收集 Netwrix Privilege Secure for Discovery (舊稱 Remediant SecureONE) 記錄

支援的國家/地區：

本文說明如何使用 Bindplane 代理程式，將 Netwrix Privilege Secure for Discovery (舊稱 Remediant SecureONE) 記錄檔擷取至 Google Security Operations。

Netwrix Privilege Secure for Discovery 是一種無代理程式的特殊存取權管理 (PAM) 解決方案，可提供動態的即時 (JIT) 特殊帳戶存取權。持續監控具備權限的帳戶，有效防範橫向移動攻擊，並縮小機構的攻擊面，進而消除常設權限。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Remediant SecureONE 設備的特殊權限存取權 (可透過 SSH 存取執行 fluentd 的節點)
  • Remediant SecureONE 2.8 以上版本 (或升級至 fluentd 1 版的 s1_fluentd 服務)

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'REMEDIANT_SECUREONE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
    • 視基礎架構需求，替換通訊埠和 IP 位址。
    • 將 <customer_id> 替換為實際的客戶 ID。
    • 將 /path/to/ingestion-authentication-file.json 更新為您儲存驗證檔案的檔案路徑。

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」主控台，或輸入下列指令：

    net stop observiq-otel-collector && net start observiq-otel-collector

設定 Remediant SecureONE 系統記錄轉送

  1. 使用 SSH 連線至執行 fluentd 服務的 Remediant SecureONE 節點。

  2. 備份現有的 fluentd 設定檔：

    sudo cp /secureone/conf/fluentd/fluent.conf /secureone/conf/fluentd/fluent.conf.$(date +%Y.%m.%d)

  3. 開啟 fluentd 設定檔進行編輯：

    sudo vim /secureone/conf/fluentd/fluent.conf

  4. 編輯「match docker.**」部分，新增「remote_syslog」商店。將整個檔案內容替換為下列設定：

    #fluent.conf for fluentd version 1
<source>
  @type forward
</source>
<filter docker.**>
  @type parser
  time_key key3
  format json
  key_name log
  reserve_data true
</filter>
<match docker.**>
  @type copy
  <store>
    @type remote_syslog
    host BINDPLANE_IP
    port 514
    protocol tcp
    packet_size 4096
    program secureone
    hostname SECUREONE_HOSTNAME
    <format>
      @type single_value
      message_key log
    </format>
  </store>
  <store>
    @type stdout_pp
    pp true
    time_color blue
    tag_color yellow
    record_colored true
  </store>
</match>
<match **>
  @type stdout_pp
  pp true
  time_color blue
  tag_color yellow
  record_colored true
</match>

  5. 替換下列值：

    • BINDPLANE_IP：輸入 Bindplane 代理程式主機的 IP 位址 (例如 10.100.11.13)。
    • 514：輸入與 Bindplane 代理程式 listen_address 連接埠相符的通訊埠號碼。
    • SECUREONE_HOSTNAME：輸入 SecureONE 節點的主機名稱 (例如 secureone-prod-01)。

  6. 儲存設定檔並結束編輯器。

  7. 重新啟動 fluentd 服務，以套用新設定：

    s1 restart fluentd

  8. 確認 fluentd 版本和執行設定：

    sudo docker exec -it $(sudo docker ps | grep fluentd | cut -d' ' -f1) fluent-gem list | grep fluentd

  9. 驗證設定語法：

    sudo docker exec -it $(sudo docker ps | grep fluentd | cut -d' ' -f1) fluentd -c /fluentd/etc/fluent.conf --dry-run

