Recoger registros de Apache

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos del Servicio de Google SecOps.

En este documento se explica cómo ingerir registros de Apache en Google Security Operations mediante Bindplane. El código del analizador primero intenta analizar el mensaje de registro sin formato como JSON. Si no funciona, usa expresiones regulares (patrones grok) para extraer campos del mensaje en función de los formatos de registro de Apache habituales.

Antes de empezar

• Asegúrate de que tienes una instancia de Google SecOps.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
• Asegúrate de que tienes acceso con privilegios a una instancia de Apache.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre un terminal con privilegios de superusuario o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para ver otras opciones de instalación, consulta esta guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'APACHE'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Sustituye <customer_id> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar Syslog en Apache

1. Inicia sesión en el servidor Ubuntu mediante SSH.

2. Crea un archivo en /etc/rsyslog.d/ llamado 02-apache2.conf:

   vim /etc/rsyslog.d/02-apache2.conf
   

3. Añade el siguiente código al archivo:

   module(load="imfile" PollingInterval="10" statefile.directory="/var/spool/rsyslog")
   input(type="imfile"
           File="/var/log/apache2/access.log"
           Tag="http_access"
           Severity="info"
           Facility="local6")
   Local6.info        @<bindplane-agnet-ip>:<vindplane-agent-port>
   module(load="imfile" PollingInterval="10" statefile.directory="/var/spool/rsyslog")
   input(type="imfile"
           File="/var/log/apache2/error.log"
           Tag="http_error"
   

   • Sustituye bindplane-agent-ip> y bindplane-agent-port por la dirección IP y el puerto configurados para el agente de Bindplane.
   • Si usas el protocolo TCP, añade un @ adicional a la línea del host para que quede así: @@<bindplane-agnet-ip>:<vindplane-agent-port>.

4. Reinicia los servicios de RSyslog:

   sudo service rsyslog restart
   

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
bytes	network.received_bytes	Bytes recibidos del cliente.
bytes	network.sent_bytes	Bytes enviados al cliente.
bytes_out	network.sent_bytes	Bytes enviados al cliente.
bytes_received	network.received_bytes	Bytes recibidos del cliente.
Contenido	network.http.method	Método HTTP extraído del campo "Content".
Contenido	target.url	URL de destino extraída del campo "Contenido".
galleta	additional.fields.value.string_value	Valor del campo "cookie".
dest_ip	target.ip	Dirección IP del destino.
dest_name	target.hostname	Nombre de host del destino.
dest_port	target.port	Puerto del destino.
description	metadata.description	Descripción del evento.
duration_microseconds	additional.fields.value.string_value	Valor del campo "duration_microseconds".
file_full_path	target.file.full_path	Ruta completa del archivo de destino.
nombre de host	target.hostname	Nombre de host del destino.
http_content_type	additional.fields.value.string_value	Valor del campo "http_content_type".
http_host	principal.hostname	Nombre de host del principal.
http_method	network.http.method	Método HTTP.
http_referrer	network.http.referral_url	URL referente HTTP.
http_user_agent	network.http.user_agent	User-agent HTTP.
ID	metadata.id	ID del evento.
insertId	metadata.product_log_id	ID de registro de producto.
ip	principal.ip	Dirección IP de la entidad principal.
jsonPayload.cIP	target.ip	Dirección IP del destino.
jsonPayload.cPort	target.port	Puerto del destino.
jsonPayload.csBytes	network.sent_bytes	Bytes enviados al cliente.
jsonPayload.csMethod	network.http.method	Método HTTP.
jsonPayload.csMimeType	target.file.mime_type	Tipo MIME del archivo de destino.
jsonPayload.csReferer	network.http.referral_url	URL referente HTTP.
jsonPayload.csURL	target.url	URL de destino.
jsonPayload.csUserAgent	network.http.user_agent	User-agent HTTP.
jsonPayload.sHierarchy	additional.fields.value.string_value	Valor del campo "sHierarchy".
jsonPayload.sHostname	principal.hostname	Nombre de host del principal.
jsonPayload.sIP	principal.ip	Dirección IP de la entidad principal.
jsonPayload.scBytes	network.received_bytes	Bytes recibidos del cliente.
jsonPayload.scHTTPStatus	network.http.response_code	Código de respuesta HTTP.
jsonPayload.scResultCode	additional.fields.value.string_value	Valor del campo "scResultCode".
LastStatus	network.http.response_code	Código de respuesta HTTP.
log_level	security_result.severity	Gravedad del resultado de seguridad.
logName	security_result.category_details	Detalles de la categoría del resultado de seguridad.
método	network.http.method	Método HTTP.
pid	principal.process.pid	ID de proceso de la entidad principal.
Puerto	target.port	Puerto del destino.
proto	network.application_protocol	Protocolo de aplicación.
Referente	network.http.referral_url	URL referente HTTP.
RemoteHost	principal.ip	Dirección IP de la entidad principal.
RemoteUser	principal.user.userid	ID de usuario de la entidad principal.
resource.labels.instance_id	target.resource.product_object_id	ID de objeto de producto del recurso de destino.
resource.labels.project_id	target.resource.attribute.labels.value	Valor de la etiqueta "project_id".
resource.labels.zone	target.resource.attribute.cloud.availability_zone	Zona de disponibilidad del recurso de destino.
resource.type	target.resource.resource_type	Tipo de recurso de destino.
response	network.http.response_code	Código de respuesta HTTP.
SizeBytes	network.received_bytes	Bytes recibidos del cliente.
src_ip	principal.ip	Dirección IP de la entidad principal.
src_port	principal.port	Puerto de la entidad principal.
ssl_cipher	network.tls.cipher	Cifrado TLS.
ssl_version	network.tls.version_protocol	Protocolo de versión de TLS.
status	network.http.response_code	Código de respuesta HTTP.
target	target.url	URL de destino.
target_ip	target.ip	Dirección IP del destino.
target_port	target.port	Puerto del destino.
Tiempo	metadata.event_timestamp	Marca de tiempo del evento.
uri_path	target.process.file.full_path	Ruta completa del archivo de destino.
usuario	principal.user.userid	ID de usuario de la entidad principal.
useragent	network.http.user_agent	User-agent HTTP.
version_protocol	network.tls.version_protocol	Protocolo de versión de TLS.
Nombre del trabajador	principal.hostname	Nombre de host del principal.
x_forwarded_for		Valor del encabezado "X-Forwarded-For".
	metadata.log_type	El valor se define como "APACHE" en el código del analizador.
	metadata.product_name	El valor se asigna a "Apache Web Server" en el código del analizador.
	metadata.vendor_name	El valor se define como "Apache" en el código del analizador.
	metadata.event_type	El valor se determina en función de la presencia de información principal y de destino. Si están presentes tanto el principal como el destino, el tipo de evento se define como "NETWORK_HTTP". Si solo está presente el principal, el tipo de evento se define como "STATUS_UPDATE". De lo contrario, se le asigna el valor "GENERIC_EVENT".
	additional.fields.key	La clave se define como "keep_alive", "duration_microseconds", "cookie", "http_content_type", "sHierarchy" o "scResultCode" en el código del analizador en función del campo.
	target.port	Si el campo "proto" es "HTTP", el puerto se define como 80. Si el campo "proto" es "HTTPS", el puerto se define como 443. Si el campo "proto" es "FTP", el puerto se define como 21.
	target.resource.attribute.labels.key	La clave se define como "project_id" en el código del analizador.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.