 服务的 Remediant SecureONE 节点。

  2. 备份现有的 fluentd 配置文件：

    sudo cp /secureone/conf/fluentd/fluent.conf /secureone/conf/fluentd/fluent.conf.$(date +%Y.%m.%d)

  3. 打开 fluentd 配置文件进行修改：

    sudo vim /secureone/conf/fluentd/fluent.conf

  4. 修改 match docker.** 部分以添加 remote_syslog 商店。将整个文件内容替换为以下配置：

    #fluent.conf for fluentd version 1
<source>
  @type forward
</source>
<filter docker.**>
  @type parser
  time_key key3
  format json
  key_name log
  reserve_data true
</filter>
<match docker.**>
  @type copy
  <store>
    @type remote_syslog
    host BINDPLANE_IP
    port 514
    protocol tcp
    packet_size 4096
    program secureone
    hostname SECUREONE_HOSTNAME
    <format>
      @type single_value
      message_key log
    </format>
  </store>
  <store>
    @type stdout_pp
    pp true
    time_color blue
    tag_color yellow
    record_colored true
  </store>
</match>
<match **>
  @type stdout_pp
  pp true
  time_color blue
  tag_color yellow
  record_colored true
</match>

  5. 替换以下值：

    • BINDPLANE_IP：输入 Bindplane 代理主机（例如 10.100.11.13）的 IP 地址。
    • 514：输入与 Bindplane 代理 listen_address 端口匹配的端口号。
    • SECUREONE_HOSTNAME：输入 SecureONE 节点的主机名（例如 secureone-prod-01）。

  6. 保存配置文件并退出编辑器。

  7. 重启 fluentd 服务以应用新配置：

    s1 restart fluentd

  8. 验证 fluentd 版本和运行配置：

    sudo docker exec -it $(sudo docker ps | grep fluentd | cut -d' ' -f1) fluent-gem list | grep fluentd

  9. 验证配置语法：

    sudo docker exec -it $(sudo docker ps | grep fluentd | cut -d' ' -f1) fluentd -c /fluentd/etc/fluent.conf --dry-run

