GravityZone Cloud-ийг LogRhythm-тэй хэрхэн холбох вэ?

GravityZone Cloud-ийг LogRhythm-тэй холбох

Bitdefender-ийн түнш (partner) хувьд та GravityZone API болон LogRhythm Open Collector ашиглан GravityZone-ийг LogRhythm-тэй холбож болно. Энэ үйлчилгээгээр GravityZone Control Center-ийн өгөгдлийг LogRhythm руу илгээнэ.

Шаардлага

• PM role-той суулгасан LogRhythm instance.
• LogRhythm Open Collector агент суулгасан виртуал машин.
• LogRhythm System Monitor Agent суулгасан виртуал машин.

Интеграцийн алхмууд

GravityZone Control Center дээр Event Push API-г идэвхжүүлэх

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2My Account (Миний данс) руу орно.

3. 3API keys хэсэгт Add товчийг дарна.

4. 4Event Push Service API нүдийг тэмдэглээд Save товчийг дарна. Шинэ түлхүүр API Keys хүснэгтэд харагдана.

5. 5My Account хуудсан дээр хийсэн өөрчлөлтийг хадгалахын тулд Save товчийг дарна.

LogRhythm дээр интеграцийг тохируулах

1. 1Open Collector суулгасан төгсгөлийн төхөөрөмжид нэвтэрнэ.

2. 2Webhook Beat-ийг тохируулна.

3. 3Webhook Beat-ийг эхлүүлнэ.

1. Beat-ийг ажиллуулна.

```
./lrctl webhookbeat start
```

Тохиргооны цэс гарч ирнэ. Талбарууд хооронд клавиатурын сумаар шилжинэ.

2. Жагсаалтаас New webhookbeat instance-ийг сонгоно.

3. Enter the unique identifier for the webhookbeat instance хэсэгт instance-ийн нэрийг оруулна.

4. Enter the hostname/IP for webhook configuration хэсгээр listener тохируулна. Анхдагч утга нь localhost.

> Тэмдэглэл: Өөрийн hostname/гадаад IP оруулбал тухайн порт дээр нийтэд нээлттэй байх ба beat ажиллаж буй системтэй ижил системд харгалзсан байх ёстой.

5. Enter the port on the Webhook server beat where data should be sent хэсэгт 8080 гэж оруулна.

6. Do you want to enable HTTPS? хэсэгт No-г сонгоно.

7. Шинэ тохиргоог хэрэгжүүлэхийн тулд Open Collector болон Metrics-ийг дахин асаана.

```
./lrctl oc restart && ./lrctl metrics restart
```

4. 4GravityZone Event Push Service-ээс ирэх Antimalware болон Firewall үйл явдлыг боловсруулахаар Open Collector-ийг тохируулна.

1. Эдгээр plugin файлуудыг татаж аваад lrctl script байрлах Open Collector машин руу хуулна.

2. Custom OC Pipeline байхгүй бол идэвхжүүлнэ.

```
./lrctl ocpipeline install ./lrctl lrjq install
```

3. Plugin-ийг импортлоно.

```
cat bitdefender.pipe | ./lrctl oc pipe augument import
```

4. Open Collector дээрх бүх үйлчилгээг дахин асаана.

```
./lrctl webhookbeat restart && ./lrctl metrics restart && ./lrctl oc restart
```

5. 5main.go script-д ашиглах сертификатыг бэлдэнэ. Одоо байгаа сертификатаа ашиглаж эсвэл шинээр үүсгэж болно.

6. 6main.go script-ийг ажиллуулж, Event Push Service-ээс үйл явдал хүлээн авахаар тохируулна.

1. main.go-г анх удаа ажиллуулна. Webhook хаяг, сертификат болон private key-г тохируулах шаардлагатай.

```
go run main.go
```

2. Webhook-ийн IP-г оруулна. Script-ийг webhook ажиллаж буй машин дээр ажиллуулж байгаа бол localhost-ыг үлдээж болно.

```
Config file not found. Please provide the following information:
For the OC webhook, localhost is the default. Would you like to change it? (y/n)
```

3. Портоор 8080-г оруулна.

```
For the OpenCollector Webhook Port, 8081 is the default. Would you like to change it? (y/n)
```

4. 5-р алхамд бэлдсэн сертификатыг ашиглана.

```
Enter the path of the certificate.crt file ca_crt_file_path (you may want to try fullchain.crt:
```

5. Сертификатын private key-г оруулна.

```
Enter the path to privkey.cem file ca_priv_file_path (you may want to try privkey.pem:
```

6. Debug горимыг идэвхгүй болгоно.

```
Enable debug mode? (y/n)
```

7. Script-ийг дахин server болгон ажиллуулна.

Энэ нь 443 порт дээр сонсох бөгөөд төгсгөлийн төхөөрөмж үйл явдлаа илгээх ёстой байршил юм.

7. 7Доорх JSON-ийг өөрийн тохиргоонд таарахаар тагуудыг солиод, хянахыг хүссэн үйл явдлыг true болгож GravityZone API руу илгээнэ (POST).

```
{
"params": {
"status": 1,
"serviceType": "jsonRPC",
"serviceSettings": {
"url": "https://<agent_ip>:443/webhook",
"requireValidSslCertificate": false,
"authorization": "<secret>"
},
"subscribeToEventTypes": {
"hwid-change": true,
"modules": true,
"sva": true,
"registration": true,
"supa-update-status": true,
"av": true,
"aph": true,
"fw": true,
"avc": true,
"uc": true,
"dp": true,
"device-control": true,
"sva-load": true,
"task-status": true,
"exchange-malware": true,
"network-sandboxing": true,
"malware-outbreak": true,
"adcloud": true,
"exchange-user-credentials": true,
"exchange-organization-info": true,
"hd": true,
"antiexploit": true
}
},
"jsonrpc": "2.0",
"method": "setPushEventSettings",
"id": "1"
}
```

8. 8LogRhythm-ийг бага ач холбогдолтой (low priority) үйл явдлыг харуулахаар тохируулж, EICAR эсвэл port scan хийж интеграцийг турших.

1. LogRhythm PM дээр LogRhythm console-г нээнэ.

2. Deployment Management-ийг сонгоно.

3. Platform Manager табыг нээнэ.

4. Global risk priority-г 50-аас 0 болгож өөрчилнө.

> Тэмдэглэл: EICAR туршилтын үйл явдал 10 оноотой, port scan 19 оноотой.

5. Өөрчлөлтийг хэрэгжүүлнэ.

6. EICAR эсвэл port scan ашиглан үйл явдал үүсгэнэ.

9. 98-р алхамд заасан LogRhythm дахь risk priority-г өөрийн шаардлага, орчинд тохируулан тохируулна.