BeyondTrust 원격 지원 로그 수집

이 파서는 BeyondTrust Remote Support의 syslog 메시지를 처리하여 UDM 형식으로 변환합니다. CEF 및 비 CEF 형식 로그를 모두 처리하여 필드를 추출하고, 데이터 변환을 실행하고, 주 구성원, 타겟, 보안 결과 세부정보를 비롯한 적절한 UDM 필드에 매핑합니다.

시작하기 전에

• Google Security Operations 인스턴스가 있는지 확인합니다.
• Windows 2016 이상 또는 systemd가 있는 Linux 호스트를 사용하고 있는지 확인합니다.
• 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.
3. 수집 인증 파일을 다운로드합니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.
3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

1. Windows 설치의 경우 다음 스크립트를 실행합니다.
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Linux 설치의 경우 다음 스크립트를 실행합니다.
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. 추가 설치 옵션은 이 설치 가이드를 참고하세요.

Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

1. Bindplane이 설치된 머신에 액세스합니다.

2. 다음과 같이 config.yaml 파일을 수정합니다.

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: BeyondTrust_Remote_Support
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Bindplane 에이전트를 다시 시작하여 변경사항을 적용합니다.

   sudo systemctl restart bindplane
   

BeyondTrust Remote Support에서 Syslog 내보내기 구성

1. BeyondTrust 원격 지원에 로그인합니다.
2. 보안 > 어플라이언스 관리로 이동합니다.
3. Syslog 섹션으로 이동하여 다음 값을 설정합니다.
   • 원격 Syslog 서버: syslog 호스트 서버 (Bindplane)의 호스트 이름 또는 IP 주소를 입력합니다. 이 필드에는 최대 3개의 syslog 서버를 추가할 수 있습니다.
   • 메시지 형식: RFC 5424를 선택합니다.
   • 포트: syslog 호스트 서버 (Bindplane)의 포트를 입력합니다.
4. 제출을 클릭합니다.

UDM 매핑

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.