ESET AV 로그 수집

이 문서에서는 Bindplane을 사용하여 ESET AV 로그를 Google Security Operations에 수집하는 방법을 설명합니다. Logstash 파서 코드는 SYSLOG 또는 JSON으로 형식이 지정된 ESET_AV 로그에서 보안 이벤트 데이터를 추출합니다. 먼저 원시 메시지를 정규화한 다음 식별된 형식을 기반으로 파싱하여 추출된 필드를 일관된 표현 및 분석을 위해 해당 통합 데이터 모델 (UDM) 스키마에 매핑합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows 2016 이상 또는 systemd가 설치된 Linux 호스트
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있음
• ESET Protect에 대한 액세스 권한 관리

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

추가 설치 리소스

추가 설치 옵션은 설치 가이드를 참고하세요.

Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. 구성 파일에 액세스합니다.
   • config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
   • 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'ESET_AV'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.

4. <customer_id>를 실제 고객 ID로 바꿉니다.

5. Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart bindplane-agent
  

• Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

  net stop BindPlaneAgent && net start BindPlaneAgent
  

ESET PROTECT 온프레미스용 Syslog 구성

1. ESET Protect 웹 콘솔에 로그인합니다.
2. 더보기 > 설정 > 고급 설정 > Syslog 서버로 이동합니다.
3. Syslog 사용 설정 옆에 있는 전환 버튼을 선택합니다.
4. 다음 구성 세부정보를 제공합니다.
   • 호스트: Bindplane 에이전트 IP 주소를 입력합니다.
   • 포트: Bindplane 에이전트 포트 번호 (UDP의 경우 514)를 입력합니다.
   • 형식: Syslog를 선택합니다.
   • 전송: UDP를 선택합니다.
   • 추적 로그 상세도: 정보를 선택합니다.
   • Syslog로 로그 내보내기 전환 버튼: 사용 설정을 선택합니다.
   • 내보낸 로그 형식: JSON을 선택합니다.
5. 저장을 클릭합니다.

ESET PROTECT Cloud용 Syslog 구성

1. ESET Protect 웹 콘솔에 로그인합니다.
2. 더보기 > 설정 > Syslog 서버로 이동합니다.
3. Syslog 사용 설정 옆에 있는 전환 버튼을 선택합니다.
4. 다음 구성 세부정보를 제공합니다.
   • 페이로드 형식: JSON을 선택합니다.
   • 봉투 형식: Syslog를 선택합니다.
   • 최소 로그 수준: 정보를 선택합니다.
   • 로깅할 이벤트 유형: 모든 이벤트 유형을 선택합니다.
   • 대상 IP: Bindplane 에이전트 IP 주소를 입력합니다.
   • 포트: Bindplane 에이전트 포트 번호 (UDP의 경우 514)를 입력합니다.
5. 저장을 클릭합니다.

UDM 매핑 테이블

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.