GravityZone Cloud-ийг Elastic SIEM-тэй хэрхэн холбох вэ?

GravityZone Cloud-ийг Elastic SIEM-тэй холбох

Bitdefender-ийн түнш (partner) хувьд та GravityZone API болон Elastic Agent ашиглан GravityZone-ийг Elastic-тэй холбож болно. Энэ үйлчилгээгээр GravityZone Control Center-ийн өгөгдлийг Elastic рүү илгээнэ.

Шаардлага

• Basic Elastic Stack лиценз эсвэл түүнээс дээш
• Elastic Integration 2.1.1 буюу түүнээс дээш хувилбар
• Kibana 8.14.3 буюу түүнээс дээш хувилбар
• Collector-ийн үүрэг гүйцэтгэх, тохируулсан Elastic Agent
• Тохируулсан Fleet Server. Энэ нь Fleet Server интеграцийг тохируулж удирдахад ашиглах агент удирдлагын платформ юм.

Интеграцийн алхмууд

GravityZone Control Center дээр Event Push API-г идэвхжүүлэх

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2My Account (Миний данс) руу орно.

3. 3API keys хэсэгт Add товчийг дарна.

4. 4Event Push Service API нүдийг тэмдэглээд Save товчийг дарна. Шинэ түлхүүр API keys хүснэгтэд харагдана.

5. 5Өөрчлөлтийг хэрэгжүүлэхийн тулд Save товчийг дарна.

Kibana дээр интеграцийг тохируулах

1. 1Kibana-д администраторын эрхтэй дансаар нэвтэрнэ.

2. 2Үндсэн цэсэнд Management-ийг дараад Add Integrations-ийг сонгоно.

Add BitDefender integration цонх нээгдэнэ.

3. 3Browse integrations табын хайлтаар Bitdefender интеграцийг олж сонгоно.

4. 4Add BitDefender товчийг дарна.

Configure integration цонх нээгдэнэ.

5. 5Integration settings хэсгийн мэдээллийг бөглөнө.

- Integration name: шинэ интеграцийн нэр
- Description: интеграцийг хялбар таних товч тайлбар

6. 6Receive Push Notifications Events сонголт хүртэл доош гүйлгээд идэвхжүүлж, мэдээллийг бөглөнө.

- BitDefender GravityZone Push Notification ID-д анхдагч утгыг үлдээнэ.

> Тэмдэглэл: Холбохыг хүсэж буй GravityZone company олон бол ямар оролт шаардлагатайг Elastic-ийн баримтаас шалгана уу.

- Company ID to company name mapping-д хянах company бүрийн ID:name хосыг нэмнэ.

- BitDefender GravityZone push notification сонголт идэвхтэй эсэхийг шалгана.

- Listen Address-ийг 0.0.0.0 болгоно.

- Listen Port-д 8443 гэж бичнэ.

- Санамсаргүй нууц үг үүсгээд Authorization Value-д нэмнэ.

> Зөвлөмж: Энэ түлхүүрийг дараа нь GravityZone дээр агентыг бүртгэхэд ашиглана.

7. 7Аюулгүй байдлын сертификат үүсгэх эсвэл худалдан авч, өгөгдөл хүлээн авах Elastic Agent суулгасан төгсгөлийн төхөөрөмж дээр хадгална.

8. 8Агентын HTTP listener-ийн TLS тохиргоог доор үзүүлсэн ёсоор хийнэ. Анхдагч webhook path (/bitdefender/push/notification)-ийг хэвээр үлдээнэ.

9. 9Poll Push Notification Information сонголт хүртэл доош гүйлгэж, идэвхтэй эсэхийг шалгаад дараах тохиргоог хийнэ.

- BitDefender GravityZone Push Notification ID-д анхдагч утгыг үлдээнэ.

> Тэмдэглэл: Холбохыг хүсэж буй GravityZone company олон бол ямар оролт шаардлагатайг Elastic-ийн баримтаас шалгана уу.

- URL of BitDefender GravityZone API push endpoint-д Event Push Service API-ийн URL-ийг дараах хэлбэрээр нэмнэ.

```
https://<cloud_control_API_URL>/api/v1.0/jsonrpc/push
```

- cloud_control_API_URL — GravityZone Control Center API-ийн хаяг (Access URL).

10. 10GravityZone API Key-д дээрх GravityZone Control Center дээр Event Push API-г идэвхжүүлэх хэсэгт үүсгэсэн түлхүүрийг оруулна.

11. 11Push Notification Configuration сонголт хүртэл доош гүйлгээд идэвхжүүлнэ.

Хүсвэл Advanced options товчийг дарж статистик цуглуулах (pooling) хугацааг өөрчилж болно.

12. 12Push Notification Statistics сонголт хүртэл доош гүйлгээд идэвхжүүлнэ.

Хүсвэл Advanced options товчийг дарж GravityZone дахь интеграцийн төлвийг өөрчилж болно.

13. 13Where to add this integration? хэсэг хүртэл доош гүйлгээд Existing hosts таб руу орж, Agent policy хэсгийн тохиргоог хийнэ.

- Agent policy-д GravityZone-оос өгөгдөл хүлээн авах төгсгөлийн төхөөрөмжийн ашигладаг Elastic policy-г сонгоно.

14. 14Хуудасны хамгийн доор хүртэл гүйлгээд Save товчийг дарна.

GravityZone дээр Elastic интеграцийг идэвхжүүлэх

GravityZone Control Center дээр Event Push Service түлхүүрийг үүсгэсний дараа интеграцийг идэвхжүүлэх ёстой. Өөрөөр хэлбэл GravityZone-оос Elastic рүү үйл явдал илгээж эхлүүлнэ.

Өгөгдөл илгээж эхлэхийн тулд setPushEventSettings аргыг ашиглана.

{
  "params": {
    "status": 1,
    "serviceType": "jsonRPC",
    "serviceSettings": {
      "url": "https://<agent_ip>:<agent_port>/<webhook_path>",
      "requireValidSslCertificate": false,
      "authorization": "<secret>"
    },
    "subscribeToEventTypes": {
      "hwid-change": true,
      "modules": true,
      "sva": true,
      "registration": true,
      "supa-update-status": true,
      "av": true,
      "aph": true,
      "fw": true,
      "avc": true,
      "uc": true,
      "dp": true,
      "device-control": true,
      "sva-load": true,
      "task-status": true,
      "exchange-malware": true,
      "network-sandboxing": true,
      "malware-outbreak": true,
      "adcloud": true,
      "exchange-user-credentials": true,
      "exchange-organization-info": true,
      "hd": true,
      "antiexploit": true
    }
  },
  "jsonrpc": "2.0",
  "method": "setPushEventSettings",
  "id": "1"
}

• agent_address — GravityZone-оос өгөгдөл хүлээн авах агентын FQDN эсвэл нийтийн IP.
• agent_port — Kibana дээр интеграцийг тохируулах журмын 6-р алхамд Listen Port-д оруулсан порт.
• webhook_path — Kibana дээр интеграцийг тохируулах журмын 7-р алхамд оруулсан порт.
• secret — Kibana дээр интеграцийг тохируулах журмын 6-р алхамд Authorization Value-д оруулсан порт.