SIEM-д HTTPS listener байхгүй үед GravityZone Cloud-ээс event хэрхэн илгээх вэ?

Энэ нийтлэл нь GravityZone болон HTTPS listener (HTTPS-ээр event хүлээн авагч) байхгүй SIEM системүүдийн хооронд холбогч (connector) суулгахад тусална.

Bitdefender GravityZone Cloud платформ нь аюулгүй байдлын үйл явдлын сэрэмжлүүлгийг CEF болон JSON мессежийн стандартаар өгдөг. Эдгээр сэрэмжлүүлгийг Event Push Service-ээр дамжуулан илгээнэ.

GravityZone API нь энд тодорхойлсон JSON-RPC 2.0 протоколоор ажилладаг. GravityZone API-ийн дэлгэрэнгүйг боломжит баримт бичгээс үзнэ үү.

Таны SIEM-д HTTP/HTTPS listener байхгүй ч Syslog үйлчилгээг дэмждэг бол GravityZone Event Push Service Connector суулгах шаардлагатай.

Холбогч нь GravityZone Event Push Service-ээс баталгаажсан, хамгаалагдсан мессежийг POST аргаар хүлээн авна. Дараа нь мессежийг задлан шинжилж, локал эсвэл алсын Syslog сервер рүү дамжуулна. Та энэ Syslog серверээр дамжуулан мессежүүдийг SIEM-д өгч болно.

Холбогчийг суулгахдаа дараах алхмуудыг дагана:

1. 1Урьдчилсан нөхцөлийг шалгана.

2. 2Хэрэв та GravityZone Event Push Service-ийг 2025 оны 3-р сарын 27-оос өмнө гараар тохируулсан бол түүний файлуудыг системээсээ устгана.

3. 3APT sources жагсаалтад репозитор нэмнэ.

4. 4DEB багцыг суулгана.

> Тэмдэглэл: DEB багц суулгах үед signatures couldn't be verified because the public key is not available гэсэн алдааны мессеж гарвал багцын файлуудын дижитал гарын үсгийг татаж аван суулгана:
>
> ```
> curl -sS https://download.bitdefender.com/repos/gzrepos.key.asc | apt-key add -
> ```

5. 5Bash скриптээр тохируулна.

6. 6Системийн үйлчилгээг идэвхжүүлнэ.

7. 7Холбогчийг туршина.

8. 8GravityZone-ийг SIEM рүү мессеж илгээхээр тохируулна.

Урьдчилсан нөхцөлийг шалгах

Цааш үргэлжлүүлэхийн өмнө дараах нөхцөлүүд биелсэн байх ёстой:

• Linux-ийн үндсэн мэдлэг

• GravityZone Cloud шийдэл

• Event Push Service API-г хамарсан GravityZone API түлхүүр

• Дараах тохиргоотой Ubuntu 24.04 LTS сервер:

- Техник хангамж:

- 1 CPU
- 2 GB RAM
- 1 Gbit виртуал NIC
- 80 GB HDD

Энэ тохиргоо нь 15000 хүртэлх endpoint-тэй орчныг дааж чадна. Endpoint-ийн тоо нэмэгдэх тусам CPU болон сүлжээний ачаалал пропорциональ өснө.

> Чухал: Холбогч болон SIEM тусдаа сервер дээр байвал зөвхөн холбогчийн сервер Public IP шаардана. Холбогч нь SIEM-д дотоод сүлжээгээр хүрч чадаж байвал SIEM-д Public IP шаардлагагүй.

Холбогчийг суулгах

1. 1Ubuntu 24.04 сервер рүү холбогдоно.

2. 2Bitdefender Connector репозиторыг APT-д нэмнэ.

```
sudo echo "deb http://download.bitdefender.com/repos/deb-hydra24-evpsc/ bitdefender non-free" >> /etc/apt/sources.list
```

3. 3DEB багцыг суулгана.

```
sudo apt update
sudo apt install gz-evpsc
```

4. 4Тохиргооны скриптийг ажиллуулна.

```
#Change the path to where the configuration script is located.
cd /opt/bitdefender/gz-evpsc
#Run the script with sudo permission
sudo ./config.sh <PORT> <SYSLOGPORT> <TRANSPORT> <TARGET> <AUTH> <CONFIG_FILENAME>
```

- <PORT> — Event Push Service-ийн HTTPS холбогч сервер рүү хандахад ашиглах порт.
- <SYSLOGPORT> — HTTPS холбогч сервер SIEM рүү өгөгдөл илгээхэд ашиглах порт.
- <TRANSPORT> — Өгөгдөл дамжуулахад ашиглах протокол.
- <TARGET> — SIEM-ийн IP хаяг.
- <AUTH> — API-аар SIEM-д хандахад ашиглах баталгаажуулалтын түлхүүр. Энэ түлхүүр GravityZone API-ийн баталгаажуулалтын түлхүүрээс өөр байх ёстой.
- <CONFIG_FILENAME> — config файлын нэр.

