HTTPS listener-гүй SIEM платформуудтай GravityZone-ийг хэрхэн холбох вэ?

Энэ нийтлэл нь GravityZone болон үйл явдал хүлээн авах HTTPS listener-гүй SIEM шийдлүүдийн хооронд холбогч (connector) суулгахад тусална.

Bitdefender GravityZone клауд платформ аюулгүй байдлын үйл явдлын сэрэмжлүүлгийг CEF болон JSON мессежийн стандартаар өгдөг. Эдгээр сэрэмжлүүлгийг Event Push Service-ээр дамжуулан илгээнэ.

GravityZone API-г JSON-RPC 2.0 протоколоор нээдэг (тодорхойлолт). GravityZone API-ийн дэлгэрэнгүйг боломжит баримт бичгээс үзнэ үү.

Таны SIEM-д HTTP/HTTPS listener байхгүй ч Syslog үйлчилгээг дэмждэг бол GravityZone Event Push Service Connector-ыг суулгах шаардлагатай.

Холбогч нь GravityZone Event Push Service-ээс POST аргаар нэвтрэлттэй, хамгаалагдсан мессеж хүлээн авна. Мессежийг задлаад локал эсвэл алсын Syslog сервер рүү дамжуулна. Тэр Syslog серверээр дамжуулан мессежүүдийг SIEM-д өгч болно.

Холбогчийг суулгахдаа дараах алхмыг дагана:

1. 1Урьдчилсан нөхцөлийг шалгана.

2. 2Хэрэв GravityZone Event Push Service-ийн 2025 оны 3-р сарын 27-ноос өмнө гараар тохируулсан хувилбар байгаа бол түүний файлуудыг системээсээ устгана.

3. 3APT sources жагсаалтад repository нэмнэ.

4. 4DEB багцыг суулгана.

> Тэмдэглэл: DEB багц суулгах үед signatures couldn't be verified because the public key is not available алдаа гарвал багцын файлуудын дижитал гарын үсгийг татаж суулгана:
>
> ```
> curl -sS https://download.bitdefender.com/repos/gzrepos.key.asc | apt-key add -
> ```

5. 5Bash script-ээр тохируулна.

6. 6Системийн үйлчилгээг идэвхжүүлнэ (enable).

7. 7Холбогчийг шалгана.

8. 8GravityZone-ийг SIEM рүү мессеж илгээхээр тохируулна.

Урьдчилсан нөхцөлийг шалгах

Цааш үргэлжлүүлэхийн өмнө дараах нөхцөл хангагдсан байх ёстой:

• Linux-ийн үндсэн мэдлэг

• GravityZone клауд шийдэл

• Event Push Service API-г хамарсан GravityZone API түлхүүр

• Дараах тохиргоотой Ubuntu 24.04 LTS сервер:

- Техник хангамж:

- 1 CPU
- 2 GB RAM
- 1 Gbit виртуал NIC
- 80 GB HDD

Энэ тохиргоо 15000 хүртэлх endpoint-тэй орчныг даана. Endpoint-ийн тоо нэмэгдэхэд CPU болон сүлжээний ачаалал түүнтэй уялдан өснө.

> Чухал: Event push-ээс үйл явдал хүлээн авах SIEM-д GravityZone Event Push сервер үйл явдлыг дамжуулах Public IP оноосон байх шаардлагатай.

Холбогчийг суулгах

1. 1Ubuntu 24.04 сервертэй холбогдоно.

2. 2Bitdefender Connector repository-г APT-д нэмнэ.

```
sudo echo "deb http://download.bitdefender.com/repos/deb-hydra24-evpsc/ bitdefender non-free" >> /etc/apt/sources.list
```

3. 3DEB багцыг суулгана.

```
sudo apt update
sudo apt install gz-evpsc
```

4. 4Тохиргооны script-ийг ажиллуулна.

```
#Change the path to where the configuration script is located.
cd /opt/bitdefender/gz-evpsc
#Run the script with sudo permission
sudo ./config.sh <PORT> <SYSLOGPORT> <TRANSPORT> <TARGET> <AUTH> <CONFIG_FILENAME>
```

- <PORT> — event push үйлчилгээ HTTPS connector сервертэй холбогдоход ашиглах порт.
- <SYSLOGPORT> — HTTPS connector сервер SIEM рүү өгөгдөл илгээхэд ашиглах порт.
- <TRANSPORT> — өгөгдөл дамжуулах протокол.
- <TARGET> — SIEM-ийн IP хаяг.
- <AUTH> — SIEM-д API-аар хандахад ашиглах нэвтрэлтийн түлхүүр; энэ түлхүүр GravityZone API-ийн нэвтрэлтийн түлхүүрээс өөр байх ёстой.
- <CONFIG_FILENAME> — config файлын нэр.

