Inputs (өгөгдлийн орц) — 5-р хэсэг: Bitdefender Telemetry, CEF Inputs, CrowdStrike Input

← Үндсэн хуудас

Bitdefender Telemetry

EDR боломжтой Bitdefender GravityZone лицензүүдэд Security Telemetry функц багтдаг. Энэ функц төгсгөлийн цэгийн түүхий үйл явдлуудыг syslog хэлбэрээр локал Bitdefender Forwarder рүү илгээж, Forwarder тэднийг Security Data Lake рүү найдвартай дамжуулдаг.

Security Telemetry үйл явдлын input тохируулахын тулд дараах алхмуудыг дагана уу.

1. Урьдчилсан нөхцөлийг хангасан эсэхээ шалгана

• EDR боломж агуулсан хүчинтэй Bitdefender GravityZone лиценз.
• Таны cluster-т холбогдсон, ажиллаж буй Bitdefender Forwarder.
• Bitdefender Forwarder-ийн машин / appliance / виртуал машин дээр орж ирэх syslog урсгалыг зөвшөөрсөн галт ханын дүрэм (анхдагч порт 514, эсвэл тохируулсан бол өөр порт).
• GravityZone дахь тохируулсан Security Telemetry бодлого (policy).
• BEST төгсгөлийн цэгүүд болон үйл явдлыг хүлээн авч буй Bitdefender Forwarder хоорондын сүлжээний холболт.
• TLS заавал биш, гэхдээ телеметрийн өгөгдлийг гадаад эсвэл итгэмжлэгдээгүй сүлжээгээр илгээж байгаа бол ашиглахыг зөвлөнө.

2. Syslog input profile үүсгэнэ

1. 1Security Data Lake дотор Enterprise > Forwarders руу орж, Input Profiles табыг нээнэ.
2. 2New Input Profile-ийг сонгож шинэ профайл үүсгэнэ.
3. 3Профайлын хуудаснаас Create Input-ийг сонгоод Syslog TCP-ийг сонгоно.
4. 4Сонсох порт зааж өгнө (жишээ нь 1514).
5. 5(Зөвлөмж) TLS-ийг идэвхжүүлэх эсвэл buffer-ийн тохиргоог шаардлагатай бол өөрчилнө.
6. 6Input profile-ийг хадгалаад, хүссэн Bitdefender Forwarder-т оноож өгнө.

Input-ийн тохиргооны сонголтуудын дэлгэрэнгүйг Syslog inputs хэсгээс үзнэ үү.

3. Security Telemetry-г тохируулна

1. 1GravityZone консолд нэвтэрч, Policies (Бодлого) хуудас руу орно.

2. 2Өгөгдөл хүлээн авах төгсгөлийн цэгүүд дээр ашиглагдаж буй бодлогыг нээнэ.

3. 3Agent > Security Telemetry руу очно.

4. 4Security telemetry-г идэвхжүүлээд, SIEM connection settings доорх SIEM solution цэснээс Syslog (JSON)-ийг сонгоно. Холболтыг тохируулахдаа Hostname/IP талбарт локал Bitdefender Forwarder-ийн IP хаягийг, Port талбарт syslog input profile-д заасан портыг (дээрх 2-р алхмын 4-р дэд алхам) оруулна.

5. 5Хянахыг хүссэн үйл явдлын төрлүүдийг идэвхжүүлнэ.

> Чухал: Логууд задлагдаж (parse), Security Data Lake-д орж эхэлсний дараа хэрэгтэй өгөгдөл өгөхийн тулд Bitdefender Telemetry Illuminate content pack-ийг идэвхжүүлэхийг зөвлөнө. Энэ pack нь ирж буй логийн өгөгдлийг Common Information Model (GIM) схем рүү хөрвүүлэх задлалт, нормчлолын логикийг тодорхойлдог бөгөөд ингэснээр баяжуулалт (enrichment), харьцуулан уялдуулалт (correlation) хийх боломжтой болно.

4. (Заавал биш) Үйл явдлын урсгалыг шалгана

Telemetry үйл явдлууд хүлээн авагдаж байгааг батлахын тулд Bitdefender Forwarder-ийн логууд эсвэл Security Data Lake-ийн message input stream-ийг шалгана.

CEF Inputs

Common Event Format (CEF) нь олон төрлийн төхөөрөмжийг дэмжихээр зохиосон, өргөтгөх боломжтой, текстэд суурилсан формат юм. CEF нь стандарт толгой хэсэг (header) болон түлхүүр-утгын хослол хэлбэрийн хувьсах өргөтгөл хэсгээс бүрдэх лог бичлэгийн бүтцийг тодорхойлдог.

Ихэнх сүлжээ, аюулгүй байдлын систем өгөгдлөө Syslog эсвэл CEF-ээр илгээдэг. Security Data Lake нь CEF мессежийг TCP-ээр хүлээн авах боломжийг олгодог.

CEF TCP

Input үүсгэх, тохируулах талаар Setting up a new Input (Creating a new Listener input хэсэг)-ээс үзнэ үү. Input үүсгэх хуудасны Select input type цэсэнд тусдаа CEF TCP сонголт байдгийг анхаарна уу.

Input-ийг дараах тохиргоогоор тохируулна.

• Title — Input-д нэр өгнө, жишээ нь CEF TCP Input for XYZ Source.
• Bind address — Энэ input сонсох IP хаягийг оруулна. Эх систем/өгөгдөл логуудаа энэ IP/input руу илгээнэ.
• Port — IP хаягтай хамт ашиглах порт.
• Timezone — CEF мессеж илгээж буй систем дээр тохируулсан цагийн бүсийг сонгоно. Илгээгч цагийн бүсийн мэдээлэл оруулаагүй бол мессеж ирэх үед хэрэглэх цагийн бүсийг энд тохируулж болно. Энэ тохиргоо нь цагийн тэмдэглэгээнд (timestamp) орсон цагийн бүсийг дарж бичихгүй; харин цагийн бүсийн мэдээлэлгүй мессежүүдэд таамагласан цагийн бүс болно.
• Receive Buffer Size (заавал биш) — Input-ээр орж ирж буй өгөгдлийн хэмжээнээс хамаарна. Өгөгдөл саадгүй урсахаар хангалттай том, гэхдээ систем буферлэгдсэн өгөгдлийг боловсруулахад нөөцөө дэндүү зарцуулахааргүй жижиг утга сонгоно.
• Enable TLS — Энэ input TLS ашиглах бол сонгоно.
• TCP keepalive — Идэвхгүй холболтыг таслахгүйн тулд input TCP keep-alive пакетыг дэмжихийг хүсвэл идэвхжүүлнэ.
• Null frame delimiter — Энэ сонголтыг ихэвчлэн сонгохгүй орхино. Мессеж бүрийг шинэ мөр (newline) тусгаарлана.
• Maximum message size (заавал биш) — Мессежийн хамгийн дээд хэмжээ. Анхдагч утга хангалттай байх ч мессежийн урттай уялдуулан өөрчилж болно. Input төрөл бүрийн үзүүлэлтэд мессежийн дээд уртыг заасан байдаг.
• Locale (заавал биш) — Мессежийн хэлийг тодорхойлоход ашиглагдана.
• Use full field name — Ихэвчлэн CEF түлхүүрийн нэрийг талбарын нэр болгон ашигладаг. Талбарын бүтэн нэрийг ашиглахыг хүсвэл сонгоно.

CEF UDP

Input үүсгэх, тохируулах талаар Setting up a new Input (Creating a new Listener input хэсэг)-ээс үзнэ үү. Input үүсгэх хуудасны Select input type цэсэнд тусдаа CEF UDP сонголт байдгийг анхаарна уу.

Input-ийг дараах тохиргоогоор тохируулна.

• Title — Input-д нэр өгнө, жишээ нь CEF UDP Input for XYZ Source.
• Bind address — Энэ input сонсох IP хаягийг оруулна. Эх систем/өгөгдөл логуудаа энэ IP/input руу илгээнэ.
• Port — IP хаягтай хамт ашиглах порт.
• Timezone — CEF мессеж илгээж буй систем дээр тохируулсан цагийн бүсийг сонгоно. Илгээгч цагийн бүсийн мэдээлэл оруулаагүй бол мессеж ирэх үед хэрэглэх цагийн бүсийг энд тохируулж болно. Энэ тохиргоо нь цагийн тэмдэглэгээнд орсон цагийн бүсийг дарж бичихгүй; харин цагийн бүсийн мэдээлэлгүй мессежүүдэд таамагласан цагийн бүс болно.
• Receive Buffer Size (заавал биш) — Input-ээр орж ирж буй өгөгдлийн хэмжээнээс хамаарна. Өгөгдөл саадгүй урсахаар хангалттай том, гэхдээ систем буферлэгдсэн өгөгдлийг боловсруулахад нөөцөө дэндүү зарцуулахааргүй жижиг утга сонгоно.
• Locale (заавал биш) — Мессежийн хэлийг тодорхойлоход ашиглагдана.
• Use full field name — Ихэвчлэн CEF түлхүүрийн нэрийг талбарын нэр болгон ашигладаг. Талбарын бүтэн нэрийг ашиглахыг хүсвэл сонгоно.

CEF AMQP

CEF AMQP Input нь Security Data Lake-д RabbitMQ зэрэг AMQP-тэй нийцдэг мессеж брокероос Common Event Format (CEF) мессеж хүлээн авах боломж олгоно. Брокер дээр суурилсан найдвартай мессеж хүргэлт чухал орчинд зориулсан.

Input үүсгэх, тохируулах талаар Setting up a new Input (Creating a new Listener input хэсэг)-ээс үзнэ үү. Input үүсгэх хуудасны Select input type цэсэнд тусдаа CEF AMQP сонголт байдгийг анхаарна уу.

Input-ийг дараах тохиргоогоор тохируулна.

• Title — Input-д нэр өгнө. Жишээ нь CEF AMQP Input for XYZ Source.
• Broker hostname — Мессеж брокерын (жишээ нь RabbitMQ сервер) хостын нэр эсвэл IP хаяг.
• Broker virtual host — Аппликейшн эсвэл түрээслэгчдийг (tenant) бие биенээс тусгаарлахад ашиглагдах брокер доторх логик нэрийн орон зай.
• Prefetch count — Хэрэглэгч (consumer) баталгаажуулалт (acknowledge) хийхээс өмнө хүлээн авч болох мессежийн дээд тоо.
• Queue — Мессежийг унших дарааллын (queue) нэр.
• Exchange — Мессеж хүлээн авахын тулд input холбогдох exchange.
• Routing key — Exchange-ээс мессежийг заасан дараалалд чиглүүлэхэд хэрэглэх түлхүүр.
• Number of consumers/queues — Мессеж боловсруулахад хэдэн хэрэглэгч эсвэл дараалал үүсгэхийг тодорхойлно.
• Timezone — CEF мессеж илгээж буй систем дээр тохируулсан цагийн бүсийг сонгоно. Илгээгч цагийн бүсийн мэдээлэл оруулаагүй бол мессеж ирэх үед хэрэглэх цагийн бүсийг энд тохируулж болно. Энэ тохиргоо нь цагийн тэмдэглэгээнд орсон цагийн бүсийг дарж бичихгүй; харин цагийн бүсийн мэдээлэлгүй мессежүүдэд таамагласан цагийн бүс болно.
• Allow throttling this input (чекбокс) — Нэвтрүүлэх хурдыг хязгаарлаж, системийн хэт ачааллаас сэргийлнэ.
• Broker port (заавал биш) — Мессеж брокерын ашигладаг порт.
• Username (заавал биш) — Шаардлагатай бол брокерт нэвтрэх хэрэглэгчийн нэр.
• Password (заавал биш) — Брокерын хэрэглэгчийн нэртэй холбоотой нууц үг.
• Passive queue declaration — Дарааллыг passive горимд зарлаж, дараалал байгаа эсэхийг өөрчлөх, үүсгэхгүйгээр баталгаажуулна.
• Bind to exchange — Input-ийг брокерийн тодорхой exchange-тэй холбож, түүнээс мессеж хүлээн авна.
• Heartbeat timeout (заавал биш) — Холболт тасарсныг илрүүлэхийн тулд клиент-брокерын heartbeat шалгах интервал (секундээр).
• Enable TLS — Энэ input TLS ашиглах бол сонгоно.
• Re-queue invalid messages — Буруу/боловсруулах боломжгүй мессежийг дараалалд буцааж оруулах эсэхийг тодорхойлно.
• Connection recovery interval (заавал биш) — Алдааны дараа брокертой дахин холбогдохыг оролдохын өмнө хүлээх хугацаа (секундээр).
• Locale (заавал биш) — Мессежийн хэлийг тодорхойлоход ашиглагдана.
• Use full field names — Ихэвчлэн CEF түлхүүрийн нэрийг талбарын нэр болгон ашигладаг. Талбарын бүтэн нэрийг ашиглахыг хүсвэл сонгоно.

CEF Kafka

CEF Kafka Input нь Security Data Lake-д Kafka topic-оос Common Event Format (CEF) мессеж хүлээн авах боломж олгоно.

Input үүсгэх, тохируулах талаар Setting up a new Input (Creating a new Listener input хэсэг)-ээс үзнэ үү. Input үүсгэх хуудасны Select input type цэсэнд тусдаа CEF Kafka сонголт байдгийг анхаарна уу.

Input-ийг дараах тохиргоогоор тохируулна.

• Title — Input-д нэр өгнө. Жишээ нь CEF Kafka Input for XYZ Source.
• Legacy mode — ZooKeeper-д суурилсан хуучин consumer API-г ашиглахыг хүсвэл сонгоно.
• Bootstrap Servers (заавал биш) — Kafka сервер ажиллаж буй IP хаяг ба портыг оруулна.
• ZooKeeper address (зөвхөн legacy горимд) (заавал биш) — ZooKeeper сервер ажиллаж буй IP хаяг ба порт.
• Topic filter regex — filebeats.yml файлд тохируулсан topic-ийн нэрийн шүүлтүүрийг оруулна.
• Fetch minimum bytes — Татаж авахаас өмнө мессежийн багц (batch) хүрэх ёстой хамгийн бага хэмжээ (байтаар).
• Fetch maximum wait time (ms) — Татаж авахаас өмнө хүлээх хамгийн дээд хугацаа (миллисекундээр).
• Timezone (заавал биш) — CEF мессеж илгээж буй систем дээр тохируулсан цагийн бүсийг сонгоно. Илгээгч цагийн бүсийн мэдээлэл оруулаагүй бол мессеж ирэх үед хэрэглэх цагийн бүсийг энд тохируулж болно. Энэ тохиргоо нь цагийн тэмдэглэгээнд орсон цагийн бүсийг дарж бичихгүй; харин цагийн бүсийн мэдээлэлгүй мессежүүдэд таамагласан цагийн бүс болно.
• Allow throttling this input — Нэвтрүүлэх хурдыг хязгаарлаж, системийн хэт ачааллаас сэргийлнэ.
• Auto offset reset (заавал биш) — Kafka-д анхны offset байхгүй эсвэл offset хүрээнээс гарсан үед унадаг цэснээс тохирох сонголтыг хийнэ.
• Consumer group id (заавал биш) — Kafka input харьяалагдах consumer group-ийн нэр.
• Locale (заавал биш) — Мессежийн хэлийг тодорхойлоход ашиглагдана.
• Use full field names — Ихэвчлэн CEF түлхүүрийн нэрийг талбарын нэр болгон ашигладаг. Талбарын бүтэн нэрийг ашиглахыг хүсвэл сонгоно.
• Custom Kafka properties (заавал биш) — Kafka-д нэмэлт property дамжуулна.

CrowdStrike Input

Энэ input нь CrowdStrike API-аас өгөгдөл татаж, аюулгүй байдлын үйл явдлыг шинжлэхээр Security Data Lake-д оруулдаг.

CrowdStrike Input-ийг тохируулахын тулд дараах алхмуудыг дагана уу.

1. Урьдчилсан нөхцөлийг хангасан эсэхээ шалгана

Security Data Lake CrowdStrike-аас өгөгдөл татахын тулд CrowdStrike Falcon UI дотор шаардлагатай scope-той API client үүсгэх ёстой.

Дэлгэрэнгүйг CrowdStrike documentation-аас үзнэ үү.

2. CrowdStrike-ийг тохируулна

CrowdStrike API client тодорхойлохын тулд дараах алхмуудыг хийнэ.

1. 1Falcon UI-д нэвтэрнэ.

2. 2Дэлгэцийн зүүн талын цэснээс Support and resources, дараа нь API clients and keys-ийг сонгоно.

3. 3Add new API Client-ийг сонгоно.

4. 4Шинэ API client-д нэр болон тайлбар оруулна.

5. 5API Scopes хэсэгт Alerts болон Event Streams тус бүрийн Read нүдийг сонгож, унших эрх олгоно.

6. 6Save-ийг сонгоно.

Client ID болон Client Secret харагдана.

> Тэмдэглэл: Client secret зөвхөн нэг удаа харагдах тул аюулгүй газар хадгална. Алдсан бол reset хийх ёстой бөгөөд тухайн client secret-ийг ашиглаж буй бүх аппликейшнд шинэ нэвтрэх мэдээллийг шинэчилж өгнө.

3. Security Data Lake дотор Input-ийг тохируулна

Input-ийг дараах утгуудыг оруулж тохируулна.

• Input Name — Input-ийн давтагдашгүй нэр.
• CrowdStrike Client ID — CrowdStrike-ийг тохируулах үед авсан Client ID.
• Client Secret — CrowdStrike-ийг тохируулах үед авсан Client Secret.
• User Region — CrowdStrike хэрэглэгчийн дансны бүс нутаг.
• Store Full Message — Security Data Lake лог мессеж бүрийн түүхий лог өгөгдлийг full_message талбарт хадгалахыг зөвшөөрнө. Анхааруулга: Энэ сонголтыг идэвхжүүлбэл хадгалагдах өгөгдлийн хэмжээ мэдэгдэхүйц нэмэгдэж болно.
• Checkpoint Interval — CrowdStrike өгөгдлийн урсгалын checkpoint-ийг Security Data Lake хэдэн секунд тутамд тэмдэглэхийг заана. Анхдагч утга нь 30 секунд.