Жишээ

```
cd /opt/bitdefender/gz-evpsc
sudo ./config.sh 3200 514 Tcp 127.0.0.1 'Basic dGVzdDp0ZXN0' config.json
```

> Тэмдэглэл: GravityZone Event Push сервер event-үүдийг дамжуулахын тулд холбогчид public IP хаяг оноосон байх ёстой.

5. 5(заавал биш) config файлд сертификатын замыг нэмнэ.

config.sh скрипт нь HTTPS холбогч серверт зориулж анхдагчаар өөрөө гарын үсэг зурсан (self-signed) сертификат үүсгэдэг. Аюулгүй байдлыг дээшлүүлэхийн тулд сертификатын байгууллагаас (CA) авсан сертификатыг дараах файлуудад байрлуулж болно:

```
/opt/bitdefender/gz-evpsc/api/config/server.key
/opt/bitdefender/gz-evpsc/api/config/server.crt
```

6. 6Системийн үйлчилгээг идэвхжүүлнэ

```
systemctl enable gz-evpsc
```

7. 7Системийн үйлчилгээг эхлүүлнэ

```
systemctl start gz-evpsc
```

Баталгаажуулалтад зориулсан аюулгүй байдлын сертификат авах

GravityZone Cloud платформ нь Push Event мессежийг зөвхөн HTTPS дэмждэг холбогч руу илгээдэг. Холбогч үйлчилгээ HTTPS-ээр ажиллаж, Bitdefender Cloud-тай аюулгүй холбогдохын тулд SSL/TLS сертификатаар тохируулах шаардлагатай.

config.sh скрипт нь HTTPS холбогч серверт зориулж анхдагчаар өөрөө гарын үсэг зурсан сертификат үүсгэдэг. Энэ үйлчилгээнд зориулсан SSL/TLS сертификатыг өөр хэд хэдэн аргаар авч болно:

1. 1Итгэмжлэгдсэн нийтийн сертификатын байгууллагаас (CA)

> Тэмдэглэл: Энэ аргыг бид хүчтэй зөвлөдөг. Манай Cloud серверүүд холбогчийн URL-ийн мөн чанарыг зөв баталгаажуулж, man-in-the-middle халдлагаас сэргийлэх боломжтой болно.

2. 2Таны компанийн дотоод PKI-аас

> Тэмдэглэл: Энэ аргыг бид зөвлөдөггүй. Bitdefender-ийн нийтийн cloud үйлчилгээ хувийн CA-аар гарын үсэг зурсан сертификатыг баталгаажуулж чадахгүй.

3. 3Өөрөө гарын үсэг зурсан сертификат үүсгэх

> Тэмдэглэл: Энэ сонголтоос бид хүчтэй татгалзахыг зөвлөдөг. Энэ нь сертификат баталгаажуулах ямар ч арга өгдөггүй бөгөөд харилцаа холбоог man-in-the-middle халдлагад өртөмтгий болгодог. Зөвхөн туршилтын зорилгоор ашиглаж, production орчинд хэзээ ч бүү ашигла.

Цаашид та өөрийн сонгосон CA-аар гарын үсэг зуруулсан sslkey.pem болон ssl.cer/ssl.crt файлууд хэрэгтэй болно.

Холбогчийг туршина

Дөнгөж тохируулсан холбогчоо туршихдаа HTTPS мессежийн дараах жишээг ашиглана:

• Event Push Service хүсэлтийн header

```
Authorization: Basic xxxxxxxxxxxxxx
```

• Event Push Service payload

```
{
"cef": "0",
"events": [
"CEF:0|Bitdefender|GravityZone|6.4.08|70000|Registration|3|BitdefenderGZModule=registrationdvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2",
"CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2",
"CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2"
]
}
```

• Payload-ыг collector үйлчилгээ рүү илгээхийн тулд дараах cURL командыг ашиглана:

```
curl -k -H 'Authorization: Basic xxxxxxxxxxxxxxxxxx' \
-H "Content-Type: application/json" \
-d '{"cef": "0","events": ["CEF:0|Bitdefender|GravityZone|6.4.08|70000|Registration|3|BitdefenderGZModule=registrationdvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2","CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2","CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2"]}' \
https://your_web_server_hostname_or_public_IP:port/api
```

> Чухал: Authorization header болон URL-ийг дээр config.json файлд тохируулсан утгаар солино.

Event таны тодорхойлсон syslog сервер дээр болон ажиллаж буй server.js-ийн гаралтад харагдах ёстой.

GravityZone-ийг SIEM рүү мессеж илгээхээр тохируулах

HTTPS collector үйлчилгээ ажиллаж, мессеж хүлээж байгаа тул та Control Center-ийг дээр тодорхойлсон URL руу event илгээхээр тохируулж болно: https://your_web_server_hostname_or_public_IP:port/api.

Event Push Service API-ийн бүх тохиргоог setPushEventSettings аргаар хийнэ. Эдгээр тохиргооны дэлгэрэнгүйг Push хуудаснаас үзнэ үү.

Өөрийн сонгосон API түлхүүрээр API push event болон мессежийг хүргэх үйлчилгээний URL-ийг тохируулна:

$ curl --tlsv1.2 -sS -k -X POST \
https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \
-H 'authorization: Basic API_KEY_BASE64_ENCODED_WITH_COLON_APPENDED' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"id":"1","jsonrpc":"2.0","method":"setPushEventSettings","params":{"serviceSettings":{"requireValidSslCertificate":false,"authorization":"Basic xxxxxxxxxx","url":" https://your_web_server_hostname_or_public_IP:port/api"},"serviceType":"cef","status":1,"subscribeToEventTypes":{"adcloudgz":true,"antiexploit":true,"aph":true,"av":true,"avc":true,"dp":true,"endpoint-moved-in":true,"endpoint-moved-out":true,"exchange-malware":true,"exchange-user-credentials":true,"fw":true,"hd":true,"hwid-change":true,"install":true,"modules":true,"network-monitor":true,"network-sandboxing":true,"new-incident":true,"ransomware-mitigation":true,"registration":true,"supa-update-status":true,"sva":true,"sva-load":true,"task-status":true,"troubleshooting-activity":true,"uc":true,"uninstall":true}}}'

Тохируулсны дараа тохиргоо хүчин төгөлдөр болтол ойролцоогоор 10 минут хүлээгээд getPushEventSettings хүсэлт илгээнэ.

$ curl --tlsv1.2 -sS -k -X POST \
https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \
-H 'authorization: Basic API_KEY_BASE64_ENCODED' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"id":"3","jsonrpc":"2.0","method":"getPushEventSettings","params":{}}'

Үр дүн дараах байдалтай харагдана:

{
  "id": "2",
  "jsonrpc": "2.0",
  "result": {
    "serviceSettings": {
      "authorization": "********",
      "requireValidSslCertificate": false,
      "url": "https://your_web_server_hostname_or_public_IP:port/api"
    },
    "serviceType": "cef",
    "status": 1,
    "subscribeToCompanies": null,
    "subscribeToEventTypes": {
      "adcloud": false,
      "antiexploit": true,
      "aph": true,
      "av": true,
      ……….
      "uninstall": true
    }
  }
}

Туршилтын event илгээхийн тулд sendTestPushEvent API аргыг дуудаж болно.

$ curl --tlsv1.2 -sS -k -X POST \
https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \
-H 'authorization: Basic API_KEY_BASE64_ENCODED' \
-H 'cache-control: no-cache' \
-H 'content-type: application/json' \
-d '{"id":"4","jsonrpc":"2.0","method":"sendTestPushEvent","params":{"eventType": "av"}}'

Үр дүн дараах байдалтай харагдана:

{
  "id": "4",
  "jsonrpc": "2.0",
  "result": {
    "computer_name": "FC-WIN7-X64-01",
    "computer_fqdn": "fc-win7-x64-01",
    "computer_ip": "10.17.46.196",
    "computer_id": "59a1604e60369e06733f8abb",
    "product_installed": "BEST",
    "malware_type": "file",
    "malware_name": "EICAR-Test-File (not a virus)",
    "file_path": "C:\\eicar0000001.txt",
    "hash": "8b3f191819931d1f2cef7289239b5f77c00b079847b9c2636e56854d1e5eff71",
    "final_status": "deleted",
    "timestamp": "2017-09-08T12:01:36.000Z",
    "companyId": "5ac8460f8a799399a78b456c",
    "module": "av",
    "_testEvent_": true
  }
}

Event Syslog серверт болон server.js-ийн гаралтад удалгүй харагдах ёстой.

Лог файлуудыг шалгах

Лог файлыг дараах байрлалаас олно:

/opt/bitdefender/var/log/gz-evpsc/log.txt