Check Point-Audit-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Check Point-Audit-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus Check Point-Firewall-Audit-Logs im SYSLOG- oder CEF-Format, führt Datentransformationen und ‑zuordnungen durch und strukturiert die Ausgabe im einheitlichen Datenmodell (Unified Data Model, UDM) von Google Security Operations für Sicherheitsanalysen. Es verarbeitet insbesondere An- und Abmeldeereignisse von Nutzern sowie Statusaktualisierungen und reichert die Daten mit zusätzlichem Kontext aus den Logs an.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
  • Zugriffsrechte für Check Point Appliance

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'CHECKPOINT_AUDIT'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

  4. Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.

  5. Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Services verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog in Check Point konfigurieren

  1. Melden Sie sich in der Checkpoint Management Console an.
  2. Rufen Sie Logs und Monitoring > Log-Export auf.
  3. Klicken Sie auf Hinzufügen.
  4. Wählen Sie Syslog als Exporttyp aus.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen Namen für die Konfiguration ein, z. B. Google SecOps Export.
    • Ziel: Geben Sie die IP-Adresse des BindPlane-Agents ein.
    • Port: Geben Sie die Portnummer des Bindplane-Agents ein.
    • Log-Export: Wählen Sie Audit-Logs oder Alle aus.
    • Syslog-Format: Wählen Sie RFC 3164 oder RFC 5424 aus.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
handeln read_only_udm.security_result.action Wert aus dem Feld act im Rohlog.
additional_info read_only_udm.security_result.description Wert aus dem Feld additional_info im Rohlog.
Administrator read_only_udm.target.user.user_display_name Wert aus dem Feld administrator im Rohlog.
Kommentar read_only_udm.additional.fields.value.string_value Wert aus dem Feld comment im Rohlog. Der Schlüssel ist als comment hartcodiert.
deviceDirection read_only_udm.network.direction Wenn deviceDirection=1, dann OUTBOUND, andernfalls INBOUND.
ifname read_only_udm.additional.fields.value.string_value Wert aus dem Feld ifname im Rohlog. Der Schlüssel ist als ifname hartcodiert.
loguid read_only_udm.metadata.product_log_id Wert aus dem Feld loguid im Rohlog.
log_sys_message read_only_udm.metadata.description Wert aus dem Feld log_sys_message im Rohlog.
msg read_only_udm.metadata.description Wert aus dem Feld msg im Rohlog.
Vorgang read_only_udm.security_result.action_details Wert aus dem Feld operation im Rohlog.
Ursprung read_only_udm.intermediary.ip Wert aus dem Feld origin im Rohlog.
originsicname read_only_udm.additional.fields.value.string_value Wert aus dem Feld originsicname im Rohlog. Der Schlüssel ist als originsicname hartcodiert.
Ergebnis read_only_udm.security_result.outcomes.value Wert aus dem Feld outcome im Rohlog. Der Schlüssel ist als outcome hartcodiert.
Produkt read_only_udm.metadata.product_name Wert aus dem Feld product im Rohlog.
rt read_only_udm.metadata.event_timestamp.seconds Wert aus dem Feld rt im Rohlog, in Sekunden umgerechnet.
sendtotrackerasadvancedauditlog read_only_udm.additional.fields.value.string_value Wert aus dem Feld sendtotrackerasadvancedauditlog im Rohlog. Der Schlüssel ist als sendtotrackerasadvancedauditlog hartcodiert.
sequencenum read_only_udm.additional.fields.value.string_value Wert aus dem Feld sequencenum im Rohlog. Der Schlüssel ist als sequencenum hartcodiert.
session_uid read_only_udm.additional.fields.value.string_value Wert aus dem Feld session_uid im Rohlog. Der Schlüssel ist als session_uid hartcodiert.
sntdom read_only_udm.principal.administrative_domain Wert aus dem Feld sntdom im Rohlog.
src read_only_udm.principal.ip Wert aus dem Feld src im Rohlog.
subject read_only_udm.security_result.summary Wert aus dem Feld subject im Rohlog.
update_service read_only_udm.additional.fields.value.string_value Wert aus dem Feld update_service im Rohlog. Der Schlüssel ist als update_service hartcodiert.
Version read_only_udm.additional.fields.value.string_value Wert aus dem Feld version im Rohlog. Der Schlüssel ist als version hartcodiert.
– read_only_udm.metadata.event_type Wenn das Feld host im Rohlog vorhanden ist, dann STATUS_UPDATE. Wenn das Feld operation gleich Log Out ist, dann USER_LOGOUT. Wenn das Feld operation gleich Log In ist, dann USER_LOGIN. Andernfalls GENERIC_EVENT.
– read_only_udm.metadata.vendor_name Fest codierter Wert: Check Point.
– read_only_udm.metadata.product_version Fest codierter Wert: Check Point.
– read_only_udm.metadata.product_event_type Fest codierter Wert: [Log] - Log.
– read_only_udm.metadata.log_type Fest codierter Wert: CHECKPOINT_FIREWALL.
– read_only_udm.principal.hostname Wert aus dem Feld host im Rohlog.
– read_only_udm.principal.asset.hostname Wert aus dem Feld host im Rohlog.
– read_only_udm.extensions.auth.type Wenn das Feld operation gleich Log Out oder Log In ist, dann AUTHTYPE_UNSPECIFIED.
– read_only_udm.extensions.auth.mechanism Wenn das Feld operation gleich Log Out oder Log In ist, dann MECHANISM_UNSPECIFIED.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten