GravityZone Cloud-ийг FortiSIEM-тэй хэрхэн холбох вэ?

GravityZone Cloud-ийг FortiSIEM-тэй холбох

FortiSIEM нь HTTP(S) POST-оор ирсэн JSON форматтай үйл явдлыг хүлээн авч, задлан шинжилж, хадгалах чадвартай. Bitdefender-ийн түнш (partner) хувьд та GravityZone API болон FortiSIEM node ашиглан GravityZone-ийг FortiSIEM-тэй холбож болно. Энэ үйлчилгээгээр GravityZone Control Center-ийн өгөгдлийг cloud эсвэл өөрийн сервер (on-premises) орчин руу шууд илгээнэ.

Шаардлага

• Гуравдагч талын интеграцийг дэмжих шаардлагатай модулиуд бүхий FortiSIEM-ийн идэвхтэй лиценз.

• Өгөгдлийн эх үүсвэрийг тохируулж, интеграцийг хийхэд FortiSIEM console дээрх администраторын эрх.

• FortiSIEM Collector Agent бүхий агент суулгагдсан бөгөөд GravityZone-оос өгөгдөл хүлээн авахаар зөв тохируулагдсан байх.

Энэ агент хоёр системийн хоорондох өгөгдөл цуглуулалт, интеграцийг хангана.

• Таны орчинд FortiSIEM instance суулгагдаж, ажиллаж байх.

GravityZone-тэй холболтыг тохируулж удирдах, ирсэн өгөгдлийг боловсруулж шинжлэхэд энэ instance шаардлагатай.

Интеграцийн алхмууд

GravityZone Control Center дээр Event Push API-г идэвхжүүлэх

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2My Account (Миний данс) руу орно.

3. 3API keys хэсэгт Add товчийг дарна.

4. 4Event Push Service API нүдийг тэмдэглээд Save товчийг дарна. Шинэ түлхүүр API keys хүснэгтэд харагдана.

5. 5Түлхүүрийг хуулж аюулгүй газар хадгална.

6. 6Өөрчлөлтийг хэрэгжүүлэхийн тулд Save товчийг дарна.

FortiSIEM дээр node тохируулж, интеграцид шаардлагатай мэдээллийг авах

1. 1FortiSIEM supervisor машинд нэвтэрнэ.

2. 2FortiSIEM node-ийг тохируулна.

1. Үйл явдлыг хүлээн авах FortiSIEM node-ийг тодорхойлно.

> Зөвлөмж: FortiSIEM орчинд node гэдэг нь Collector, Supervisor, Worker зэрэг FortiSIEM системийн аливаа бүрэлдэхүүн хэсэг байж болно. Collector нь төрөл бүрийн эх үүсвэрээс өгөгдөл цуглуулж боловсруулдаг бүрэлдэхүүн юм. Энэ интеграцид ихэвчлэн Collector-ийг ашигладаг.

2. Collector руу SSH холболт үүсгээд дараах командыг ажиллуулна.

```
htpasswd -b /etc/httpd/accounts/passwds <user> <password>
```

- user — FortiSIEM console-д хандах эрхтэй хэрэглэгчийн нэр.
- password — дээрх хэрэглэгчийн нууц үг. Нууц үгэнд тусгай тэмдэгт байвал нууц үгийг нэг хашилтанд (') оруулахыг зөвлөж байна.

Жишээ

```
htpasswd -b /etc/httpd/accounts/passwds JSmith1 'Password123!'
```

Энэ команд шаардлагатай баталгаажуулалтыг тохируулах бөгөөд сонгосон node руу API хүсэлт илгээх бүрд автоматаар ашиглагдана.

3. Мессеж хүлээн авах машин дээр API push үйл явдал болон service URL-ийг тохируулахад ашиглахын тулд хэрэглэгчийн нэр, нууц үгийг кодлоно.

1. Хэрэглэгчийн нэр, нууц үгийг хооронд нь хоёр цэг (:) тавьж залгана. Жишээ нь JSmith1:Password123!.

2. Залгасан тэмдэгт мөрийг Base64 руу хөрвүүлнэ.

Үр дүнгийн жишээ

```
SlNtaXRoMTpQYXNzd29yZDEyMyE=
```

4. FortiSIEM рүү мессеж илгээхэд шаардлагатай URL-ийг үүсгэнэ.

```
https://<FSMNodeName>/rawupload?vendor=<vendor>&model=<model>&reptIp=<reptIp>&reptName=<reptHost>
```

> Зөвлөмж: GravityZone энэ endpoint-ийг ашиглан FortiSIEM рүү өгөгдөл илгээнэ. Энэ нь JSON форматтай POST HTTP арга юм. Текстээс гадна tar, tgz, gz, zip форматаар шахаж болно.

