收集 CyberArk Privilege Cloud 日志

解析器版本： 14.0

支持的环境：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 CyberArk Privilege Cloud 日志注入 Google Security Operations。CyberArk Privilege Cloud 是一种基于 SaaS 的特权访问权限管理解决方案，可保护、管理和监控云中的特权凭据。它提供自动凭据轮替、会话隔离和记录、即时访问权限预配，以及针对混合云和多云环境中特权账号活动的全面审核日志记录。

准备工作

请确保满足以下前提条件：

Google SecOps 实例。
搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态。
对 CyberArk Privilege Cloud 管理门户的特权访问权限，并具有保险柜管理员权限。
Bindplane 代理主机（在端口 6514 上通过 TLS 使用 syslog 时需要）的有效 TLS 证书。

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。
- 将文件安全地保存在将安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 个人资料 。
从组织详细信息 部分复制并保存客户 ID 。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符 或 PowerShell 。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

使用 root 或 sudo 权限打开终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

访问配置文件：
- 找到 config.yaml 文件。通常，该文件位于 Linux 上的 /opt/observiq-otel-collector/ 目录或 Windows 上的安装目录中。
- 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

按如下方式修改 config.yaml 文件：

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:6514"
        tls:
            cert_file: '/path/to/server.crt'
            key_file: '/path/to/server.key'

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <PLACEHOLDER_CUSTOMER_ID>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CYBERARK_PRIVILEGE_CLOUD'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

根据基础架构的需要替换端口和 IP 地址。
将 <PLACEHOLDER_CUSTOMER_ID> 替换为实际的客户 ID。
将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 注入身份验证文件 部分中保存身份验证文件的文件路径。
将 /path/to/server.crt 和 /path/to/server.key 更新为 TLS 证书和密钥文件的实际路径。

注意： CyberArk Privilege Cloud 需要 TLS 才能建立 syslog 连接。必须使用有效的 TLS 证书配置 Bindplane 代理。如果您使用自签名证书，则必须将 CA 证书导入 CyberArk Privilege Cloud。

不使用 TLS 的配置（仅限 TCP）

如果您的网络架构在 CyberArk Privilege Cloud 和 Bindplane 代理之间包含 TLS 终止代理，则可以使用纯 TCP：
```
receivers:
    tcplog:
        listen_address: "0.0.0.0:514"
```

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
```
sudo systemctl restart observiq-otel-collector
```
如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

配置 CyberArk Privilege Cloud syslog 转发

在 Privilege Cloud 中配置 SIEM 集成

登录 CyberArk Privilege Cloud 管理门户。
依次前往管理 > 配置选项 > 选项 > SIEM 集成。
选择启用 SIEM 集成 以激活 syslog 转发。
提供以下配置详细信息：
- SIEM 类型：选择 Syslog。
- Syslog 服务器地址：输入 Bindplane 代理主机的 IP 地址或 FQDN（例如 syslog.example.com）。
- Syslog 服务器端口：输入 6514。
- 协议：选择 TLS。
- 格式：选择 CEF（通用事件格式）。
注意： CyberArk Privilege Cloud 不支持 UDP。syslog 转发仅支持 TCP 和 TLS 协议。
在事件类型 部分，选择要转发的事件类别：
- 保险柜审核：保险柜访问和凭据检索事件。
- 会话审核：特权会话监控事件。
- 保险柜管理：保险柜创建、修改和删除事件。
- 用户管理：用户预配和权限更改。
- 政策更改：平台和政策修改事件。
点击保存。

验证 TLS 连接

验证 Bindplane 代理是否在端口 6514 上进行监听：
```
sudo ss -tlnp | grep 6514
```
通过检查 Bindplane 代理日志来验证是否收到了日志：
```
sudo journalctl -u observiq-otel-collector -f
```
如果未收到任何日志，请验证以下内容：
- Bindplane 代理主机可从互联网访问（CyberArk Privilege Cloud 是一种 SaaS 服务）。
- 防火墙规则允许在端口 6514 上建立入站 TCP 连接。
- TLS 证书有效且未过期。
- TLS 证书 CN 或 SAN 与在 CyberArk Privilege Cloud 中配置的主机名一致。

如需详细了解 CyberArk Privilege Cloud SIEM 集成，请参阅 CyberArk Privilege Cloud 文档。

UDM 映射表

日志字段	UDM 映射	逻辑
`Header.deviceVendor`	`metadata.vendor_name`	从 CEF 标头供应商字段映射。设置为“CyberArk”。
`Header.deviceProduct`	`metadata.product_name`	从 CEF 标头产品字段映射。设置为“Privilege Cloud”。
`Header.deviceVersion`	`metadata.product_version`	从 CEF 标头版本字段映射。
`Header.signatureId`	`metadata.product_event_type`	来自 CEF 签名 ID 的审核操作代码。
`Header.name`	`metadata.description`	来自 CEF 标头的事件名称。
`Header.severity`	`security_result.severity`	从 CEF 严重程度映射（0-3=低，4-6=中，7-8=高，9-10=严重）。
`suser`	`principal.user.userid`	执行操作的用户。
`src`	`principal.ip`	会话的来源 IP 地址。
`shost`	`principal.hostname`	来源主机名。
`duser`	`target.user.userid`	目标特权账号。
`dhost`	`target.hostname`	目标系统主机名。
`dst`	`target.ip`	目标系统 IP 地址。
`cs1`	`security_result.detection_fields`	保险柜名称（键：cs1Label 值）。
`cs2`	`security_result.detection_fields`	账号名称或其他上下文（键：cs2Label 值）。
`cs3`	`security_result.detection_fields`	平台 ID 或政策信息（键：cs3Label 值）。
`act`	`security_result.action_details`	执行的操作（例如，检索、连接、更新）。
`reason`	`security_result.description`	为特权访问权限提供的理由。
`rt`	`metadata.event_timestamp`	事件接收时间。
`app`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`Otherinfo`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`AffectedUserName`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`RequestId`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`SafeName`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`Database`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`MessageID", "Version", "Safe", "PolicyID", "DeviceType", and "Address`	`additional.fields`	从变更日志映射
`GatewayStation`	`target.ip`	从变更日志映射
`UserName`	`principal.user.user_display_name`	从变更日志映射
`Station`	`principal.ip`	从变更日志映射
`Message`	`security_result.summary`	从变更日志映射
`Issuer`	`principal.user.userid`	从变更日志映射
`File`	`principal.file.full_path`	从变更日志映射
`Severity`	`security_result.severity`	从变更日志映射
`CPMStatus`	`security_result.action`	从变更日志映射
`device_version`	`metadata.product_version`	从变更日志映射
`device_event_class_id" and "event_name`	`metadata.product_event_type`	从变更日志映射
`msg`	`metadata.description`	从变更日志映射
`duser`	`target.user.user_display_name`	从变更日志映射
`suser`	`principal.user.user_display_name`	从变更日志映射
`cn1", "cn1Label", "cn2", "cn2Label", "cs1", "cs1Label", "cs2", "cs2Label", "cs3", "cs3Label", "cs4", "cs4Label", "cs5", "cs5Label", and "fname`	`additional.fields`	从变更日志映射

更新日志

查看此解析器的更新日志