GravityZone-оос Splunk Enterprise рүү security telemetry-г хэрхэн илгээх вэ?

Тойм

GravityZone нь аюулгүй байдлын telemetry (мөн «түүхий» эсвэл OS үйл явдал гэж нэрлэдэг)-ийг гаргаж өгдөг тул администраторууд үүнийг шинжилж, хадгалж, шүүж, Splunk Enterprise консол дээр өөрийн корреляц бүтээх боломжтой.

Энэ хуудсанд GravityZone-оос Splunk Enterprise v8 рүү ийм мэдээллийг хэрхэн дамжуулахыг тайлбарлана. Bitdefender-ийн security telemetry-г SIEM рүү илгээхэд хэрэгтэй шаардлага болон тохиргооны алхмуудыг оруулсан.

Энэ хуудас нь Windows/Linux командын мөр болон аюулгүй байдлын гэрчилгээний талаар мэдлэгтэй техникийн уншигчдад зориулагдсан.

GravityZone нь security telemetry үйл явдлыг Windows endpoint дээр суулгасан Bitdefender Endpoint Security Tools (BEST) agent-ээр дамжуулан SIEM рүү илгээнэ. Bitdefender GravityZone нь зөвхөн үйл явдал илгээлтийн идэвхжүүлэлт, тохиргоо, баталгаажуулалтыг удирдана.

BEST нь security telemetry-ийн дараах төрлийн үйл явдлыг илгээж чадна:

• Process (үүсгэх, зогсоох)
• File (үүсгэх, унших, өөрчлөх, зөөх, устгах)
• Registry (түлхүүр үүсгэх, устгах; утга өөрчлөх, устгах)
• User (нэвтрэх, гарах)
• Network connection (сүлжээний холболт)

Урьдчилсан нөхцөл

Bitdefender GravityZone талд:

• Security Telemetry сонголт дараах бүтээгдэхүүний багцуудад байдаг:

- Bitdefender Cloud MSP Security with ATS and EDR add-ons
- GravityZone Business Security Enterprise

> Тэмдэглэл: GravityZone on-premises-д 6.21.1-1 эсвэл түүнээс шинэ хувилбар шаардлагатай.

• BEST for Windows security agent, 6.6.25.362 эсвэл түүнээс шинэ хувилбар

• BEST for Linux security agent, 7.1.0.200110 эсвэл түүнээс шинэ хувилбар

• GravityZone хэрэглэгчийн эрх: Company Administrator эсвэл Manage Network болон Manage Company эрхтэй Custom хэрэглэгч

Splunk Enterprise талд:

• Splunk Enterprise 8.1.3 эсвэл түүнээс шинэ хувилбар
• Splunk хэрэглэгчийн эрх: Admin данс
• Management console-д хандах эрх
• HTTP Event Collector-т хандах эрх (өгөгдмөл порт: 8088, мөн 443 портыг ашиглаж болно)

Тохиргоо

GravityZone-оос Splunk Enterprise рүү endpoint-ийн security telemetry үйл явдлыг хүлээн авахын тулд удирдлагад байгаа endpoint болон Splunk хоорондын найдвартай холболтыг хангах ёстой. Энэ сувгаар үйл явдал бодит цагт дамжиж, та түүхий өгөгдлөө хайх боломжтой болно.

Үүний тулд олон нийтийн Certificate Authority (CA)-аас гаргасан гэрчилгээ эсвэл өөрөө гарын үсэг зурсан (self-signed) гэрчилгээ ашиглаж болно. Splunk-д CA-аас гаргасан гэрчилгээ ашиглаж байгаа бол энэ хуудасны Configure GravityZone (GravityZone-ийг тохируулах) хэсэг рүү шууд очно. Self-signed гэрчилгээ ашиглаж байгаа бол тохиргооны бүх алхмыг дагана.

Splunk-ийг тохируулах

Одоо байгаа Splunk HTTP Event Collector-ийг ашиглаж эсвэл agent-уудаас Bitdefender-ийн security telemetry өгөгдлийг хүлээн авах тусгай collector шинээр үүсгэж болно.

HTTP Event Collector дараах тохиргоотой байх ёстой:

• Sourcetype: _json
• Index: main
• Global Settings: enableSSL=1

Өгөгдмөлөөр BEST нь security telemetry өгөгдлийг Splunk HTTP Collector руу 8088 портоор илгээнэ.

1. 1Splunk суулгацаа хамгаалахад хэрэгтэй self-signed гэрчилгээг дараах зааврын дагуу үүсгэнэ: How to Self Sign Certificates for Splunk Enterprise.

Үр дүнд дараах файлууд гарна:

- myServerCertificate.pem
- myServerPrivateKey.key
- myCACertificate.pem

2. 2Өмнө гарсан бүх файлыг нэг гэрчилгээний файл болгон залгана.

