收集 Zeek (Bro) 記錄

本文件說明如何透過 Google 安全作業部署 Zeek (舊稱 Bro) 和 NXLog，以便以 JSON 格式收集 Zeek 記錄。本文件也說明瞭 Zeek 記錄欄位如何對應至 Google Security Operations 統一資料模型 (UDM) 欄位。

如需 Google Security Operations 資料擷取的總覽，請參閱「將資料擷取至 Google Security Operations」。

擷取標籤會標示剖析器，將原始記錄資料正規化為具結構性的 UDM 格式。本文件中的資訊適用於使用 BRO_JSON 攝入標籤的剖析器。

事前準備

• 如要瞭解用於收集 Zeek 記錄的部署元件，請參閱部署架構。每個客戶的部署作業可能與此表示方式不同，也可能更複雜。下圖說明如何在 Linux 伺服器上設定 NXLog 代理程式和 Google 安全營運轉送程式，並將記錄資料轉送至 Google 安全營運服務。

  

• 確認 Google Security Operations 剖析器支援的 Zeek 版本。Google Security Operations 剖析器支援下列 Zeek 版本：

  • Zeek 4.1.0
  • Zeek 4.0.1
  • Zeek 5.2.0
  • Zeek 6.0.0

• 使用 Zeek 剖析器前，請先查看先前剖析器與目前 Zeek 剖析器之間的欄位對應項目變更。在遷移過程中，請確認依賴原始欄位的規則、搜尋、資訊主頁或其他程序，都會使用更新後的欄位。

  舉例來說，在先前的剖析器版本中，server_name 欄位會對應至 target.hostname UDM 欄位。在目前的 Zeek 剖析器中，server_name 欄位會對應至 network.tls.client.server_name UDM 欄位。如果您遷移至目前的 Zeek 剖析器，並在規則中使用 server_name 欄位，就必須修改規則，以便使用目前剖析器的 network.tls.client.server_name UDM 欄位。

• 確認 Google Security Operations 剖析器支援的 Zeek 記錄類型。下表列出 Google Security Operations 剖析器支援的 Zeek 記錄類型：

記錄類型	說明
網路通訊協定	包含網路通訊協定的記錄檔案，例如動態主機設定通訊協定 (DHCP) 和網域名稱系統 (DNS)。
檔案	包含下列記錄檔：檔案分析結果、線上憑證狀態通訊協定 (OCSP)、可攜式執行檔 (PE) 和 X.509 憑證。
NetControl	包含 NetControl 動作和 OpenFlow 偵錯記錄的記錄檔。
偵測	包含資訊資料比對、Zeek 通知、警報串流、簽章比對和 traceroute 偵測的記錄檔。
網路觀察結果	包括 SSL 憑證、已完成 TCP 握手的主機、Modbus 主機和副本、主機上執行的服務，以及網路上使用的軟體的記錄檔。

• 如果您尚未安裝及設定 Zeek，請先完成這些步驟。詳情請參閱「Zeek 安裝程序」。

• 以 JSON 格式收集 Zeek 記錄。詳情請參閱「將 Zeek 記錄輸出至 JSON」。

• 請確認部署架構中的所有系統都已設定為世界標準時間。

設定 NXLog 和 Google Security Operations 轉送器

1. 在 Google Security Operations 轉寄站執行的 Linux 機器上，下載並安裝 NXLog Community Edition。
   • 如要進一步瞭解如何下載 NXLog Community Edition，請參閱 NXLog 說明文件。
   • 如要進一步瞭解如何安裝必要的 NXLog 套件和依附元件，請參閱「在 Linux 系統上安裝 NXLog」。
2. 為每個 NXLog 執行個體建立設定檔。

3. 使用 NXLog im_file 模組讀取檔案，並將行解析為欄位。以下是 NXLog 設定範例：

   LogFile /var/log/nxlog/nxlog.log
   LogLevel INFO
   
   define ZEEK_OUTPUT_DESTINATION_ADDRESS <hostname>
   define ZEEK_OUTPUT_DESTINATION_PORT <port>
   
   <Input conn>
      Module      im_file
      File        '/opt/zeek/logs/current/conn.log'
      Exec $raw_event= "conn" + ' - ' + $raw_event;;
   </Input>
   
   <Input dce_rpc>
     Module      im_file
     File        '/opt/zeek/logs/current/dce_rpc.log'
     Exec $raw_event= "dce_rpc" + ' - ' + $raw_event;;
   </Input>
   
   <Output out_chronicle>
     Module  om_tcp
     Host    %ZEEK_OUTPUT_DESTINATION_ADDRESS%
     Port    %ZEEK_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route zeek_to_chronicle>
     Path conn, dce_rpc => out_chronicle
   </Route>
   
   

   如要使用上述範例設定，請執行下列操作：

   • 將 <hostname> 和 <port> 值替換為目的地 Linux 伺服器的相關資訊。
   • 針對您要收集的每種 Zeek 記錄類型，新增輸入、輸出和路由元素。

4. 設定 Google Security Operations 轉送器，以便將記錄傳送至 Google Security Operations。詳情請參閱「在 Linux 上安裝及設定轉送器」。以下是轉送站設定範例。

     output:
     url: URL
     identity:
     identity:
     collector_id: COLLECTOR_ID
     customer_id: CUSTOMER_ID
     secret_key: |
   
     {
     "type": "service_account",
     "project_id": "malachite-projectname",
     "private_key_id": `PRIVATE_KEY_ID`,
     "private_key": `PRIVATE_KEY`,
     "client_email":"`SERVICE_ACCOUNT_NAME`@malachite-`PROJECT_ID`.`SERVICE_ACCOUNT_DOMAIN`",
     "client_id": `CLIENT_ID`,
     "auth_uri": "https://accounts.google.com/o/oauth2/auth",
     "token_uri": "https://oauth2.googleapis.com/token",
     "auth_provider_x509_cert_url":"https://www.googleapis.com/oauth2/v1/certs",
     "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/`SERVICSERVICE_ACCOUNT_NAME`%40malachite-`PROJECT_ID`.`SERVICE_ACCOUNT_DOMAIN`",
     }
   
     collectors:
     - syslog:
         common:
           enabled: true
           data_type: BRO_JSON
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. 將 PRIVATE_KEY_ID、PRIVATE_KEY SERVICSERVICE_ACCOUNT_NAME、PROJECT_ID、CLIENT_ID、SERVICE_ACCOUNT_DOMAIN CUSTOMER_ID、URL、COLLECTOR_ID 和 CUSTOMER_ID 替換為服務帳戶 JSON 檔案中的相應值，您可以從 Google Cloud 平台下載該檔案。

6. 啟動 NXLog 服務。

使用 Bindplane 代理程式將記錄轉送至 Google SecOps

1. 安裝並設定 Linux 虛擬機器。
2. 在 Linux 上安裝及設定 Bindplane 代理程式，將記錄轉送至 Google SecOps。如要進一步瞭解如何安裝及設定 Bindplane 代理程式，請參閱 Bindplane 代理程式安裝和設定操作說明。

如果在建立動態饋給時遇到問題，請與 Google SecOps 支援團隊聯絡。

支援的 Zeek (Bro) 記錄格式

Zeek (Bro) 剖析器支援 JSON 和 SYSLOG+JSON 格式的記錄。

支援的 Zeek (Bro) 範例記錄檔

• JOSN

  {
    "insertId": "1pvsdy2f8v21o8",
    "jsonPayload": {
      "message": "Jun 14 07:46:10 dummyhostname systemd[1]: Stopping System Logging Service..."
    },
    "resource": {
      "type": "gce_instance",
      "labels": {
        "project_id": "cl-tpt-dis-awkc-con17-p-922a",
        "zone": "us-central1-a",
        "instance_id": "4136884722753789246"
      }
    },
    "timestamp": "2024-09-03T19:31:32.353129233Z",
    "labels": {
      "compute.googleapis.com/resource_name": "dummyostname"
    },
    "logName": "projects/cl-tpt-dis-awkc-con17-p-922a/logs/syslog",
    "receiveTimestamp": "2024-09-03T19:31:33.388651657Z"
  }
  

• SYSLOG + JSON

  <13>1 2021-12-21T23: 51: 25-08: 00 ia-cs-vubro-089 bro_http - - - {
    "ts": 1640159484.694295,
    "uid": "CTgT3z1adxn1EMPbmj",
    "id.orig_h": "198.51.100.27",
    "id.orig_p": 58729,
    "id.resp_h": "198.51.100.28",
    "id.resp_p": 8088,
    "trans_depth": 2284,
    "method": "POST",
    "host": "198.51.100.8",
    "uri": "/system/gateway",
    "version": "1.1",
    "user_agent": "Java/11.0.11",
    "request_body_len": 304,
    "response_body_len": 203,
    "status_code": 200,
    "status_msg": "OK",
    "tags": [],
    "orig_fuids": [
      "FefIdu4i8dzFTUONb5"
    ],
    "orig_mime_types": [
      "application/xml"
    ],
    "resp_fuids": [
      "Flqz7L3yyQR1eSN4Kf"
    ],
    "resp_mime_types": [
      "application/xml"
    ]
  }
  

欄位對應參考資料：Zeek 記錄欄位與 UDM 欄位

如要瞭解 Google Security Operations 剖析器如何將 Zeek 記錄欄位對應至 Google Security Operations UDM 事件欄位 (針對每種 Zeek 記錄類型)，請參閱下列章節：

