CyberArk Privileged Threat Analytics-Protokolle erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie mit Bindplane Protokolle für CyberArk Privileged Threat Analytics erfassen. CyberArk Privileged Threat Analytics ist eine Sicherheitslösung, mit der schädliche Aktivitäten mit privilegierten Konten erkannt und darauf reagiert werden können. Dabei werden fortschrittliche Analysen und maschinelles Lernen eingesetzt, um ungewöhnliches Verhalten zu überwachen, zu analysieren und zu melden, das auf potenzielle Insider-Bedrohungen oder kompromittierte Anmeldedaten hinweisen könnte.

Hinweise

  • Sie benötigen eine Google Security Operations-Instanz.
  • Sie müssen Windows 2016 oder höher oder einen Linux-Host mit systemd verwenden.
  • Wenn die Ausführung hinter einem Proxy erfolgt, müssen die Firewallports geöffnet sein.
  • Sie benötigen erhöhte Zugriffsrechte für Cyberark PTA.

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps Console an.
  2. Gehen Sie zu SIEM-Einstellungen > Erfassungsagenten.
  3. Lade die Datei zur Authentifizierung der Datenaufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps Console an.
  2. Gehen Sie zu SIEM-Einstellungen > Profil.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder die PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Weitere Installationsressourcen

Bindplane-Agent so konfigurieren, dass er Syslog-Daten aufnimmt und an Google SecOps sendet

  1. Rufen Sie die Konfigurationsdatei auf:

    1. Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    2. Öffnen Sie die Datei mit einem Texteditor, z. B. nano, vi oder Notepad.

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: cyberark_pta
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

  4. Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.

  5. Aktualisieren Sie /path/to/ingestion-authentication-file.json im Abschnitt Authentifizierungsdatei für die Datenaufnahme von Google SecOps abrufen auf den Pfad, unter dem die Authentifizierungsdatei gespeichert wurde.

Starten Sie den Bindplane-Agent neu, um die Änderungen anzuwenden

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Sie können den Bindplane-Agenten unter Windows entweder über die Dienste-Konsole oder mit dem folgenden Befehl neu starten:

    net stop BindPlaneAgent && net start BindPlaneAgent

Logexport für CyberArk Privileged Threat Analytics konfigurieren

  1. Melden Sie sich auf dem Computer für Privileged Threat Analytics an.
  2. Führen Sie den Befehl DEFAULTPARM aus, um die Standarddatei systemparm.properties zu öffnen.
  3. Kopieren Sie die Zeile mit der syslog_outbound-Eigenschaft und schließen Sie die systemparm.properties-Datei.
  4. Führen Sie den Befehl LOCALPARM aus, um die lokale Datei systemparm.properties zu öffnen.
  5. Drücken Sie auf der Tastatur die Taste i, um die Datei zu bearbeiten.
  6. Entfernen Sie in der Datei systemparm.properties das Kommentarzeichen für das Attribut syslog_outbound.

  7. Fügen Sie die zuvor kopierte Zeile ein und bearbeiten Sie die Parameter gemäß dem folgenden Beispiel:

    syslog_outbound=[{"siem": "Chronicle", "format": "CEF", "host": "BINDPLANE_IP_ADDRESS", "port": BINDPLANE_PORT_NUMBER, "protocol": "PROTOCOL"}]

    Ersetzen Sie Folgendes:

    • BINDPLANE_IP_ADDRESS: Geben Sie die Bindplane-IP-Adresse ein.
    • PORT_NUMBER: Geben Sie die Bindplane-Portnummer ein (z. B. 514).
    • PROTOCOL: Geben Sie UDP als Protokoll ein.

  8. Speichern Sie die Konfigurationsdatei und schließen Sie sie.

  9. Starten Sie den Computer mit Privileged Threat Analytics neu.

Änderungen

2024-08-13

  • Neu erstellter Parser.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten