Security Data Lake-ийн оролтууд (Inputs) — 14-р хэсэг: Sophos Central Input

← Үндсэн хуудас

Sophos Central Input

Sophos Central input нь Sophos Central-ийн SIEM Integration API-аас үйл явдал (events) болон сэрэмжлүүлгийг (alerts) цуглуулж, Security Data Lake дээр шинжилгээ хийх боломж олгоно.

1. Урьдчилсан нөхцөлөө шалгана

Дараах нөхцөл хангагдсан эсэхийг шалгана уу:

• Sophos Central-ийн захиалга.

2. Sophos дээр API хандалтыг тохируулна

SIEM Integration API-д хандах эрхийг идэвхжүүлэхийн тулд Sophos Central дээр дараах алхмуудыг хийнэ:

1. 1Sophos-ийн албан ёсны Sophos API Credentials Management баримтын дагуу API нэвтрэх мэдээлэл үүсгэнэ.
2. 2Нэвтрэх мэдээлэл үүсгэхдээ SIEM Integration лог унших шаардлагатай хандалтыг олгохын тулд Service Principal Read-Only-г сонгоно.
3. 3Нэвтрэх мэдээлэл үүссэний дараа Client ID болон Secret ID-г хуулж авна. Эдгээр утга Security Data Lake дээр input-ийг тохируулахад хэрэгтэй.

3. Security Data Lake дээр Input-ийг тохируулна

Input үүсгэх, тохируулах талаар Setting up a new Input хуудасны Creating a new Pull input хэсгийг үзнэ үү.

Дараах сонголтуудыг тохируулна:

• Input Name — Sophos Central input-д өвөрмөц нэр оруулна.
• Client ID — Sophos API нэвтрэх мэдээллийг тохируулахдаа авсан Client ID-г оруулна.
• Client Secret — Sophos API нэвтрэх мэдээллийг тохируулахдаа авсан Client Secret-ийг оруулна.
• Ingest Alerts — Энэ input Sophos-ийн үйл явдлуудыг автоматаар цуглуулдаг. Sophos-ийн сэрэмжлүүлгийг мөн цуглуулах бол энэ сонголтыг идэвхжүүлнэ. Дэлгэрэнгүйг Sophos-ийн баримт-аас үзнэ үү.
• Polling Interval — Input шинэ лог байгаа эсэхийг хэдэн минут тутамд шалгахыг заана. Хамгийн бага интервал нь 5 минут.
• Enable Throttling — Мэдээлэл боловсруулалт хоцорсон үед Security Data Lake энэ input-ийн шинэ өгөгдөл унших үйлдлийг түр зогсоож, системд гүйцэх боломж олгоно.

Symantec SES Events Input

Symantec Endpoint Security (SES) нь Symantec Endpoint Protection (SEP)-ийн бүрэн үүлээр удирддаг хувилбар юм. Энэ нь халдлагын бүх чиглэлээс гарах аюулаас сэргийлэх олон түвшний хамгаалалтыг өгдөг. SES олон төрлийн инцидент болон үйл явдлын лог үүсгэдэг бөгөөд тэдгээрийг Security Data Lake дээр цуглуулж шинжилж болно.

1. Урьдчилсан нөхцөлөө шалгана

Дараах нөхцөл хангагдсан эсэхийг шалгана уу:

• Таны Symantec захиалга Symantec Endpoint Security Complete-ийг агуулсан байх ёстой.

2. Symantec SES дээр API хандалтыг тохируулна

Event Stream API-д хандах эрх олгохын тулд Symantec Endpoint Security (SES) дээр дараах алхмуудыг хийнэ:

1. 1Symantec SES дээр event stream болон client application үүсгэнэ.
2. 2Client application-ийг тохируулахдаа Security Data Lake Event Stream API-аас өгөгдөл цуглуулах боломжтой болохын тулд үйл явдал болон сэрэмжлүүлгийг унших эрх олгоно.

3. Client Application үүсгэнэ

Symantec Endpoint Security (SES) дээр client application үүсгэх алхмууд:

1. 1SES console дээр шинэ client application нэмнэ.
2. 2Application-д үүссэн Client ID болон OAuth token-г тэмдэглэж авна. Эдгээр нэвтрэх мэдээлэл Security Data Lake дээр input-ийг тохируулахад хэрэгтэй.
3. 3Client application-д эрх олгоно: Alerts & Events болон Investigation-д View эрхийг тохируулна.

4. Event Stream үүсгэнэ

Symantec Endpoint Security (SES) дээр event stream үүсгэх алхмууд:

1. 1Symantec SES console-ийг нээнэ.
2. 2Шинэ event stream үүсгэнэ.
3. 3Event stream-ийг тохируулахдаа Security Data Lake-д хүлээн авахыг хүссэн бүх үйл явдлын төрлийг сонгоно.
4. 4Stream GUID болон Channel утгыг тэмдэглэж авна. Эдгээр утга Security Data Lake дээр input-ийг тохируулахад шаардлагатай.

5. Security Data Lake дээр Input-ийг тохируулна

Input үүсгэх, тохируулах талаар Setting up a new Input хуудасны Creating a new Pull input хэсгийг үзнэ үү.

Дараах сонголтуудыг тохируулна:

• Input Name — Symantec SES input-д өвөрмөц нэр оруулна.
• OAuth Credentials — API-ийн хангалттай эрхтэйгээр үүсгэсэн Symantec SES client application-ийн OAuth token-г оруулна.
• Hosting Location — Таны Symantec SES instance байршиж буй бүсийг сонгоно.
• Log Types to Collect — Security Data Lake-ийн Symantec SES-ээс татах үйл ажиллагааны логийн төрлийг сонгоно.
• Stream GUID — Өгөгдөл дамжуулахад шаардлагатай үйл явдлын төрлүүдтэй үүсгэсэн event stream-ийн GUID-г оруулна.
• Number of Channels — Event stream-д тохируулсан channel-ийн тоог заана.
• Polling Interval — Security Data Lake Symantec SES-ээс шинэ өгөгдөл байгаа эсэхийг хэдэн минут тутамд шалгахыг заана. Хамгийн бага интервал нь 5 минут.
• Enable Throttling — Мэдээлэл боловсруулалт хоцорсон үед Security Data Lake энэ input-ийн шинэ өгөгдөл унших үйлдлийг түр зогсоож, системд гүйцэх боломж олгоно. Энэ сонголт голчлон файл эсвэл AMQP, Kafka зэрэг мессежийн дарааллын системээс уншдаг input-д хэрэгтэй. Гадаад системийг (жишээ нь HTTP-ээр) асуудаг input-д үүнийг идэвхжүүлэхгүй орхихыг зөвлөнө.
• Checkpoint Interval — Security Data Lake Symantec SES өгөгдлийн урсгалын checkpoint-ийг хэдэн секунд тутамд бүртгэхийг заана.
• Stream Connection Timeout — Event stream холболтын хугацааг минутаар заана. Энэ утга нь урсгалын холболт хэр удаан идэвхтэй байхыг тодорхойлно.

Supported Log Types (Дэмжигдсэн логийн төрлүүд)

Security Data Lake нь олон төрлийн event type ID болон инцидентийг дэмждэг. Symantec-ийн илрүүлэлтийн үйл явдлын төрөл, тайлбарын бүрэн жагсаалтыг event detection types and descriptions баримтаас үзнэ үү.

Syslog Inputs

Security Data Lake нь RFC 5424 болон RFC 3164 стандартад нийцсэн syslog мессежийг хүлээн авч задлан шинжилж чадах бөгөөд TCP дамжуулалтыг octet counting болон termination character аль алиар нь дэмждэг. UDP-г мөн дэмждэг бөгөөд ихэнх архитектурт лог мессеж илгээх зөвлөмжит арга нь UDP юм.

Олон төхөөрөмж, ялангуяа router болон галт хана (Firewall) нь RFC стандартад нийцсэн syslog мессеж илгээдэггүй. Энэ нь задлан шинжлэлт буруу эсвэл бүрмөсөн бүтэлгүйтэхэд хүргэж болно.

rsyslog эсвэл syslog-ng-ээр дамжуулсан мессежийг ихэвчлэн амжилттай задлан шинжилдэг.

Linux хостоос Syslog илгээх

rsyslog

Linux хостоос rsyslog-оор syslog өгөгдөл илгээхдээ RFC 5424 форматыг ашигладаг гаралтын Action тодорхойлно.

Гаралтын action-ийг /etc/rsyslog.conf файлын төгсгөлд эсвэл /etc/rsyslog.d/securitydatalake.conf шиг тусдаа файлд оруулж болно.

UDP (нэг @):

*.*@<forwarder_hostname_or_ip>:514;RSYSLOG_SyslogProtocol23Format

TCP (хоёр @@):

*.*@@<forwarder_hostname_or_ip>:514;RSYSLOG_SyslogProtocol23Format

Үүнийг rsyslog-ийг TLS ашиглахаар тохируулснаар сайжруулж болно.

Локал дараалал, TLS-тэй TCP, холболтыг дахин боловсруулах, rsyslog-ийн advanced форматыг ашигласан жишээ тохиргоо:

*.*  action(
   Action.resumeInterval="10"
   RebindInterval="10000"            # cycling TCP connections allows for load balancing
   Queue.Size="100000"
   Queue.DiscardMark="97500"
   Queue.HighWaterMark="80000"
   Queue.Type="LinkedList"
   Queue.FileName="rsyslogqueue"
   Queue.CheckpointInterval="100"
   Queue.MaxDiskSpace="2g"
   Action.ResumeRetryCount="-1"
   Queue.SaveOnShutdown="on"
   Queue.TimeoutEnqueue="10"
   Queue.DiscardSeverity="0"
   type="omfwd"
   target="<forwarder_hostname_or_ip>"
   protocol="tcp"
   port="514"
   template="RSYSLOG_SyslogProtocol23Format"
   StreamDriver="gtls"
   StreamDriverMode="1"               # run driver in TLS-only mode
   StreamDriverAuthMode="x509/name"   # host TLS cert CN will be used for authentication
   StreamDriverPermittedPeers="<forwarder_hostname_or_ip>" # only allowed hosts
)

RSYSLOG_SyslogProtocol23Format суурилуулсан загваргүй, маш хуучин (2010 оны 5.10-аас өмнөх) rsyslog хувилбарт загвар (template) өөрөө тодорхойлох шаардлагатай:

$template BITDEFENDER_SyslogProtocol23Format,"<%PRI%>%PROTOCOL-VERSION% %TIMESTAMP:::date-rfc3339% %HOSTNAME% %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n"

# Then referenced in the output action
*.* @<forwarder_hostname_or_ip>:514;BITDEFENDER_SyslogProtocol23Format

syslog-ng

syslog-ng дахь syslog функцийг ашиглан RFC 5424 форматтай мессежийг TCP-ээр Security Data Lake хост руу илгээнэ:

# Define TCP syslog destination.
destination d_net {
    syslog("<forwarder_hostname_or_ip>" port(514));
};
# Send from the default source s_src to the d_net destination configured above.
log {
    source(s_src);
    destination(d_net);
};

MacOS X хостоос Syslog илгээх

MacOS X-ийн syslog daemon-оос лог мессеж илгээхийн тулд /etc/syslog.conf файлд дараах мөрийг нэмж, sdl-forwarder instance-ийг UDP лог хүлээн авагчаар тодорхойлно:

*.* @<forwarder_hostname_or_ip>:514

Дараа нь syslogd-г дахин асаана:

$ sudo launchctl unload /System/Library/LaunchDaemons/com.apple.syslogd.plist
$ sudo launchctl load /System/Library/LaunchDaemons/com.apple.syslogd.plist

Таны MacOS X syslog мессеж одоо Security Data Lake системд харагдах ёстой.

Input configuration (Input-ийн тохиргоо)

Syslog input тохируулахын тулд Enterprise > Forwarders > Input Profiles руу орж New Input Profile-г дарна. Title болон (заавал биш) Description оруулаад Create-г дарна. Дараагийн хуудсан дээр Create input-г дараад Input Type жагсаалтаас Syslog input-ийн тохирох төрлийг (Syslog AMQP, Syslog Kafka, Syslog TCP эсвэл Syslog UDP) сонгоно. Доор жагсаасан параметрүүдийг тохируулаад Create input-г дарна. Syslog input-ийн төрлөөс хамаарч тохиргооны үед дараах сонголтууд байж болно:

Syslog AMQP

Syslog Advanced Message Queuing Protocol (AMQP) нь syslog мессежийг мессежид чиглэсэн middleware систем дээгүүр дамжуулах интеграци юм. UDP, TCP зэрэг уламжлалт протоколоор лог шууд илгээхийн оронд Syslog AMQP нь RabbitMQ зэрэг мессеж брокерийг ашиглан syslog үйл явдлыг найдвартай дараалалд оруулж, чиглүүлж, хүргэнэ.

