收集 Forescout NAC 記錄

本文說明如何使用 Bindplane，將 Forescout Network Access Control (NAC) 記錄擷取至 Google Security Operations。剖析器會處理 Forescout NAC 的系統記錄和 CEF 格式記錄。它會使用 grok 模式擷取欄位、將欄位對應至統一資料模型 (UDM)，並根據關鍵字和擷取的欄位將事件分類，處理登入/登出、網路連線、郵件事件和系統狀態更新。針對處理「CounterACT」和「Virtual Firewall」事件，實作特定邏輯，包括嚴重程度對應和使用者環境資訊擴充。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果透過 Proxy 執行，防火牆通訊埠已開啟
• 請安裝 ForeScout CounterAct 8.0 以上版本
• 必須安裝 ForeScout CounterAct 核心擴充模組 Syslog 外掛程式 v3.5
• Forescout 裝置和 CounterACT 外掛程式的特殊存取權

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以系統管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：
   • 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'FORESCOUT_NAC'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 視基礎架構需求，替換通訊埠和 IP 位址。

4. 將 <customer_id> 替換為實際的客戶 ID。

5. 將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」一節中儲存驗證檔案的路徑。

重新啟動 Bindplane 代理程式，以套用變更

• 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart bindplane-agent
  

• 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

  net stop BindPlaneAgent && net start BindPlaneAgent
  

安裝 CounterACT Syslog 外掛程式

1. 前往「Forescount Base Plugins」(Forescount 基礎外掛程式) 頁面，然後下載外掛程式 .fpi 檔案。
2. 將檔案儲存至安裝 CounterACT Console 的電腦。
3. 登入 CounterACT Console。
4. 依序選取「選項」>「外掛程式」>「安裝」。
5. 瀏覽並選取儲存的外掛程式 FPI 檔案。
6. 按一下 [安裝]。
7. 接受授權協議，然後繼續操作。
8. 安裝完成後，按一下「關閉」。
9. 在「外掛程式」窗格中選取外掛程式，然後按一下「開始」。
10. 選取要啟動外掛程式的 CounterACT 裝置 (建議在環境中的所有裝置上執行外掛程式)。
11. 按一下 [確定]。
12. 按一下 [關閉]。

在 Forescout CounterACT Syslog 外掛程式上設定 Syslog

1. 在「外掛程式」窗格中，依序點選「系統記錄」>「設定」。
2. 在對話方塊中選取任一裝置或 Enterprise Manager，然後按一下「確定」。
3. 在「將事件傳送至」中，按一下「新增」。
4. 提供下列設定詳細資料：
   • 伺服器位址：輸入 Bindplane 代理程式 IP 位址。
   • 伺服器通訊埠：輸入 Bindplane 代理程式通訊埠編號 (例如 UDP 的 514)。
   • 伺服器通訊協定：選取「UDP」。
   • 身分：任意文字欄位，用於識別系統記錄訊息。
   • 選用：設施：Syslog 訊息設施，會以訊息優先順序欄位的一部分傳輸。如果未提及設施值，則會設為 local5。
   • 嚴重性：選取「資訊」。
5. 前往「Syslog Trigger」(系統記錄觸發條件) 分頁。
6. 請勿選取「Only send messages generated by the "Send Message to Syslog" action」(僅傳送由「Send Message to Syslog」動作產生的訊息) 核取方塊。
7. 只勾選「Include timestamp and CounterACT device identifier in all messages」(在所有訊息中加入時間戳記和 CounterACT 裝置 ID) 核取方塊。
8. 按一下「選項」，定義會觸發系統記錄訊息的事件類型：
   • 包含 NAC 政策記錄。
   • 納入 NAC 政策比對/不比對事件。
   • 選取其他活動 (如有)。
9. 前往「預設動作設定」分頁。
10. 提供下列設定詳細資料：
    • 伺服器位址：輸入 Bindplane 代理程式 IP 位址。
    • 伺服器通訊埠：輸入 Bindplane 代理程式通訊埠編號 (例如 UDP 的 514)。
    • 伺服器通訊協定：選取「UDP」。
    • 訊息 ID：任意文字欄位，用於識別 Syslog 訊息。
    • 選用：設施：Syslog 訊息設施，會以訊息優先順序欄位的一部分傳輸。如未提及設施值，則會設為 local5。
    • 嚴重性：選取「資訊」。
11. 按一下 [確定]。

UDM 對應表

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。