CyberArk Privileged Threat Analytics 로그 수집

다음에서 지원:

이 문서에서는 Bindplane을 사용하여 CyberArk Privileged Threat Analytics 로그를 수집하는 방법을 설명합니다. CyberArk Privileged Threat Analytics는 권한 있는 계정과 관련된 악성 활동을 감지하고 대응하는 데 도움이 되는 보안 솔루션입니다. 고급 분석 및 머신러닝을 사용하여 잠재적인 내부자 위협 또는 도용된 사용자 인증 정보를 나타낼 수 있는 비정상적인 동작을 모니터링, 분석, 신고합니다.

시작하기 전에

  • Google Security Operations 인스턴스가 있는지 확인합니다.
  • Windows 2016 이상 또는 systemd를 사용하는 Linux 호스트를 사용하고 있는지 확인합니다.
  • 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
  • Cyberark PTA에 대한 권한이 있는지 확인합니다.

Google SecOps 처리 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.
  3. 처리 인증 파일을 다운로드합니다. Bindplane가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

  1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

추가 설치 리소스

Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

  1. 구성 파일에 액세스합니다.

    1. config.yaml 파일을 찾습니다. 일반적으로 Linux의 /etc/bindplane-agent/ 디렉터리 또는 Windows의 설치 디렉터리에 있습니다.
    2. 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

  2. 다음과 같이 config.yaml 파일을 수정합니다.

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: cyberark_pta
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. 인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.

  4. <customer_id>를 실제 고객 ID로 바꿉니다.

  5. /path/to/ingestion-authentication-file.json를 Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart bindplane-agent

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

    net stop BindPlaneAgent && net start BindPlaneAgent

CyberArk Privileged Threat Analytics 로그 내보내기 구성

  1. Privileged Threat Analytics 머신에 로그인합니다.
  2. DEFAULTPARM 명령어를 실행하여 기본 systemparm.properties 파일을 엽니다.
  3. syslog_outbound 속성이 포함된 줄을 복사하고 systemparm.properties 파일을 종료합니다.
  4. LOCALPARM 명령어를 실행하여 로컬 systemparm.properties 파일을 엽니다.
  5. 키보드에서 i 키를 눌러 파일을 수정합니다.
  6. systemparm.properties 파일에서 syslog_outbound 속성의 주석 처리를 삭제합니다.

  7. 이전에 복사한 줄을 붙여넣고 다음 예시를 참고하여 매개변수를 수정합니다.

    syslog_outbound=[{"siem": "Chronicle", "format": "CEF", "host": "BINDPLANE_IP_ADDRESS", "port": BINDPLANE_PORT_NUMBER, "protocol": "PROTOCOL"}]

    다음을 바꿉니다.

    • BINDPLANE_IP_ADDRESS: Bindplane IP 주소를 입력합니다.
    • PORT_NUMBER: Bindplane 포트 번호를 입력합니다 (예: 514).
    • PROTOCOL: 프로토콜로 UDP를 입력합니다.

  8. 구성 파일을 저장하고 닫습니다.

  9. 권한이 있는 위협 분석 머신을 다시 시작합니다.

변경사항

2024-08-13

  • 파서를 새로 만들었습니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.