Carbon Black App Control 로그 수집

이 문서에서는 Carbon Black App Control 로그를 수집하는 방법을 설명합니다. 파서는 CEF 및 JSON 형식을 모두 지원합니다. 먼저 입력을 JSON으로 파싱하려고 시도합니다. 실패하면 입력을 CEF로 취급하고 텍스트 대체를 실행하고 CEF 필드를 추출하여 UDM에 매핑하고 이벤트 유형을 GENERIC_EVENT로 설정합니다. 그렇지 않으면 별도의 JSON별 UDM 매핑 포함 파일을 사용합니다.

시작하기 전에

• Google Security Operations 인스턴스가 있는지 확인합니다.
• Windows 2016 이상 또는 systemd를 사용하는 Linux 호스트를 사용하고 있는지 확인합니다.
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
• Carbon Black App Control (CB Protection) 서버 (버전 8.x 이상 권장)
• Carbon Black App Control에 대한 권한이 있는지 확인합니다.

Google SecOps 처리 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 처리 인증 파일을 다운로드합니다. Bindplane가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

• 추가 설치 옵션은 이 설치 가이드를 참고하세요.

Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.

   1. config.yaml 파일을 찾습니다. 일반적으로 Linux의 /etc/bindplane-agent/ 디렉터리 또는 Windows의 설치 디렉터리에 있습니다.
   2. 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:11592"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: JSON
               namespace: cb_app_control
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   
   

3. 인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. /path/to/ingestion-authentication-file.json를 Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane Agent를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Syslog 로그를 전송하도록 CB 앱 제어 구성

1. 관리자 계정으로 CB 앱 제어 콘솔에 로그인합니다.
2. 관리 > 시스템 구성 > 외부 로깅으로 이동합니다.
3. 외부 이벤트 로깅 섹션에서 다음을 수행합니다.
   • Syslog 로깅 사용 설정: Syslog 사용 설정 체크박스를 선택합니다.
   • 서버 주소: <Bindplane Server IP>.
   • 포트: <Bindplane Server PORT>.
   • 프로토콜: TCP를 선택합니다.
   • Syslog 형식: JSON을 선택합니다.
4. 이벤트 로깅 옵션에서 전송할 로그 유형을 선택합니다.
   • 정책 위반
   • 파일 무결성 모니터링 (FIM) 이벤트
   • 사용자 인증 이벤트
   • 위협 인텔리전스 데이터
5. 저장을 클릭합니다.

UDM 매핑 표

변경사항

2022-07-01

• 개선
• 'agent.type' 필드가 'observer.application'에 매핑되었습니다.
• 'agent.name' 필드가 'observer.user.userid'에 매핑되었습니다.
• 'host.name' 필드가 'observer.hostname'에 매핑되었습니다.
• 'agent.type' 및 'agent.name' 필드가 'observer.asset_id'에 매핑되었습니다.
• 'agent.ephemeral_id' 필드가 'observer.labels'에 매핑되었습니다.
• 'host.os.platform' 필드가 'target.platform'에 매핑되었습니다.
• 'host.os.version' 필드가 'target.platform_version'에 매핑되었습니다.
• 'host.os.kernel' 필드가 'target.platform_patch_level'에 매핑되었습니다.
• 'cloud.instance.id' 필드가 'principal.resource.product_object_id'에 매핑되었습니다.
• 'cloud.instance.name' 필드가 'principal.resource.name'에 매핑되었습니다.
• 'host.mac' 필드가 'target.mac'에 매핑되었습니다.
• 'host.ip' 필드가 'target.asset.ip'에 매핑되었습니다.
• 'host.id' 필드가 'target.asset.asset_id'에 매핑되었습니다.
• 'host.architecture' 필드가 'target.asset.hardware'에 매핑되었습니다.
• 'message.UserSID' 필드가 'principal.user.userid'에 매핑되었습니다.
• 'message.ProcessPath' 필드가 'about.process.command_line'에 매핑되었습니다.
• 'cloud.machine.type' 및 'cloud.provider' 필드가 'principal.resource.attribute.labels'에 매핑되었습니다.
• 'metadata.url_back_to_product'에 매핑된 'message.Bit9Server' 및 'message.HostId'에 대한 조건부 검사를 추가했습니다.

2022-06-22

• 버그 수정
• hostId를 principal.asset_id에 매핑했습니다.
• Bit9Server 및 HostId 조합을 metadata.url_back_to_product에 매핑했습니다.

2022-05-19

• 버그 수정
• 버그에서 요청된 로그를 파싱했습니다.
• 파싱된 API 실패 로그

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.