Comodo AV 로그 수집
이 문서에서는 Bindplane을 사용하여 Comodo AV 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서 코드는 먼저 Grok 패턴과 키-값 분리를 사용하여 Comodo AV/Endpoint 로그에서 필드를 추출합니다. 그런 다음 추출된 데이터를 통합 데이터 모델 (UDM) 스키마의 해당 필드에 매핑하여 표준화된 보안 이벤트 정보로 원시 로그를 보강합니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Windows 2016 이상 또는
systemd
가 설치된 Linux 호스트 - 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있음
- Comodo IT 및 보안 관리자 콘솔에 대한 권한 있는 액세스
Google SecOps 수집 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
- 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.
Windows 설치
- 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
추가 설치 리소스
추가 설치 옵션은 설치 가이드를 참고하세요.
Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성
- 구성 파일에 액세스합니다.
config.yaml
파일을 찾습니다. 일반적으로 Linux에서는/etc/bindplane-agent/
디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.- 텍스트 편집기 (예:
nano
,vi
, 메모장)를 사용하여 파일을 엽니다.
다음과 같이
config.yaml
파일을 수정합니다.receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: 'COMODO_AV' raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
- 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.
<customer_id>
를 실제 고객 ID로 바꿉니다.- Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로
/path/to/ingestion-authentication-file.json
를 업데이트합니다.
Bindplane 에이전트를 다시 시작하여 변경사항 적용
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.
sudo systemctl restart bindplane-agent
Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.
net stop BindPlaneAgent && net start BindPlaneAgent
Syslog를 전송하도록 Comodo Antivirus 구성
- Comodo IT and Security Manager 콘솔에 로그인합니다.
- 고급 설정 > 일반 설정 > 로깅으로 이동합니다.
- 다음 구성 세부정보를 제공합니다.
- syslog 서버에 쓰기 (CEF 형식) 체크박스를 선택합니다.
- 호스트: Bindplane 에이전트 IP 주소를 입력합니다.
- 포트: Bindplane 에이전트 포트 번호를 입력합니다 (예:
514
(UDP의 경우)
- 확인을 클릭하여 변경사항을 저장합니다.
UDM 매핑 테이블
로그 필드 | UDM 매핑 | 논리 |
---|---|---|
data3 | principal.asset.platform_software.platform_version | 제품 버전을 나타내는 data3 필드의 값이 principal.asset.platform_software.platform_version 에 매핑됩니다. |
data4 | principal.user.product_object_id | 제품 내 사용자의 고유 식별자를 나타내는 data4 필드의 값이 principal.user.product_object_id 에 매핑됩니다. |
data5 | principal.application | 애플리케이션 또는 이벤트 이름을 나타내는 data5 필드의 값이 principal.application 에 매핑됩니다. |
datetime | metadata.event_timestamp.seconds | 이벤트 타임스탬프를 나타내는 datetime 필드가 파싱되고 에포크 초 값이 metadata.event_timestamp.seconds 에 매핑됩니다. |
dvc | principal.ip | 기기 IP 주소를 나타내는 dvc 필드는 principal.ip 에 매핑됩니다. |
dvchost | principal.hostname | 기기 호스트 이름을 나타내는 dvchost 필드가 principal.hostname 에 매핑됩니다. |
filePath | target.file.full_path | 스캔된 파일의 전체 경로를 나타내는 filePath 필드가 target.file.full_path 에 매핑됩니다. |
fname | target.process.parent_process.file.full_path | 상위 프로세스의 파일 이름을 나타내는 fname 필드는 target.process.parent_process.file.full_path 에 매핑됩니다. |
suser | target.user.userid | 이벤트와 연결된 사용자를 나타내는 suser 필드는 target.user.userid 에 매핑됩니다. |
metadata.event_type | 이 필드는 filePath 의 존재 여부에 따라 파생됩니다. filePath 이 비어 있지 않으면 SCAN_FILE 로 설정되고, 그렇지 않으면 SCAN_HOST 로 설정됩니다. |
|
metadata.log_type | 이 필드는 COMODO_AV 로 정적으로 설정됩니다. |
|
metadata.vendor_name | 이 필드는 COMODO 로 정적으로 설정됩니다. |
|
metadata.product_name | 이 필드는 COMODO_AV 로 정적으로 설정됩니다. |
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.