Mengumpulkan log Audit Check Point

Didukung di:

Dokumen ini menjelaskan cara menyerap log Audit Check Point ke Google Security Operations menggunakan Bindplane. Parser mengekstrak kolom dari log audit firewall Check Point dalam format SYSLOG atau CEF, melakukan transformasi dan pemetaan data, serta menyusun output ke dalam Model Data Terpadu (UDM) Google Security Operations untuk analisis keamanan. Secara khusus, layanan ini menangani peristiwa login-logout pengguna, pembaruan status, dan memperkaya data dengan konteks tambahan dari log.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika dijalankan di belakang proxy, port firewall terbuka
  • Akses istimewa ke Check Point Appliance

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'CHECKPOINT_AUDIT'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

  4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

  5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi Syslog di Check Point

  1. Login ke Checkpoint Management Console.
  2. Buka Logs and Monitoring > Log Export.
  3. Klik Tambahkan.
  4. Pilih Syslog sebagai jenis ekspor.
  5. Berikan detail konfigurasi berikut:
    • Nama: Masukkan nama untuk konfigurasi Anda (misalnya, Google SecOps Export).
    • Tujuan: Masukkan alamat IP agen Bindplane.
    • Port: Masukkan nomor port agen Bindplane.
    • Ekspor Log: Pilih Log Audit atau Semua.
    • Format Syslog: Pilih RFC 3164 atau RFC 5424.
  6. Klik Simpan.

Tabel pemetaan UDM

Kolom log Pemetaan UDM Logika
bertindak read_only_udm.security_result.action Nilai dari kolom act dalam log mentah.
additional_info read_only_udm.security_result.description Nilai dari kolom additional_info dalam log mentah.
administrator read_only_udm.target.user.user_display_name Nilai dari kolom administrator dalam log mentah.
komentar read_only_udm.additional.fields.value.string_value Nilai dari kolom comment dalam log mentah. Kunci di-hardcode sebagai comment.
deviceDirection read_only_udm.network.direction Jika deviceDirection=1 maka OUTBOUND, jika tidak INBOUND.
ifname read_only_udm.additional.fields.value.string_value Nilai dari kolom ifname dalam log mentah. Kunci di-hardcode sebagai ifname.
loguid read_only_udm.metadata.product_log_id Nilai dari kolom loguid dalam log mentah.
log_sys_message read_only_udm.metadata.description Nilai dari kolom log_sys_message dalam log mentah.
msg read_only_udm.metadata.description Nilai dari kolom msg dalam log mentah.
operasi read_only_udm.security_result.action_details Nilai dari kolom operation dalam log mentah.
asal read_only_udm.intermediary.ip Nilai dari kolom origin dalam log mentah.
originsicname read_only_udm.additional.fields.value.string_value Nilai dari kolom originsicname dalam log mentah. Kunci di-hardcode sebagai originsicname.
hasil read_only_udm.security_result.outcomes.value Nilai dari kolom outcome dalam log mentah. Kunci di-hardcode sebagai outcome.
produk read_only_udm.metadata.product_name Nilai dari kolom product dalam log mentah.
rt read_only_udm.metadata.event_timestamp.seconds Nilai dari kolom rt dalam log mentah, dikonversi menjadi detik.
sendtotrackerasadvancedauditlog read_only_udm.additional.fields.value.string_value Nilai dari kolom sendtotrackerasadvancedauditlog dalam log mentah. Kunci di-hardcode sebagai sendtotrackerasadvancedauditlog.
sequencenum read_only_udm.additional.fields.value.string_value Nilai dari kolom sequencenum dalam log mentah. Kunci di-hardcode sebagai sequencenum.
session_uid read_only_udm.additional.fields.value.string_value Nilai dari kolom session_uid dalam log mentah. Kunci di-hardcode sebagai session_uid.
sntdom read_only_udm.principal.administrative_domain Nilai dari kolom sntdom dalam log mentah.
src read_only_udm.principal.ip Nilai dari kolom src dalam log mentah.
subject read_only_udm.security_result.summary Nilai dari kolom subject dalam log mentah.
update_service read_only_udm.additional.fields.value.string_value Nilai dari kolom update_service dalam log mentah. Kunci di-hardcode sebagai update_service.
versi read_only_udm.additional.fields.value.string_value Nilai dari kolom version dalam log mentah. Kunci di-hardcode sebagai version.
T/A read_only_udm.metadata.event_type Jika kolom host ada dalam log mentah, maka STATUS_UPDATE. Jika kolom operation sama dengan Log Out, maka USER_LOGOUT. Jika kolom operation sama dengan Log In, maka USER_LOGIN. Jika tidak, GENERIC_EVENT.
T/A read_only_udm.metadata.vendor_name Nilai yang di-hardcode: Check Point.
T/A read_only_udm.metadata.product_version Nilai yang di-hardcode: Check Point.
T/A read_only_udm.metadata.product_event_type Nilai yang di-hardcode: [Log] - Log.
T/A read_only_udm.metadata.log_type Nilai yang di-hardcode: CHECKPOINT_FIREWALL.
T/A read_only_udm.principal.hostname Nilai dari kolom host dalam log mentah.
T/A read_only_udm.principal.asset.hostname Nilai dari kolom host dalam log mentah.
T/A read_only_udm.extensions.auth.type Jika kolom operation sama dengan Log Out atau Log In, maka AUTHTYPE_UNSPECIFIED.
T/A read_only_udm.extensions.auth.mechanism Jika kolom operation sama dengan Log Out atau Log In, maka MECHANISM_UNSPECIFIED.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.