BeyondTrust Endpoint Privilege Management-Logs erfassen

In diesem Dokument wird beschrieben, wie Sie BeyondTrust Endpoint Privilege Management-Logs (EPM) mit AWS S3 in Google Security Operations aufnehmen. Der Parser konzentriert sich auf die Umwandlung von JSON-Logrohdaten von BeyondTrust Endpoint in ein strukturiertes Format, das dem Unified Data Model (UDM) entspricht. Zuerst werden Standardwerte für verschiedene Felder initialisiert. Anschließend wird die JSON-Nutzlast geparst und bestimmte Felder aus dem Rohlog werden den entsprechenden UDM-Feldern im event.idm.read_only_udm-Objekt zugeordnet.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Google SecOps-Instanz
• Privilegierter Zugriff auf AWS
• Privilegierter Zugriff auf BeyondTrust Endpoint Privilege Management

AWS IAM für die Google SecOps-Aufnahme konfigurieren

1. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
2. Wählen Sie den erstellten Nutzer aus.
3. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
4. Klicken Sie im Abschnitt Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
5. Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
6. Klicken Sie auf Weiter.
7. Optional: Fügen Sie ein Beschreibungstag hinzu.
8. Klicken Sie auf Zugriffsschlüssel erstellen.
9. Klicken Sie auf CSV-Datei herunterladen, um den Access Key (Zugriffsschlüssel) und den Secret Access Key (geheimer Zugriffsschlüssel) für die zukünftige Verwendung zu speichern.
10. Klicken Sie auf Fertig.
11. Wählen Sie den Tab Berechtigungen aus.
12. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
13. Wählen Sie Berechtigungen hinzufügen aus.
14. Wählen Sie Richtlinien direkt anhängen aus.
15. Suchen Sie nach der Richtlinie AmazonS3FullAccess und wählen Sie sie aus.
16. Klicken Sie auf Weiter.
17. Klicken Sie auf Berechtigungen hinzufügen.

BeyondTrust EPM für den API-Zugriff konfigurieren

1. Melden Sie sich als Administrator in der Webkonsole von BeyondTrust Privilege Management an.
2. Gehen Sie zu Systemkonfiguration > REST API > Tokens.
3. Klicken Sie auf Token hinzufügen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie Google SecOps Collector ein.
   • Bereiche: Wählen Sie Audit:Read und andere Bereiche nach Bedarf aus.
5. Speichern und Kopieren Sie den Tokenwert (dies ist Ihr BPT_API_TOKEN).
6. Kopieren Sie die API-Basis-URL. Sie ist in der Regel https://<your-epm-server>/api/v3 oder /api/v2, je nach Ihrer Version. Sie verwenden sie als BPT_API_URL.

AWS S3-Bucket erstellen

1. Melden Sie sich bei der AWS Management Console an.
2. Rufen Sie die AWS Console > Services > S3 > Create bucket auf.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Bucket-Name: my-beyondtrust-logs.
   • Region: [Ihre Auswahl] > Erstellen.

IAM-Rolle für EC2 erstellen

1. Melden Sie sich bei der AWS Management Console an.
2. Rufen Sie die AWS-Konsole > Dienste > IAM > Rollen > Rolle erstellen auf.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Vertrauenswürdige Identität: AWS-Dienst > EC2 > Weiter.
   • Berechtigung anhängen: AmazonS3FullAccess (oder eine Richtlinie mit eingeschränktem Umfang für Ihren Bucket) > Weiter.
   • Rollenname: EC2-S3-BPT-Writer > Rolle erstellen.

Optional: EC2 Collector-VM starten und konfigurieren

1. Melden Sie sich in der AWS Management Console an.
2. Rufen Sie Dienste auf.
3. Geben Sie in der Suchleiste „EC2“ ein und wählen Sie das Ergebnis aus.
4. Klicken Sie im EC2-Dashboard auf Instances (Instanzen).
5. Klicken Sie auf Instanzen starten.
6. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie BPT-Log-Collector ein.
   • AMI: Wählen Sie Ubuntu Server 22.04 LTS aus.
   • Instanztyp: t3.micro (oder größer). Klicken Sie dann auf Weiter.
   • Netzwerk: Die Netzwerkeinstellung muss auf Ihre Standard-VPC festgelegt sein.
   • IAM-Rolle: Wählen Sie im Menü die IAM-Rolle EC2-S3-BPT-Writer aus.
   • Öffentliche IP automatisch zuweisen: Aktivieren (oder dafür sorgen, dass Sie sie über VPN erreichen können) > Weiter.
   • Speicher hinzufügen: Behalten Sie die Standardspeicherkonfiguration (8 GiB) bei und klicken Sie auf Weiter.
   • Wählen Sie Neue Sicherheitsgruppe erstellen aus.
   • Regel für eingehenden Traffic: Klicken Sie auf Regel hinzufügen.
   • Typ: Wählen Sie SSH aus.
   • Port: 22
   • Quelle: Ihre IP-Adresse
   • Klicken Sie auf Überprüfen und starten.
   • Wählen Sie ein Schlüsselpaar aus oder erstellen Sie eines.
   • Klicken Sie auf Schlüsselpaar herunterladen.
   • Speichern Sie die heruntergeladene PEM-Datei. Sie benötigen diese Datei, um eine SSH-Verbindung zu Ihrer Instanz herzustellen.

7. Stellen Sie über SSH eine Verbindung zu Ihrer VM her:

   chmod 400 ~/Downloads/your-key.pem
   ssh -i ~/Downloads/your-key.pem ubuntu@<EC2_PUBLIC_IP>
   

Erforderliche Komponenten für Collector installieren

1. Führen Sie dazu diesen Befehl aus:

   # Update OS
   sudo apt update && sudo apt upgrade -y
   
   # Install Python, Git
   sudo apt install -y python3 python3-venv python3-pip git
   
   # Create & activate virtualenv
   python3 -m venv ~/bpt-venv
   source ~/bpt-venv/bin/activate
   
   # Install libraries
   pip install requests boto3
   

2. Verzeichnis und Statusdatei erstellen:

   sudo mkdir -p /var/lib/bpt-collector
   sudo touch /var/lib/bpt-collector/last_run.txt
   sudo chown ubuntu:ubuntu /var/lib/bpt-collector/last_run.txt
   

3. Initialisieren Sie sie (z. B. auf vor einer Stunde):

   echo "$(date -u -d '1 hour ago' +%Y-%m-%dT%H:%M:%SZ)" > /var/lib/bpt-collector/last_run.txt
   

Armis Collector-Skript bereitstellen

1. Projektordner erstellen:

   mkdir ~/bpt-collector && cd ~/bpt-collector
   

2. Exportieren Sie die erforderlichen Umgebungsvariablen (z. B. in ~/.bashrc):

   export BPT_API_URL="https://<your-subdomain>-services.pm.beyondtrustcloud.com"
   export BPT_CLIENT_ID="your-client-id"
   export BPT_CLIENT_SECRET="your-client-secret"
   export S3_BUCKET="my-bpt-logs"
   export S3_PREFIX="bpt/"
   export STATE_FILE="/var/lib/bpt-collector/last_run.txt"
   export PAGE_SIZE="100"
   

3. Erstellen Sie collector_bpt.py und geben Sie den folgenden Code ein:

   #!/usr/bin/env python3
   import os, sys, json, boto3, requests
   from datetime import datetime, timezone, timedelta
   
   # ── UTILS ─────────────────────────────────────────────────────────────────
   def must_env(var):
       val = os.getenv(var)
       if not val:
           print(f"ERROR: environment variable {var} is required", file=sys.stderr)
           sys.exit(1)
       return val
   
   def ensure_state_file(path):
       d = os.path.dirname(path)
       if not os.path.isdir(d):
           os.makedirs(d, exist_ok=True)
       if not os.path.isfile(path):
           ts = (datetime.now(timezone.utc) - timedelta(hours=1))\
               .strftime("%Y-%m-%dT%H:%M:%SZ")
           with open(path, "w") as f:
               f.write(ts)
   