Windows дээрх команд:

```
type myServerCertificate.pem myServerPrivateKey.key myCACertificate.pem > myNewServerCertificate.pem
```

Linux дээрх команд:

```
cat myServerCertificate.pem myServerPrivateKey.key myCACertificate.pem > myNewServerCertificate.pem
```

Үүссэн myNewServerCertificate.pem файлд дараах зүйлс энэ дарааллаар байх ёстой:

- Серверийн гэрчилгээ: myServerCertificate.pem
- Хувийн түлхүүр: myServerPrivateKey.key
- Certificate authority-ийн нийтийн түлхүүр: myCACertificate.pem

3. 3Splunk-д шинэ гэрчилгээний схемийг ашиглахыг зааж өгнө:

1. Дээрх үйл явцад гарсан бүх гэрчилгээг Splunk-ийн шинэ хавтас руу зөөнө.

Жишээ нь: $SPLUNK_HOME/etc/auth/mycerts/

2. $SPLUNK_HOME/etc/apps/splunk_httpinput/local/inputs.conf файлыг засаж, HTTP collector хэсгийг шинэ гэрчилгээгээр хамгаалахыг Splunk-д зааж өгнө.

inputs.conf файлд дараах мөрүүд байх ёстой:

```
[http]
disabled=0
index=main
enableSSL = 1
serverCert = $SPLUNK_HOME/etc/auth/mycerts/myNewServerCertificate.pem
sslPassword = password_used_when_creating_the_certificate
```

> Тэмдэглэл: inputs.conf-ийг анх засахдаа нууц үгийг энгийн текстээр бичиж болно. Splunk-ийг дахин асаасны дараа Splunk энэ талбарыг автоматаар кодлоно.

3. Splunk-ийг GUI-аас дахин асаана.

> Тэмдэглэл: Эсвэл зөвхөн splunkd үйлчилгээг дахин асааж болно: $SPLUNK_HOME/bin/splunk restart splunkd

4. myCACertificate.pem файлыг Splunk-ийн хавтаснаас ($SPLUNK_HOME/etc/auth/mycerts/) гаргаж аваад security telemetry илгээх endpoint-уудад импортолно.

Гэрчилгээг Windows endpoint-ууд Certificates (Local computer) > Trusted Root Certification Authorities > Certificates хэсэгт импортолж чадах хэлбэрт хөрвүүлсэн байх ёстой.

5. Импортолсон гэрчилгээ хүчинтэй эсэхийг шалгана:

1. Гэрчилгээг нь аль хэдийн хадгалсан endpoint дээрээс хөтчөөр https://:8088/services/collector хаяг руу орно.

> Тэмдэглэл: Энэ холбоосоор асуудал гарвал энэ нийтлэлийн Send data to HTTP Event Collector on Splunk Cloud Platform хэсэгт өөр хувилбарууд байгаа.

2. Түгжээний дүрсэн дээр дарж гэрчилгээний төлвийг шалгана.

GravityZone-ийг тохируулах

1. 1Шинэ HTTP Event Collector-ийн токен утгыг бэлдээд GravityZone Control Center-т холбогдоно.

2. 2Удирдлагад байгаа endpoint-уудад хэрэглэсэн бодлогыг засахын тулд дээр нь дарна.

3. 3General > Security Telemetry хэсэг рүү орно.

4. 4Security Telemetry сонголтыг тэмдэглэнэ.

5. 5SIEM Connection Settings хэсэгт SIEM серверийн URL болон шинээр үүсгэсэн HTTP Event Collector-ийн Splunk токенийг оруулна.

Splunk серверийн URL дараах хэлбэртэй байна: https://:8088/services/collector

6. 6Self-signed гэрчилгээ ашиглаж байгаа бол Bypass validation of the SSL certificate on HTTP collector сонголтыг тэмдэглэнэ.

Өгөгдмөлөөр Control Center серверийн URL-ийг шалгаж, серверийн гэрчилгээг олон нийтийн CA-аар баталгаажуулдаг. Self-signed гэрчилгээтэй үед энэ сонголтыг тэмдэглээгүй бол Control Center алдаа гаргаж, Control Center болон HTTP collector хоорондын холболт тогтохгүй.

> Чухал: Энэ сонголт нь зөвхөн HTTP collector болон GravityZone консол хоорондын холболтод хамаарна, endpoint-уудад хамаарахгүй.
>
> Бодлогын хэрэгжилт, collector-ийн тохиргоо, үйл явдлын сонголтыг Control Center хариуцдаг.

7. 7Save (Хадгалах) товчийг дарна.

Тохиргоог шалгах

Тохиргоог баталгаажуулахын тулд:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Network (Сүлжээ) хуудас руу орно.

3. 3Security telemetry өгөгдөл илгээхээр тохируулсан endpoint-ийг сонгоно.

Endpoint-ийн дэлгэрэнгүй хуудас нээгдэнэ.

4. 4Protection (Хамгаалалт) табын Security Telemetry Status хэсгийг шалгана. Холболтын төлөв Established байх ёстой.

Security Telemetry үйл явдлууд нь BEST суулгасан удирдлагад байгаа endpoint-оос Splunk Enterprise 8 рүү шууд дамжина. Та түүхий өгөгдлөөс хайж, өөр өөр талбаруудыг нэгтгэн сэрэмжлүүлгүүдийг хянаж, шалгаж болно.