• Title — Input-д гарчиг өгнө. Жишээ: Syslog AMQP Input for XYZ Source.
• Broker hostname — Мессеж брокерийн (жишээ нь RabbitMQ сервер) hostname эсвэл IP хаяг.
• Broker virtual host — Брокер доторх аппликейшн эсвэл tenant-уудыг тусгаарлахад ашигладаг логик нэрийн орон зай.
• Prefetch count — Хэрэглэгч (consumer) баталгаажуулахаас өмнө хүлээн авч болох мессежийн дээд тоо.
• Queue — Мессежийг унших дарааллын нэр.
• Exchange — Мессеж хүлээн авахын тулд input холбогдох exchange.
• Routing key — Exchange мессежийг заасан дараалалд чиглүүлэхэд ашигладаг түлхүүр.
• Number of consumers/queues — Мессеж боловсруулахад хэдэн consumer эсвэл дараалал үүсгэхийг заана.
• Allow throttling this input (Checkbox) — Өгөгдөл хүлээн авах хурдыг хянаж, системийг хэт ачаалахаас сэргийлэхийн тулд мессежийн хурдыг хязгаарлана.
• Broker port (optional) — Мессеж брокерийн ашигладаг портын дугаар.
• Username (optional) — Шаардлагатай бол мессеж брокерт нэвтрэх хэрэглэгчийн нэр.
• Password (optional) — Брокерийн хэрэглэгчийн нэртэй холбоотой нууц үг.
• Passive queue declaration (Checkbox) — Дарааллыг өөрчлөх, үүсгэхгүйгээр зөвхөн оршин байгаа эсэхийг нь баталгаажуулан passive горимоор зарлана.
• Bind to exchange (Checkbox) — Input-ийг брокерийн тодорхой exchange-тэй холбож, түүнээс мессеж хүлээн авна.
• Heartbeat timeout (optional) — Холболт тасарсныг илрүүлэхийн тулд клиент болон брокерийн хоорондох heartbeat шалгалтын интервал (секундээр).
• Enable TLS — Мессеж дамжуулалтыг шифрлэхэд TLS-г идэвхжүүлнэ (сертификат шаардлагатай). Энэ input TLS ашиглах бол сонгоно.
• Re-queue invalid messages — Хүчингүй эсвэл боловсруулах боломжгүй мессежийг дараалалд буцааж оруулах эсэхийг заана.
• Connection recovery interval (optional) — Холболт тасарсны дараа брокертой дахин холбогдохоос өмнө хүлээх хугацаа (секундээр).
• Override source (optional) — Анхдагчаар мессежийн source талбарт лог мессеж доторх hostname-ийг авдаг. Гэхдээ стандарт бус эсвэл тохируулах боломжгүй hostname гаргадаг төхөөрөмжид энэ тохиргоог дарж өөр source нэр зааж болно.
• Encoding (optional) — Бүх мессеж нь input-д тохируулсан кодчилолыг дэмжих ёстой. Жишээ нь UTF-16 дэмжихээр тохируулсан input руу UTF-8 кодчилолтой мессеж илгээж болохгүй.
• Force rDNS (Checkbox) — Ирж буй мессежийн IP хаягаас hostname-ийг тодорхойлохын тулд урвуу DNS хайлт хийлгэнэ.
• Allow overriding date (Checkbox) — Ирж буй мессежийг системийн хүлээн авсан цагийн оронд өөрийн цагийн тэмдгийг ашиглахыг зөвшөөрнө.
• Store full message (Checkbox) — Дараа лавлах эсвэл алдаа олж засахад зориулан задалсан талбаруудаас гадна түүхий мессежийг бүхэлд нь хадгална. > Анхааруулга: Энэ сонголтыг идэвхжүүлбэл хадгалагдах өгөгдлийн хэмжээ мэдэгдэхүйц нэмэгдэж болно.
• Expand structured data (Checkbox) — Бүтэцлэгдсэн өгөгдлийн элементүүдийг (жишээ нь syslog дахь key-value хосууд) тусдаа талбар болгон задлана.
• Timezone (optional) — Эх системд тохируулсан цагийн тэмдгийг сонгоно. Илгээгч цагийн бүсийн мэдээлэл оруулаагүй бол мессеж ирэх үед ашиглах цагийн бүсийг тохируулж болно. Энэ тохиргоо цагийн тэмдэг доторх цагийн бүсийг дарж бичихгүй, харин цагийн бүсийн мэдээлэлгүй мессежид тооцох цагийн бүс болно.