收集 Delinea Secret Server 記錄
支援的國家/地區:
Google SecOps
SIEM
本文說明如何收集 Delinea (舊稱 Thycotic) Secret Server 記錄。剖析器會將原始記錄轉換為符合 Google Security Operations 統合資料模型 (UDM) 的結構化格式。首先,系統會擷取時間戳記、事件類型和使用者資訊等重要欄位,然後根據特定事件類型使用條件邏輯,將資料對應至適當的 UDM 欄位,最終豐富資料,以便在 Google SecOps 中進行分析。
事前準備
請確認您已完成下列事前準備事項:
- Google Security Operations 執行個體
- Windows 2016 以上版本或 Linux 主機,且具備
systemd
- 如果透過 Proxy 執行,請確認防火牆通訊埠已開啟
- Delinea Secrets Server 的特殊存取權
取得 Google SecOps 擷取驗證檔案
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google Security Operations 控制台。
- 依序前往「SIEM 設定」>「設定檔」。
- 複製並儲存「機構詳細資料」專區中的客戶 ID。
安裝 Bindplane 代理程式
請按照下列操作說明,在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以系統管理員身分開啟「命令提示字元」或「PowerShell」。
執行下列指令:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 安裝
- 開啟具有根層級或 sudo 權限的終端機。
執行下列指令:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
其他安裝資源
如需其他安裝選項,請參閱安裝指南。
設定 Bindplane 代理程式,擷取系統記錄檔並傳送至 Google SecOps
- 存取設定檔:
- 找出
config.yaml
檔案。通常位於 Linux 的/etc/bindplane-agent/
目錄,或 Windows 的安裝目錄。 - 使用文字編輯器 (例如
nano
、vi
或記事本) 開啟檔案。
- 找出
按照下列方式編輯
config.yaml
檔案:receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'THYCOTIC' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
- 視基礎架構需求,替換通訊埠和 IP 位址。
- 將
<customer_id>
替換為實際的客戶 ID。 - 將「/path/to/ingestion-authentication-file.json」更新為驗證檔案在「取得 Google SecOps 擷取驗證檔案」一節中儲存的路徑。
重新啟動 Bindplane 代理程式,以套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式,請執行下列指令:
sudo systemctl restart bindplane-agent
如要在 Windows 中重新啟動 Bindplane 代理程式,可以使用「服務」控制台,或輸入下列指令:
net stop BindPlaneAgent && net start BindPlaneAgent
設定 Thycotic Secret Server,透過 Syslog 傳送記錄
- 使用管理員憑證登入 Thycotic Secret Server。
- 依序前往「管理」>「設定」。
- 按一下 [編輯]。
- 選取「啟用 Syslog/CEF 記錄」核取方塊,並指定下列詳細資料:
- Syslog/CEF 伺服器:輸入 Syslog 伺服器/Bindplane 的 IP 位址。
- Syslog/CEF 通訊協定:選取「UDP」或「TCP」 (視 Syslog 伺服器或 Bindplane 設定而定)。
- Syslog/CEF port:輸入 Syslog 伺服器或 Bindplane 設定要監聽的通訊埠編號。
- 按一下 [儲存]。
UDM 對應表
記錄欄位 | UDM 對應 | 邏輯 |
---|---|---|
Account_Domain | event1.idm.read_only_udm.principal.domain | 這個值取自原始記錄的 msg 欄位中的 Account_Domain 欄位。 |
依使用者 | event1.idm.read_only_udm.principal.user.userid | 這個值取自原始記錄的 msg 欄位中的 By User 欄位。 |
容器 ID | event1.idm.read_only_udm.principal.asset.asset_id | 這個值取自原始記錄的 msg 欄位中的 Container Id 欄位,並以 container_id: 為前置字元。 |
容器名稱 | event1.idm.read_only_udm.principal.resource.name | 這個值取自原始記錄的 msg 欄位中的 Container name 欄位。 |
cs2 | event1.idm.read_only_udm.additional.fields[].value.string_value | 這個值取自原始記錄的 msg 欄位中的 cs2 欄位。 |
cs3 | event1.idm.read_only_udm.target.file.full_path | 這個值取自原始記錄的 msg 欄位中的 cs3 欄位。 |
cs4 | event1.idm.read_only_udm.principal.user.user_display_name | 這個值取自原始記錄的 msg 欄位中的 cs4 欄位。 |
詳細資料 | event1.idm.read_only_udm.additional.fields[].value.string_value | 這個值取自原始記錄的 msg 欄位中的 Details 欄位。 |
fname | event1.idm.read_only_udm.target.file.full_path | 這個值取自原始記錄的 msg 欄位中的 fname 欄位。 |
主機 | event1.idm.read_only_udm.principal.hostname、event1.idm.read_only_udm.principal.asset.hostname | 這個值取自原始記錄的 msg 欄位中的 Host 欄位。 |
項目名稱 | event1.idm.read_only_udm.target.user.userid | 這個值取自原始記錄的 msg 欄位中的 Item Name 欄位。 |
event1.idm.read_only_udm.additional.fields[].key | 值會硬式編碼為 fname 。 |
|
event1.idm.read_only_udm.additional.fields[].key | 值會硬式編碼為 Group or User 。 |
|
event1.idm.read_only_udm.additional.fields[].key | 值會硬式編碼為 Details 。 |
|
event1.idm.read_only_udm.additional.fields[].key | 值會硬式編碼為 type_id 。 |
|
event1.idm.read_only_udm.extensions.auth.type | 值會硬式編碼為 MACHINE 。 |
|
event1.idm.read_only_udm.metadata.description | 這個值取自 thycotic_event 欄位,該欄位是使用 grok 模式從原始記錄中擷取而來。 |
|
event1.idm.read_only_udm.metadata.event_timestamp.seconds | 如有 rt 欄位,值會從該欄位衍生,否則會從 ts 欄位衍生。這兩個欄位都是使用 Grok 模式從原始記錄中擷取。 |
|
event1.idm.read_only_udm.metadata.event_type | 系統會根據 thycotic_event 欄位和其他條件判斷價值。舉例來說,如果 thycotic_event 為 USER - LOGIN ,事件類型會設為 USER_LOGIN 。 |
|
event1.idm.read_only_udm.metadata.log_type | 值會硬式編碼為 THYCOTIC 。 |
|
event1.idm.read_only_udm.metadata.product_event_type | 這個值取自 thycotic_event 欄位,該欄位是使用 grok 模式從原始記錄中擷取而來。 |
|
event1.idm.read_only_udm.metadata.product_log_id | 這個值取自 action_id 欄位,該欄位是使用 grok 模式從原始記錄中擷取而來。 |
|
event1.idm.read_only_udm.metadata.product_name | 這個值取自 device_product 欄位,該欄位是使用 grok 模式從原始記錄中擷取而來。如果欄位空白,系統會將值硬式編碼為 Secret Server 。 |
|
event1.idm.read_only_udm.metadata.product_version | 這個值取自 device_version 欄位,該欄位是使用 grok 模式從原始記錄中擷取而來。 |
|
event1.idm.read_only_udm.metadata.vendor_name | 值會硬式編碼為 Thycotic 。 |
|
event1.idm.read_only_udm.network.ip_protocol | 如果 input.type 欄位為 tcp ,則值會設為 TCP 。 |
|
event1.idm.read_only_udm.observer.application | 如有 agent.type 欄位,系統會從該欄位取得值,否則會硬式編碼為 Secret Server 。 |
|
event1.idm.read_only_udm.observer.asset_id | 這個值會設為 Agent ID: ,並與 agent.id 欄位串連。 |
|
event1.idm.read_only_udm.observer.hostname | 如有 agent.hostname 欄位,系統會從該欄位取得值,否則會從 server 欄位取得值。 |
|
event1.idm.read_only_udm.observer.platform_version | 這個值取自 agent.version 欄位。 |
|
event1.idm.read_only_udm.observer.user.userid | 這個值取自 agent.name 欄位。 |
|
event1.idm.read_only_udm.principal.asset.asset_id | 這個值會設為 ID: ,並與 host.id 欄位串連。 |
|
event1.idm.read_only_udm.principal.asset.hardware.cpu_platform | 這個值取自 host.architecture 欄位。 |
|