• 網路通訊協定
• 檔案
• Netcontrol
• 偵測
• 網路觀察

網路協定

下表列出網路通訊協定記錄類型的記錄欄位，以及對應的 UDM 欄位。

檔案

下表列出檔案記錄類型的記錄欄位，以及對應的 UDM 欄位。

Netcontrol

下表列出 netcontrol 記錄類型的記錄欄位，以及對應的 UDM 欄位。

偵測

下表列出偵測記錄類型的記錄欄位，以及對應的 UDM 欄位。

網路觀察

下表列出網路觀察記錄類型的記錄欄位，以及對應的 UDM 欄位。

欄位對應參考資料：事件 ID 與 UDM 事件類型

如要瞭解剖析器如何將記錄名稱對應至 UDM 事件類型，請參閱下列章節：

• 網路通訊協定
• 檔案
• Netcontrol
• 偵測
• 網路觀察

網路協定

下表列出網路通訊協定記錄類型的記錄名稱，以及對應的 UDM 事件類型。

記錄檔名稱	說明	UDM 事件類型
conn.log	TCP/UDP/ICMP connections	NETWORK_CONNECTION
dce_rpc.log	Distributed Computing Environment/RPC	NETWORK_CONNECTION
dhcp.log	DHCP leases	NETWORK_DHCP
dnp3.log	DNP3 (Distributed Network Protocol 3) requests and replies	NETWORK_CONNECTION
dns.log	DNS activity	NETWORK_DNS
ftp.log	FTP (File Transfer Protocol) activity	NETWORK_FTP
http.log	HTTP requests and replies	NETWORK_HTTP
irc.log	IRC (Internet Relay Chat) commands and responses	NETWORK_CONNECTION
kerberos.log	Kerberos	NETWORK_CONNECTION
modbus.log	Modbus commands and responses	NETWORK_CONNECTION
modbus_register_change.log	Tracks changes to Modbus holding registers	GENERIC_EVENT
mysql.log	MySQL	NETWORK_UNCATEGORIZED
ntlm.log	NT LAN Manager (NTLM)	NETWORK_CONNECTION
ntp.log	Network Time Protocol	NETWORK_CONNECTION
radius.log	RADIUS authentication attempts	USER_LOGIN
rdp.log	Remote Desktop Protocol (RDP)	NETWORK_CONNECTION
rfb.log	Remote Framebuffer (RFB)	NETWORK_CONNECTION
sip.log	Session Initiation Protocol (SIP)	NETWORK_UNCATEGORIZED
smb_cmd.log	SMB (Server Message Block) commands	NETWORK_CONNECTION
smb_files.log	SMB (Server Message Block) files	NETWORK_UNCATEGORIZED
smb_mapping.log	SMB (Server Message Block) trees	NETWORK_CONNECTION
smtp.log	SMTP (Simple Mail Transfer Protocol) transactions	NETWORK_SMTP
snmp.log	SNMP (Simple Network Management Protocol) messages	NETWORK_UNCATEGORIZED
socks.log	SOCKS proxy requests	NETWORK_CONNECTION
ssh.log	SSH (Secure Shell) connections	NETWORK_UNCATEGORIZED
ssl.log	SSL(Secure Sockets Layer)/TLS(Transport Layer Security) handshake info	NETWORK_HTTP NETWORK_CONNECTION
syslog.log	Syslog messages	NETWORK_CONNECTION
tunnel.log	Tunneling protocol events	NETWORK_CONNECTION

檔案

下表列出檔案記錄類型的記錄名稱，以及對應的 UDM 事件類型。

記錄檔名稱	說明	UDM 事件類型
files.log	File analysis results	NETWORK_UNCATEGORIZED
ocsp.log	If policy script is loaded, the Online Certificate Status Protocol (OCSP) log is created.	GENERIC_EVENT
pe.log	Portable Executable (PE)	GENERIC_EVENT
x509.log	X.509 certificate info	GENERIC_EVENT

Netcontrol

下表列出 netcontrol 記錄類型的記錄名稱，以及對應的 UDM 事件類型。

記錄檔名稱	說明	UDM 事件類型
netcontrol.log	NetControl actions	GENERIC_EVENT
netcontrol_drop.log	NetControl actions	STATUS_UPDATE
netcontrol_shunt.log	NetControl shunt actions	STATUS_UPDATE
netcontrol_catch_release.log	NetControl catch and release actions	GENERIC_EVENT
openflow.log	OpenFlow debug log	GENERIC_EVENT

偵測

下表列出偵測記錄類型的記錄名稱，以及對應的 UDM 事件類型。

記錄檔名稱	說明	UDM 事件類型
intel.log	Intelligence data matches	GENERIC_EVENT
notice.log	Zeek notices	NETWORK_CONNECTION
notice_alarm.log	The alarm stream	NETWORK_CONNECTION
signatures.log	Signature matches	GENERIC_EVENT
traceroute.log	Traceroute detection	NETWORK_UNCATEGORIZED

網路觀察

下表列出網路觀察記錄類型的記錄名稱，以及對應的 UDM 事件類型。

記錄檔名稱	說明	UDM 事件類型
known_certs.log	SSL certificates	GENERIC_EVENT
known_hosts.log	Hosts that completed TCP handshakes	GENERIC_EVENT
known_modbus.log	Modbus master and secondary	GENERIC_EVENT
known_services.log	Services running on hosts	GENERIC_EVENT
software.log	Software used on the network	GENERIC_EVENT

後續步驟

• 將資料擷取至 Google Security Operations

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。