  10. 監控系統記錄通訊埠上的流量，確認記錄是否已轉送：

    sudo tcpdump -vv -i any port 514

詳情請參閱 Netwrix Privilege Secure for Discovery 說明文件。

UDM 對應表

記錄欄位 UDM 對應 邏輯
access_tokenId_label additional.fields 已合併
access_tokenType_label additional.fields 已合併
access_type_label additional.fields 已合併
createdBy_label additional.fields 已合併
details.failover_dc_label additional.fields 已合併
details.initial_dc_label additional.fields 已合併
details.sync_end_ts_label additional.fields 已合併
duration_label additional.fields 已合併
ldapName_label additional.fields 已合併
manage_local_sids_label additional.fields 已合併
persistent_label additional.fields 已合併
req_query_limit_label additional.fields 已合併
req_query_page_label additional.fields 已合併
scan_label additional.fields 已合併
secure_label additional.fields 已合併
strict_secure_label additional.fields 已合併
sync_start_ts_label additional.fields 已合併
targetSystem_cn_label additional.fields 已合併
targetSystem_distinguishedName_label additional.fields 已合併
targetSystem_operatingSystem_label additional.fields 已合併
user_distinguishedName_label additional.fields 已合併
req_headers_host intermediary.asset.hostname 直接對應
req_headers_host intermediary.hostname 直接對應
json_message metadata.description 直接對應
msg metadata.description 直接對應
time metadata.event_timestamp 已剖析為 ISO8601
event_type metadata.event_type 直接對應
name metadata.product_event_type 直接對應
req_id metadata.product_log_id 直接對應
req.method network.http.method 直接對應
res.statusCode network.http.response_code 已重新命名/對應
req_header_user_agent network.http.user_agent 直接對應
targetSystem.domain_netbios principal.administrative_domain 直接對應
user_domain_fqdn principal.administrative_domain 直接對應
source_application principal.application 直接對應
req_headers_host principal.hostname 直接對應
targetSystem.cn principal.hostname 直接對應
client_ip principal.ip 已合併
remote_address principal.ip 已合併
client_ua_os principal.platform 對應：(?i)windows → WINDOWS、(?i)linux → LINUX、(?i)mac → MAC
client_ua_platform principal.platform_version 直接對應
client_ua_version principal.platform_version 直接對應
req.remotePort principal.port 已重新命名/對應
script_cmd principal.process.command_line 直接對應
pid principal.process.pid 直接對應
browser_label principal.resource.attribute.labels 已合併
req_header_map_label principal.resource.attribute.labels 已合併
system principal.resource.product_object_id 直接對應
domain_netbios_label principal.user.attribute.labels 已合併
objectSid_label principal.user.attribute.labels 已合併
user_domain_label principal.user.attribute.labels 已合併
user_domain_netbios_label principal.user.attribute.labels 已合併
user_id_label principal.user.attribute.labels 已合併
user_objectSid_label principal.user.attribute.labels 已合併
authData.access.role principal.user.role_name 直接對應
user_user principal.user.user_display_name 直接對應
access.user.sAMAccountName principal.user.userid 直接對應
user_cn principal.user.userid 直接對應
user_sid principal.user.windows_sid 直接對應
disabled_label security_result.detection_fields 已合併
disabled_label1 security_result.detection_fields 已合併
level_label security_result.detection_fields 已合併
req_id_key_label security_result.detection_fields 已合併
req_params_computerId_label security_result.detection_fields 已合併
targetSystem_id_label security_result.detection_fields 已合併
hostname src.hostname 直接對應
ldapName target.administrative_domain 直接對應
targetsystem target.asset.hostname 直接對應
server target.hostname 直接對應
targetsystem target.hostname 直接對應
header_map_label target.resource.attribute.labels 已合併
req.url target.url 直接對應
user_user target.user.userid 直接對應
不適用 metadata.product_name 常數：SecureONE
不適用 metadata.vendor_name 常數：Remediant
不適用 principal.platform 常數：WINDOWS
targetSystem.cn event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
req.query.page event.idm.read_only_udm.additional.fields 從變更記錄對應
user.distinguishedName event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.operatingSystem event.idm.read_only_udm.additional.fields 從變更記錄對應
req.query.limit event.idm.read_only_udm.additional.fields 從變更記錄對應
req.params.computerId event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
req.id event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
targetSystem._id event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
user.domain_netbios event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
user.id event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
user.objectSid event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
persistent event.idm.read_only_udm.additional.fields 從變更記錄對應
access.type event.idm.read_only_udm.additional.fields 從變更記錄對應
access.tokenId event.idm.read_only_udm.additional.fields 從變更記錄對應
access.tokenType event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.cn event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.distinguishedName event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.policy.strict_secure event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.policy.secure event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.policy.scan event.idm.read_only_udm.additional.fields 從變更記錄對應
targetSystem.policy.manage_local_sids event.idm.read_only_udm.additional.fields 從變更記錄對應
user.domain event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
access.user.domain_netbios event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
access.user.objectSid event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
user.sid event.idm.read_only_udm.principal.user.windows_sid 從變更記錄對應
user.user event.idm.read_only_udm.principal.user.user_display_name 從變更記錄對應
failover_dc","initial_dc","ldapName","sync_end_ts" ,and "sync_start_ts additional.fields 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。