  10. 通过监控 syslog 端口上的流量来验证日志是否正在转发：

    sudo tcpdump -vv -i any port 514

如需了解详情，请参阅 Netwrix Privilege Secure for Discovery 文档。

UDM 映射表

日志字段 UDM 映射 逻辑
access_tokenId_label additional.fields 已合并
access_tokenType_label additional.fields 已合并
access_type_label additional.fields 已合并
createdBy_label additional.fields 已合并
details.failover_dc_label additional.fields 已合并
details.initial_dc_label additional.fields 已合并
details.sync_end_ts_label additional.fields 已合并
duration_label additional.fields 已合并
ldapName_label additional.fields 已合并
manage_local_sids_label additional.fields 已合并
persistent_label additional.fields 已合并
req_query_limit_label additional.fields 已合并
req_query_page_label additional.fields 已合并
scan_label additional.fields 已合并
secure_label additional.fields 已合并
strict_secure_label additional.fields 已合并
sync_start_ts_label additional.fields 已合并
targetSystem_cn_label additional.fields 已合并
targetSystem_distinguishedName_label additional.fields 已合并
targetSystem_operatingSystem_label additional.fields 已合并
user_distinguishedName_label additional.fields 已合并
req_headers_host intermediary.asset.hostname 直接映射
req_headers_host intermediary.hostname 直接映射
json_message metadata.description 直接映射
msg metadata.description 直接映射
time metadata.event_timestamp 解析为 ISO8601
event_type metadata.event_type 直接映射
name metadata.product_event_type 直接映射
req_id metadata.product_log_id 直接映射
req.method network.http.method 直接映射
res.statusCode network.http.response_code 已重命名/已映射
req_header_user_agent network.http.user_agent 直接映射
targetSystem.domain_netbios principal.administrative_domain 直接映射
user_domain_fqdn principal.administrative_domain 直接映射
source_application principal.application 直接映射
req_headers_host principal.hostname 直接映射
targetSystem.cn principal.hostname 直接映射
client_ip principal.ip 已合并
remote_address principal.ip 已合并
client_ua_os principal.platform 映射：(?i)windows → WINDOWS、(?i)linux → LINUX、(?i)mac → MAC
client_ua_platform principal.platform_version 直接映射
client_ua_version principal.platform_version 直接映射
req.remotePort principal.port 已重命名/已映射
script_cmd principal.process.command_line 直接映射
pid principal.process.pid 直接映射
browser_label principal.resource.attribute.labels 已合并
req_header_map_label principal.resource.attribute.labels 已合并
system principal.resource.product_object_id 直接映射
domain_netbios_label principal.user.attribute.labels 已合并
objectSid_label principal.user.attribute.labels 已合并
user_domain_label principal.user.attribute.labels 已合并
user_domain_netbios_label principal.user.attribute.labels 已合并
user_id_label principal.user.attribute.labels 已合并
user_objectSid_label principal.user.attribute.labels 已合并
authData.access.role principal.user.role_name 直接映射
user_user principal.user.user_display_name 直接映射
access.user.sAMAccountName principal.user.userid 直接映射
user_cn principal.user.userid 直接映射
user_sid principal.user.windows_sid 直接映射
disabled_label security_result.detection_fields 已合并
disabled_label1 security_result.detection_fields 已合并
level_label security_result.detection_fields 已合并
req_id_key_label security_result.detection_fields 已合并
req_params_computerId_label security_result.detection_fields 已合并
targetSystem_id_label security_result.detection_fields 已合并
hostname src.hostname 直接映射
ldapName target.administrative_domain 直接映射
targetsystem target.asset.hostname 直接映射
server target.hostname 直接映射
targetsystem target.hostname 直接映射
header_map_label target.resource.attribute.labels 已合并
req.url target.url 直接映射
user_user target.user.userid 直接映射
不适用 metadata.product_name 常量：SecureONE
不适用 metadata.vendor_name 常量：Remediant
不适用 principal.platform 常量：WINDOWS
targetSystem.cn event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
req.query.page event.idm.read_only_udm.additional.fields 从变更日志映射
user.distinguishedName event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.operatingSystem event.idm.read_only_udm.additional.fields 从变更日志映射
req.query.limit event.idm.read_only_udm.additional.fields 从变更日志映射
req.params.computerId event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
req.id event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
targetSystem._id event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
user.domain_netbios event.idm.read_only_udm.principal.user.attribute.labels 从变更日志映射
user.id event.idm.read_only_udm.principal.user.attribute.labels 从变更日志映射
user.objectSid event.idm.read_only_udm.principal.user.attribute.labels 从变更日志映射
persistent event.idm.read_only_udm.additional.fields 从变更日志映射
access.type event.idm.read_only_udm.additional.fields 从变更日志映射
access.tokenId event.idm.read_only_udm.additional.fields 从变更日志映射
access.tokenType event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.cn event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.distinguishedName event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.policy.strict_secure event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.policy.secure event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.policy.scan event.idm.read_only_udm.additional.fields 从变更日志映射
targetSystem.policy.manage_local_sids event.idm.read_only_udm.additional.fields 从变更日志映射
user.domain event.idm.read_only_udm.principal.user.attribute.labels 从变更日志映射
access.user.domain_netbios event.idm.read_only_udm.principal.user.attribute.labels 从变更日志映射
access.user.objectSid event.idm.read_only_udm.principal.user.attribute.labels 从变更日志映射
user.sid event.idm.read_only_udm.principal.user.windows_sid 从变更日志映射
user.user event.idm.read_only_udm.principal.user.user_display_name 从变更日志映射
failover_dc","initial_dc","ldapName","sync_end_ts" ,and "sync_start_ts additional.fields 从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。