Жишээ

```
cd /opt/bitdefender/gz-evpsc
sudo ./config.sh 3200 514 Tcp 127.0.0.1 'Basic dGVzdDp0ZXN0' config.json
```

> Тэмдэглэл: GravityZone Event Push сервер үйл явдлыг дамжуулахын тулд холбогчид public IP хаяг оноосон байх ёстой.

5. 5(заавал биш) config файлд сертификатын замыг нэмнэ.

config.sh script нь HTTPS connector серверт өгөгдмөлөөр self-signed сертификат үүсгэдэг. Аюулгүй байдлыг дээшлүүлэхийн тулд сертификатын байгууллагаас (CA) авсан сертификатыг дараах файлуудад байрлуулж болно:

```
/opt/bitdefender/gz-evpsc/api/config/server.key/opt/bitdefender/gz-evpsc/api/config/server.crt
```

6. 6Системийн үйлчилгээг идэвхжүүлнэ

```
systemctl enable gz-evpsc
```

7. 7Системийн үйлчилгээг эхлүүлнэ

```
systemctl start gz-evpsc
```

Нэвтрэлтэд зориулсан аюулгүй байдлын сертификат авах

GravityZone клауд платформ Push Event мессежийг зөвхөн HTTPS-ийг дэмждэг холбогч руу илгээдэг. Холбогч үйлчилгээ HTTPS-ээр ажиллаж, Bitdefender Cloud-тай аюулгүй холбогдохын тулд SSL/TLS сертификаттай байх ёстой.

config.sh script нь HTTPS connector серверт өгөгдмөлөөр self-signed сертификат үүсгэдэг. Энэ үйлчилгээнд SSL/TLS сертификатыг өөр хэд хэдэн аргаар авч болно:

1. 1Итгэмжлэгдсэн нийтийн сертификатын байгууллагаас (CA)

> Тэмдэглэл: Энэ аргыг хүчтэй зөвлөж байна. Манай Cloud серверүүд холбогчийн URL-ийн мөн чанарыг зөв баталгаажуулж, man-in-the-middle халдлагаас сэргийлнэ.

2. 2Танай байгууллагын дотоод PKI-аас

> Тэмдэглэл: Энэ аргыг зөвлөдөггүй. Bitdefender-ийн нийтийн клауд үйлчилгээ хувийн CA-аар гарын үсэг зурсан сертификатыг баталгаажуулж чадахгүй.

3. 3Self-signed сертификат үүсгэх

> Тэмдэглэл: Энэ сонголтыг хэрэглэхгүй байхыг хатуу зөвлөж байна. Сертификатыг баталгаажуулах ямар ч арга байхгүй бөгөөд харилцаанг man-in-the-middle халдлагад өртөмхий болгоно. Зөвхөн туршилтад ашиглах бөгөөд production орчинд хэзээ ч бүү ашигла.

Цаашид таньд өөрийн сонгосон CA-аар гарын үсэг зурсан sslkey.pem болон ssl.cer/ssl.crt файлууд хэрэгтэй болно.

Холбогчийг шалгах

Дөнгөж тохируулсан холбогчийг шалгахдаа дараах HTTPS мессежийн жишээг ашиглана:

• Event Push Service request header

```
Authorization: Basic xxxxxxxxxxxxxx
```

• Event Push Service payload

```
{
"cef": "0",
"events": [
"CEF:0|Bitdefender|GravityZone|6.4.08|70000|Registration|3|BitdefenderGZModule=registrationdvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2",
"CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2",
"CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2"
]
}
```

• Payload-ыг collector үйлчилгээ рүү илгээхийн тулд дараах cURL командыг ашиглана.

```
curl -k -H 'Authorization: Basic xxxxxxxxxxxxxxxxxx' \-H "Content-Type: application/json" \-d '{"cef": "0","events": ["CEF:0|Bitdefender|GravityZone|6.4.08|70000|Registration|3|BitdefenderGZModule=registrationdvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2","CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2","CEF:0|Bitdefender|GravityZone|6.4.0-8|35|Product ModulesStatus|5|BitdefenderGZModule=modules dvchost=TEST_ENDPOINTasdadBitdefenderGZComputerFQDN=test.example.com dvc=192.168.1.2"]}' \https://your_web_server_hostname_or_public_IP:port/api
```

> Чухал: Authorization header болон URL-ийг дээр config.json файлд тохируулсан утгаар солино.

Үйл явдал таны тодорхойлсон syslog сервер дээр болон ажиллаж буй server.js-ийн гаралтад гарч ирэх ёстой.

GravityZone-ийг SIEM рүү мессеж илгээхээр тохируулах

HTTPS collector үйлчилгээ ажиллаж, мессеж хүлээж байгаа тул Control Center-ийг дээр тодорхойлсон URL руу үйл явдал илгээхээр тохируулж болно: https://your_web_server_hostname_or_public_IP:port/api.

Event Push Service API-ийн бүх тохиргоог setPushEventSettings аргаар хийнэ. Эдгээр тохиргооны дэлгэрэнгүйг Push хуудаснаас үзнэ үү.

Өөрийн сонгосон API түлхүүрийг ашиглан API push үйл явдлууд болон мессеж хүргэх үйлчилгээний URL-ийг тохируулна:

$ curl --tlsv1.2 -sS -k -X POST \https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \-H 'authorization: Basic API_KEY_BASE64_ENCODED_WITH_COLON_APPENDED' \-H 'cache-control: no-cache' \-H 'content-type: application/json' \-d '{"id":"1","jsonrpc":"2.0","method":"setPushEventSettings","params":{"serviceSettings":{"requireValidSslCertificate":false,"authorization":"Basic xxxxxxxxxx","url":" https://your_web_server_hostname_or_public_IP:port/api"},"serviceType":"cef","status":1,"subscribeToEventTypes":{"adcloudgz":true,"antiexploit":true,"aph":true,"av":true,"avc":true,"dp":true,"endpoint-moved-in":true,"endpoint-moved-out":true,"exchange-malware":true,"exchange-user-credentials":true,"fw":true,"hd":true,"hwid-change":true,"install":true,"modules":true,"network-monitor":true,"network-sandboxing":true,"new-incident":true,"ransomware-mitigation":true,"registration":true,"supa-update-status":true,"sva":true,"sva-load":true,"task-status":true,"troubleshooting-activity":true,"uc":true,"uninstall":true}}}'

Тохируулсны дараа тохиргоо хүчин төгөлдөр болтол ойролцоогоор 10 минут хүлээгээд getPushEventSettings хүсэлт илгээнэ.

$ curl --tlsv1.2 -sS -k -X POST \https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \-H 'authorization: Basic API_KEY_BASE64_ENCODED' \-H 'cache-control: no-cache' \-H 'content-type: application/json' \-d '{"id":"3","jsonrpc":"2.0","method":"getPushEventSettings","params":{}}'

Үр дүн дараах байдалтай харагдана:

{  "id": "2",  "jsonrpc": "2.0",  "result": {    "serviceSettings": {      "authorization": "********",      "requireValidSslCertificate": false,      "url": "https://your_web_server_hostname_or_public_IP:port/api"    },    "serviceType": "cef",    "status": 1,    "subscribeToCompanies": null,    "subscribeToEventTypes": {      "adcloud": false,      "antiexploit": true,      "aph": true,      "av": true,      ……….      "uninstall": true    }  }}

Туршилтын үйл явдал илгээхийн тулд sendTestPushEvent API аргыг дуудаж болно.

$ curl --tlsv1.2 -sS -k -X POST \https://CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push \-H 'authorization: Basic API_KEY_BASE64_ENCODED' \-H 'cache-control: no-cache' \-H 'content-type: application/json' \-d '{"id":"4","jsonrpc":"2.0","method":"sendTestPushEvent","params":{"eventType": "av"}}'

Үр дүн дараах байдалтай харагдана:

{  "id": "4",  "jsonrpc": "2.0",  "result": {    "computer_name": "FC-WIN7-X64-01",    "computer_fqdn": "fc-win7-x64-01",    "computer_ip": "10.17.46.196",    "computer_id": "59a1604e60369e06733f8abb",    "product_installed": "BEST",    "malware_type": "file",    "malware_name": "EICAR-Test-File (not a virus)",    "file_path": "C:\\eicar0000001.txt",    "hash": "8b3f191819931d1f2cef7289239b5f77c00b079847b9c2636e56854d1e5eff71",    "final_status": "deleted",    "timestamp": "2017-09-08T12:01:36.000Z",    "companyId": "5ac8460f8a799399a78b456c",    "module": "av",    "_testEvent_": true  }}

Үйл явдал удалгүй Syslog сервер болон server.js-ийн гаралтад гарч ирнэ.

Лог файлыг шалгах

Лог файлыг эндээс олно:

/opt/bitdefender/var/log/gz-evpsc/log.txt