收集 Carbon Black EDR 日志

本文档介绍了如何使用 AWS S3 从云端和本地环境中收集 Carbon Black EDR 日志。解析器从 JSON、CSV 或 syslog 格式的消息中提取字段，对其进行标准化处理，然后将其映射到 UDM。它可处理各种 Carbon Black 事件类型，包括网络连接、进程事件、文件修改、注册表更改和 IOC 命中，并在可用时通过威胁情报和设备信息来丰富数据。

准备工作

确保您满足以下前提条件：

• Google SecOps 实例。
• 对 AWS IAM 和 S3 的特权访问权限。
• 对云端或本地 Carbon Black EDR 的特权访问权限。

配置本地 Carbon Black EDR

为本地环境配置 Amazon S3 存储桶

1. 按照以下用户指南创建 Amazon S3 存储桶：创建存储桶
2. 保存存储桶名称和区域以备后用。
3. 按照以下用户指南创建用户：创建 IAM 用户。
4. 选择创建的用户。
5. 选择安全凭据标签页。
6. 在访问密钥部分中，点击创建访问密钥。
7. 选择第三方服务作为使用情形。
8. 点击下一步。
9. 可选：添加说明标记。
10. 点击创建访问密钥。
11. 点击 Download CSV file（下载 CSV 文件），保存访问密钥和不公开的访问密钥以供日后使用。
12. 点击完成。
13. 选择权限标签页。
14. 在权限政策部分中，点击添加权限。
15. 选择添加权限。
16. 选择直接附加政策。
17. 搜索并选择 AmazonS3FullAccess 政策。
18. 点击下一步。
19. 点击添加权限。

在本地 EDR 服务器上安装 cb-event-forwarder

1. 安装 CbOpenSource 代码库（如果尚未安装）：

   cd /etc/yum.repos.d
   curl -O https://opensource.carbonblack.com/release/x86_64/CbOpenSource.repo
   

2. 使用 YUM 安装 RPM：

   yum install cb-event-forwarder
   

3. 如果您使用的是 EDR 7.1.0 或更高版本，请运行以下脚本来设置 EDR 所需的相应权限：

   /usr/share/cb/integrations/event-forwarder/cb-edr-fix-permissions.sh
   

配置 cb-event-forwarder 以输出 JSON 日志

1. 打开配置文件：

   sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf
   

2. 修改以下参数：

   [event_forwarder]
   output_format=json   # Enable JSON format
   output_type=s3       # Send logs to AWS S3
   s3_bucket_name=YOUR-S3-BUCKET-NAME
   s3_region=YOUR-S3-BUCKET-NAME
   s3_access_key_id=YOUR_AWS_ACCESS_KEY
   s3_secret_access_key=YOUR_AWS_SECRET_KEY
   s3_prefix=carbonblack/edr/logs
   

3. 使用键盘保存并退出：

   • 按 Ctrl + X，然后按 Y 和 Enter 键。

4. 启动 cb-event-forwarder：

   sudo systemctl enable cb-event-forwarder
   sudo systemctl restart cb-event-forwarder
   sudo systemctl status cb-event-forwarder
   

为 S3 配置 Carbon Black Cloud Event Forwarder

创建 AWS S3 存储分区

1. 登录 AWS 管理控制台。
2. 确保 AWS 区域与事件转发器的区域一致：
   1. 在 AWS 控制台页面中，找到相应区域。
   2. 使用下拉菜单选择事件转发器的正确区域。
   3. 下表列出了每个 Carbon Black EDR 网址适用的 AWS 区域。
      • “instance-alias”.my.carbonblack.io - 区域：美国东部（北弗吉尼亚）弗吉尼亚） (us-east-1)
      • “instance-alias”.my.cbcloud.de - 区域：欧洲（法兰克福）(eu-central-1)
      • “instance-alias”.my.cbcloud.sg 区域：亚太地区（新加坡）(ap-southeast-1)
3. 选择服务。
4. 前往 S3 控制台。
5. 点击创建存储桶，打开创建存储桶向导。
   1. 在存储桶名称中，为存储桶输入一个唯一的名称（例如 CB-EDR）。
   2. 确保区域默认设置为您之前选择的区域。
   3. 更新阻止公开访问默认设置，以允许公开访问（这是将日志提取到 Google SecOps 中所必需的）。
   4. 选择创建存储分区。

配置 S3 存储分区以允许事件转发器写入事件

1. 按照以下用户指南创建用户：创建 IAM 用户。
2. 选择创建的用户。
3. 选择安全凭据标签页。
4. 在访问密钥部分中，点击创建访问密钥。
5. 选择第三方服务作为使用情形。
6. 点击下一步。
7. 可选：添加说明标记。
8. 点击创建访问密钥。
9. 点击 Download CSV file（下载 CSV 文件），保存访问密钥和不公开的访问密钥以供日后使用。
10. 点击完成。
11. 选择权限标签页。
12. 在权限政策部分中，点击添加权限。
13. 选择添加权限。
14. 选择直接附加政策。
15. 搜索 AmazonS3FullAccess 政策。
16. 选择相应政策。
17. 点击下一步。
18. 点击添加权限。

在 EDR 控制台中配置事件转发

1. 登录 VMware Carbon Black Cloud。
2. 前往事件转发器标签页
3. 启用您希望产品上传到 S3 的事件。
4. 前往输出和类型，然后设置为 S3。
5. 提供 S3 存储桶名称，格式如下：<region>:<bucket-name>（例如 us-east-1:cb-edr）。
6. 选择以 INI 格式上传 AWS 凭据文件。

7. 以下是配置文件的示例：

   AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
   AWS Secret Access Key [None]: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   Default region name [None]: us-east-1
   

8. 点击保存，然后重启服务以使更改生效。

设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed name 字段中，输入 Feed 的名称（例如 Carbon Black EDR Logs）。
5. 选择 Amazon S3 V2 作为来源类型。
6. 选择 Carbon Black EDR 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • S3 URI：存储桶 URI。
     • s3:/BUCKET_NAME
       • 将 BUCKET_NAME 替换为存储桶的实际名称。
   • 来源删除选项：根据您的偏好设置选择删除选项。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。