event1.idm.read_only_udm.principal.asset.hostname | 如有 server 欄位,系統會從該欄位取得值,否則會從 host.hostname 欄位取得值。 |
|
event1.idm.read_only_udm.principal.asset.ip | 如有 src 欄位,系統會從該欄位取得值,否則會從 src_ip 欄位取得值。 |
|
event1.idm.read_only_udm.principal.hostname | 如有 host.hostname 欄位,系統會從該欄位取得值,否則會從 server 欄位取得值。 |
|
event1.idm.read_only_udm.principal.ip | 如有 src 欄位,系統會從該欄位取得值,否則會從 src_ip 欄位或 host.ip 欄位取得值。 |
|
event1.idm.read_only_udm.principal.mac | 這個值取自 host.mac 欄位。 |
|
event1.idm.read_only_udm.principal.platform | 如果 host_os_platform 欄位為 centos ,值會設為 LINUX ,否則會設為 host_os_platform 欄位的大寫值。 |
|
event1.idm.read_only_udm.principal.platform_patch_level | 這個值取自 host.os.kernel 欄位。 |
|
event1.idm.read_only_udm.principal.platform_version | 這個值取自 host.os.version 欄位。 |
|
event1.idm.read_only_udm.principal.port | 這個值取自 src_port 欄位,並使用 grok 模式從 log.source.address 欄位擷取。 |
|
event1.idm.read_only_udm.principal.user.user_display_name | 這個值取自原始記錄的 msg 欄位中的 cs4 欄位。 |
|
event1.idm.read_only_udm.principal.user.userid | 這個值取自原始記錄的 msg 欄位中的 suser 欄位,如果 thycotic_event 為 USER - LOGIN 、USER - LOGOUT 、USER - LOGINFAILURE 或 USER - EDIT ,則取自 By User 欄位。 |
|
event1.idm.read_only_udm.security_result.action | 這個值取自原始記錄的 msg 欄位中的 Action 欄位。您也可以根據 thycotic_event 的值,將其設為 ALLOW 或 BLOCK 。 |
|
event1.idm.read_only_udm.security_result.description | 這個值取自 temp_message 欄位,其中包含擷取其他欄位後 msg 欄位的其餘部分。 |
|
event1.idm.read_only_udm.security_result.severity | 這個值取決於 syslog_severity 欄位。舉例來說,如果 syslog_severity 包含 error 或 warning ,嚴重程度會設為 HIGH 。如果 thycotic_event 是 System Log ,嚴重程度會設為 INFORMATIONAL 。 |
|
event1.idm.read_only_udm.security_result.severity_details | 這個值取自 syslog_severity 欄位。 |
|
event1.idm.read_only_udm.target.file.full_path | 如果 cs3 和 fname 欄位都存在,系統會以 / 分隔符串連這兩個欄位,建構出值。如果只有一個欄位,系統會採用該欄位的值。 |
|
event1.idm.read_only_udm.target.resource.product_object_id | 這個值取自 type_id 欄位。 |
|
event1.idm.read_only_udm.target.user.userid | 這個值取自原始記錄的 msg 欄位中的 item_name 欄位,如果 thycotic_event 為 USER - LOGIN 、USER - LOGOUT 、USER - LOGINFAILURE 或 USER - EDIT ,則取自 Item Name 欄位。 |
|
events.timestamp.seconds | 如有 rt 欄位,值會從該欄位衍生,否則會從 ts 欄位衍生。這兩個欄位都是使用 Grok 模式從原始記錄中擷取。 |
|
rt | event1.idm.read_only_udm.metadata.event_timestamp.seconds | 這個值取自原始記錄的 msg 欄位中的 rt 欄位,用於設定事件時間戳記。 |
src | event1.idm.read_only_udm.principal.asset.ip、event1.idm.read_only_udm.principal.ip | 這個值取自原始記錄的 msg 欄位中的 src 欄位。 |
src_ip | event1.idm.read_only_udm.principal.asset.ip、event1.idm.read_only_udm.principal.ip | 這個值取自 src_ip 欄位,並使用 grok 模式從 log.source.address 欄位擷取。 |
還有其他問題嗎?向社群成員和 Google SecOps 專業人員尋求答案。