- FSMNodeName — интеграцид ашиглах node-ийн давтагдашгүй тодорхойлогч; заавал.
- vendor — үйл явдал ирж буй бүтээгдэхүүний нэр. Боломжит утга: Bitdefender; заавал.
- model — үйл явдлыг боловсруулах parser-ийн загвар. Боломжит утга: GravityZone. Өөрийн parser ашиглах бол энд түүний ID-г оруулна; заавал.
- reptIp — мэдээлж буй IP буюу логийн эх үүсвэр. Энд заасан утга CMDB-д мэдээлж буй төхөөрөмж болж бүртгэгдэнэ; заавал.
- reptHost — мэдээлж буй төхөөрөмжийн нэр буюу лог илгээж буй төхөөрөмжийн hostname; заавал.
- separator — нэг файлын агуулгыг олон үйл явдалд хуваахад ашиглана. Орхивол үйл явдал бүрт тус тусдаа үйл явдлын файл үүснэ. Боломжит утга: [%, 0-9, a-Z]. Утга өөр тэмдэгт агуулсан бол файлын нэр invalid_event_-ээр эхэлж, parser файлыг боловсруулахгүй. URL-ийн тусгай тэмдэгтэд кодлох тэмдэгт ашиглана. Жишээ нь \n-ийн оронд %0A, ,-ийн оронд %2C; заавал биш.

> Тэмдэглэл: Model нь “Model 24” шиг хоосон зай агуулсан бол URL параметр доторх хоосон зай болон бусад тусгай тэмдэгтийг зөв кодлох ёстой.

Жишээ

```
https://127.0.0.1/rawupload?vendor=Bitdefender&model=GravityZone&reptIp=104.17.52.22&reptName=cloud.gravityzone.bitdefender.com
```

API push үйл явдал болон мессеж хүлээн авах service URL-ийг тохируулахдаа үүнийг url параметрийн утга болгон ашиглана.

GravityZone-ийг FortiSIEM рүү мессеж илгээхээр тохируулах

Control Center-ийг энэ URL руу үйл явдал илгээхээр тохируулна: https://your_web_server_hostname_or_public_IP:port/api.

Event Push Service API-ийн бүх тохиргоог setPushEventSettings аргаар хийнэ. Эдгээр тохиргооны дэлгэрэнгүйг Push хуудаснаас үзнэ үү.

Өөрийн сонгосон API түлхүүрээр API push үйл явдал болон мессеж хүлээн авах service URL-ийг тохируулна.

$ curl --tlsv1.2 -sS -k -X POST \
https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \
-H 'authorization: Basic API_KEY_BASE64_ENCODED_WITH_COLON_APPENDED' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"id":"1","jsonrpc":"2.0","method":"setPushEventSettings","params":{"serviceSettings":{"requireValidSslCertificate":false,"authorization":"Basic xxxxxxxxxx","url":"https://<FSMNodeName>/rawupload?vendor=<vendor>&model=<model>&reptIp=<reptIp>&reptName=<reptHost>"},"serviceType":"JSON","status":1,"subscribeToEventTypes":{"adcloudgz":true,"antiexploit":true,"aph":true,"av":true,"avc":true,"dp":true,"endpoint-moved-in":true,"endpoint-moved-out":true,"exchange-malware":true,"exchange-user-credentials":true,"fw":true,"hd":true,"hwid-change":true,"install":true,"modules":true,"network-monitor":true,"network-sandboxing":true,"new-incident":true,"ransomware-mitigation":true,"registration":true,"supa-update-status":true,"sva":true,"sva-load":true,"task-status":true,"troubleshooting-activity":true,"uc":true,"uninstall":true}}}'

Тохируулсны дараа тохиргоо хүчин төгөлдөр болтол ойролцоогоор 10 минут хүлээгээд getPushEventSettings-ээр хүсэлт илгээнэ.

$ curl --tlsv1.2 -sS -k -X POST \
https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \
-H 'authorization: Basic API_KEY_BASE64_ENCODED' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"id":"3","jsonrpc":"2.0","method":"getPushEventSettings","params":{}}'

Үр дүн дараах байдлаар харагдана.

{
  "id": "3",
  "jsonrpc": "2.0",
  "result": {
    "serviceSettings": {
      "authorization": "********",
      "requireValidSslCertificate": false,
      "url": "https://your_web_server_hostname_or_public_IP:port/api"
    },
    "serviceType": "jsonRPC",
    "status": 1,
    "subscribeToCompanies": null,
    "subscribeToEventTypes": {
      "adcloud": false,
      "antiexploit": true,
      "aph": true,
      "av": true,
      ……….
      "uninstall": true
    }
  }
}

Туршилтын үйл явдал илгээхийн тулд sendTestPushEvent API аргыг дуудаж болно.

$ curl --tlsv1.2 -sS -k -X POST \
https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \
-H 'authorization: Basic API_KEY_BASE64_ENCODED' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"id":"4","jsonrpc":"2.0","method":"sendTestPushEvent","params":{"eventType": "av"}}'

Үр дүн дараах байдлаар харагдана.

{
  "id": "4",
  "jsonrpc": "2.0",
  "result": {
    "computer_name": "FC-WIN7-X64-01",
    "computer_fqdn": "fc-win7-x64-01",
    "computer_ip": "10.17.46.196",
    "computer_id": "59a1604e60369e06733f8abb",
    "product_installed": "BEST",
    "malware_type": "file",
    "malware_name": "EICAR-Test-File (not a virus)",
    "file_path": "C:\\eicar0000001.txt",
    "hash": "8b3f191819931d1f2cef7289239b5f77c00b079847b9c2636e56854d1e5eff71",
    "final_status": "deleted",
    "timestamp": "2017-09-08T12:01:36.000Z",
    "companyId": "5ac8460f8a799399a78b456c",
    "module": "av",
    "_testEvent_": true
  }
}

Үйл явдал удалгүй Syslog сервер болон server.js-ийн гаралтад харагдах ёстой.