   # ── CONFIG ─────────────────────────────────────────────────────────────────
   BPT_API_URL    = must_env("BPT_API_URL")       # for example, https://subdomain-services.pm.beyondtrustcloud.com
   CLIENT_ID      = must_env("BPT_CLIENT_ID")
   CLIENT_SECRET  = must_env("BPT_CLIENT_SECRET")
   S3_BUCKET      = must_env("S3_BUCKET")
   S3_PREFIX      = os.getenv("S3_PREFIX", "")    # for example, "bpt/"
   STATE_FILE     = os.getenv("STATE_FILE", "/var/lib/bpt-collector/last_run.txt")
   PAGE_SIZE      = int(os.getenv("PAGE_SIZE", "100"))
   # ── END CONFIG ─────────────────────────────────────────────────────────────
   
   ensure_state_file(STATE_FILE)
   
   def read_last_run():
       with open(STATE_FILE, "r") as f:
           ts = f.read().strip()
       return datetime.fromisoformat(ts.replace("Z", "+00:00"))
   
   def write_last_run(dt):
       with open(STATE_FILE, "w") as f:
           f.write(dt.strftime("%Y-%m-%dT%H:%M:%SZ"))
   
   def get_oauth_token():
       resp = requests.post(
           f"{BPT_API_URL}/oauth/connect/token",
           headers={"Content-Type": "application/x-www-form-urlencoded"},
           data={
               "grant_type":    "client_credentials",
               "client_id":     CLIENT_ID,
               "client_secret": CLIENT_SECRET
           }
       )
       resp.raise_for_status()
       return resp.json()["access_token"]
   
   def fetch_events(token, start, end):
       headers = {"Authorization": f"Bearer {token}"}
       offset = 0
       while True:
           params = {
               "startTime": start,
               "endTime":   end,
               "limit":     PAGE_SIZE,
               "offset":    offset
           }
           resp = requests.get(
               f"{BPT_API_URL}/management-api/v1/Audit/Events",
               headers=headers, params=params
           )
           resp.raise_for_status()
           events = resp.json().get("events", [])
           if not events:
               break
           for e in events:
               yield e
           offset += PAGE_SIZE
   
   def upload_to_s3(obj, key):
       boto3.client("s3").put_object(
           Bucket=S3_BUCKET, Key=key,
           Body=json.dumps(obj).encode("utf-8")
       )
   
   def main():
       # 1) determine window
       start_dt = read_last_run()
       end_dt   = datetime.now(timezone.utc)
       START = start_dt.strftime("%Y-%m-%dT%H:%M:%SZ")
       END   = end_dt.strftime("%Y-%m-%dT%H:%M:%SZ")
       print(f"Fetching events from {START} to {END}")
   
       # 2) authenticate and fetch
       token = get_oauth_token()
       count = 0
       for idx, evt in enumerate(fetch_events(token, START, END), start=1):
           key = f"{S3_PREFIX}{end_dt.strftime('%Y/%m/%d')}/evt_{int(end_dt.timestamp())}_{idx}.json"
           upload_to_s3(evt, key)
           count += 1
       print(f"Uploaded {count} events")
   
       # 3) persist state
       write_last_run(end_dt)
   
   if __name__ == "__main__":
       main()
   

4. Machen Sie es ausführbar:

   chmod +x collector_bpt.py
   

Tägliche Ausführung mit Cron planen

1. Führen Sie dazu diesen Befehl aus:

   crontab -e
   

2. Fügen Sie den täglichen Job um Mitternacht UTC hinzu:

   0 0 * * * cd ~/bpt-collector && source ~/bpt-venv/bin/activate && ./collector_bpt.py >> ~/bpt-collector/bpt.log 2>&1
   

Feeds einrichten

So konfigurieren Sie einen Feed:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feed name (Feedname) einen Namen für den Feed ein, z. B. BeyondTrust EPM Logs.
5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
6. Wählen Sie Beyondtrust Endpoint Privilege Management als Logtyp aus.
7. Klicken Sie auf Weiter.

8. Geben Sie Werte für die folgenden Eingabeparameter an:

   • S3-URI: Der Bucket-URI (das Format sollte s3://your-log-bucket-name/ sein). Ersetzen Sie Folgendes:
     • your-log-bucket-name: der Name des Buckets.
   • Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Option aus.

9. Klicken Sie auf Weiter.

10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten