Commvault 로그 수집

다음에서 지원:

Google SecOps SIEM

참고: 이 기능에는 Google Security Operations 서비스 특정 약관의 GA 이전 서비스 약관이 적용됩니다. GA 이전 기능에서 지원이 제한될 수 있으며 GA 이전 기능의 변경사항은 다른 GA 이전 버전과 호환되지 않을 수 있습니다. 자세한 내용은 Google SecOps 기술 지원 서비스 가이드라인 및 Google SecOps 서비스 특정 약관을 참고하세요.

이 문서에서는 Bindplane을 사용하여 Commvault 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서는 COMMVAULT 로그에서 데이터를 추출하여 알림, 이벤트 또는 감사 추적으로 분류합니다. 그런 다음 키-값 파싱, 타임스탬프 추출, 필드 매핑을 사용하여 추출된 필드를 통합 데이터 모델 (UDM)로 정규화하고 구조화합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows 2016 이상 또는 systemd가 설치된 Linux 호스트
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있음
• Commvault Cloud에 대한 액세스 권한 관리

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

추가 설치 옵션은 설치 가이드를 참고하세요.

Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.
   • config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
   • 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'COMMVAULT'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Commvault Cloud에서 Syslog 구성

1. Commvault 관리 콘솔에 로그인합니다.
2. 관리 > 시스템으로 이동합니다.
3. SIEM 커넥터 타일을 클릭합니다.
4. 커넥터 추가를 클릭합니다.
5. 일반 탭에서 다음 세부정보를 입력합니다.
   • 커넥터 이름: 커넥터 이름을 입력합니다.
   • 커넥터 유형: Syslog를 선택합니다.
   • 스트리밍 데이터: 내보낼 데이터를 선택합니다.
6. 다음을 클릭합니다.
7. 커넥터 정의 탭에서 syslog 서버 추가를 클릭합니다.
8. 다음 구성 세부정보를 제공합니다.
   • Syslog 서버: Bindplane 에이전트 IP 주소를 입력합니다.
   • 포트 번호: Bindplane 에이전트 포트 번호를 입력합니다.
9. 제출을 클릭합니다.

참고: 보안 제한으로 인해 GUI에서는 맞춤 포트가 허용되지 않습니다. 인터페이스에서 모든 포트를 입력할 수 있지만 기본 포트인 UDP Port: 514 및 TCP Port: 6514만 허용됩니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	논리
AgentType	event.idm.read_only_udm.observer.application	로그 메시지의 AgentType 필드에서 가져온 값입니다.
Alertid	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 Alertid 필드에서 가져온 값입니다. 이 필드는 alert_id 키 아래에 매핑됩니다.
Alertname	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 Alertname 필드에서 가져온 값입니다. 이 필드는 alert_name 키 아래에 매핑됩니다.
Alertseverity	event.idm.read_only_udm.security_result.severity	이 필드는 값을 기반으로 security_result.severity 필드를 채우는 데 사용됩니다.
Alerttime	event.idm.read_only_udm.metadata.event_timestamp	로그 메시지의 Alerttime 필드에서 가져와 타임스탬프로 변환된 값입니다.
BackupLevel	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 BackupLevel 필드에서 가져온 값입니다. 이 필드는 backup_level 키 아래에 매핑됩니다.
BackupSet	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 BackupSet 필드에서 가져온 값입니다. 이 필드는 backup_set 키 아래에 매핑됩니다.
클라이언트	event.idm.read_only_udm.principal.hostname	로그 메시지의 Client 필드에서 가져온 값입니다.
CommCell	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 CommCell 필드에서 가져온 값입니다. 이 필드는 comcell_field 키 아래에 매핑됩니다.
컴퓨터	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 Computer 필드에서 가져온 값입니다. 이 필드는 computer_field 키 아래에 매핑됩니다.
설명	event.idm.read_only_udm.metadata.description	일부 처리 및 정리 후 로그 메시지의 Description 필드에서 가져온 값입니다.
DetectedCriteria	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 DetectedCriteria 필드에서 가져온 값입니다. 이 필드는 detected_criteria 키 아래에 매핑됩니다.
DetectedTime	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 DetectedTime 필드에서 가져온 값입니다. 이 필드는 detected_time 키 아래에 매핑됩니다.
세부정보	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 Details 필드에서 가져온 값입니다. 이 필드는 details_field 키 아래에 매핑됩니다.
Eventid	event.idm.read_only_udm.metadata.product_log_id	로그 메시지의 Eventid 필드에서 가져온 값입니다.
Eventseverity	event.idm.read_only_udm.security_result.severity	이 필드는 값을 기반으로 security_result.severity 필드를 채우는 데 사용됩니다.
실패	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 Failure 필드에서 가져온 값입니다. 이 필드는 failure_filed 키 아래에 매핑됩니다.
인스턴스	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 Instance 필드에서 가져온 값입니다. 이 필드는 instance_field 키 아래에 매핑됩니다.
Jobid	event.idm.read_only_udm.principal.process.pid	로그 메시지의 Jobid 필드에서 가져온 값입니다.
MonitoringCriteria	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 MonitoringCriteria 필드에서 가져온 값입니다. 이 필드는 monitoring_criteria 키 아래에 매핑됩니다.
발생 시간	event.idm.read_only_udm.metadata.event_timestamp	로그 메시지의 Occurencetime 필드에서 가져와 타임스탬프로 변환된 값입니다.
Opid	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 Opid 필드에서 가져온 값입니다. 이 필드는 op_id 키 아래에 매핑됩니다.
프로그램	event.idm.read_only_udm.principal.application	로그 메시지의 Program 필드에서 가져온 값입니다.
Severitylevel	event.idm.read_only_udm.security_result.severity	로그 메시지의 Severitylevel 필드에서 가져온 값으로, 사전 정의된 매핑에 따라 매핑됩니다.
StoragePoliciesUsed	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 StoragePoliciesUsed 필드에서 가져온 값입니다. 이 필드는 storage_policies_used 키 아래에 매핑됩니다.
Subclient	event.idm.read_only_udm.additional.fields.value.string_value	로그 메시지의 Subclient 필드에서 가져온 값입니다. 이 필드는 subclient_field 키 아래에 매핑됩니다.
유형	event.idm.read_only_udm.security_result.detection_fields.value	로그 메시지의 Type 필드에서 가져온 값입니다. 이 필드는 alert_type 키 아래에 매핑됩니다.
사용자 이름	event.idm.read_only_udm.principal.user.userid	로그 메시지의 Username 필드에서 가져온 값입니다.
anomaly_type	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 detected_anomaly_type 키 아래에 매핑됩니다.
오류	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 errors_field 키 아래에 매핑됩니다.
file_name	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 detected_malicious_file 키 아래에 매핑됩니다.
media_agent	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 detected_media_agent 키 아래에 매핑됩니다.
no_of_files_created	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 no_of_files_created_field 키 아래에 매핑됩니다.
no_of_files_deleted	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 no_of_files_deleted_field 키 아래에 매핑됩니다.
no_of_files_modified	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 no_of_files_modified_field 키 아래에 매핑됩니다.
no_of_files_renamed	event.idm.read_only_udm.security_result.detection_fields.value	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다. 이 필드는 no_of_files_renamed_field 키 아래에 매핑됩니다.
URL	event.idm.read_only_udm.network.http.referral_url	grok 패턴을 사용하여 Description 필드에서 추출한 값입니다.
	event.idm.read_only_udm.metadata.event_type	Client 필드가 있으면 이 필드는 STATUS_UPDATE로 설정되고, 그렇지 않으면 GENERIC_EVENT로 설정됩니다.
	event.idm.read_only_udm.metadata.product_name	이 필드는 COMMVAULT로 설정됩니다.
	event.idm.read_only_udm.metadata.vendor_name	이 필드는 COMMVAULT로 설정됩니다.
	event.idm.read_only_udm.principal.user.user_role	User 필드가 Administrator인 경우 이 필드는 ADMINISTRATOR로 설정됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.