Recopila registros de BMC Helix Discovery

Compatible con:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las ofertas de la fase previa a la DG de las Condiciones Específicas del Servicio de Operaciones de Seguridad de Google. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los lineamientos del servicio de asistencia técnica de Google Security Operations y las Condiciones específicas del servicio de Google Security Operations.

Este analizador extrae campos de los mensajes de syslog de BMC Helix Discovery con patrones de grok. Se enfoca en los eventos de acceso y salida, y en las actualizaciones de estado. Asigna campos extraídos, como marcas de tiempo, nombres de usuario, direcciones IP de origen y descripciones, a la UDM. Los eventos se clasifican según el product_event_type extraído y los detalles del registro.

Antes de comenzar

• Asegúrate de tener una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
• Asegúrate de tener acceso con privilegios a la instancia de BeyondTrust.

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

1. Para la instalación de Windows, ejecuta la siguiente secuencia de comandos:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para la instalación de Linux, ejecuta la siguiente secuencia de comandos:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Puedes encontrar opciones de instalación adicionales en esta guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede a la máquina en la que está instalado BindPlane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: BMC_HELIX_DISCOVERY
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de BindPlane para aplicar los cambios:

   sudo systemctl restart bindplane
   

Cómo exportar Syslog desde BMC Helix Discovery

1. Accede a la instancia de BMC Discovery como usuario raíz.
2. Edita el archivo de configuración de syslog: etc/rsyslog.conf
3. Agrega la siguiente entrada en la parte superior: # Send everything to the remote syslog server.

4. Reemplaza la dirección IP por la de tu servidor de syslog:

   # Send everything to the remote syslog server
   
   *.* @192.168.1.100
   

5. Reinicia el servicio de syslog en el dispositivo:

   sudo /usr/bin/systemctl restart rsyslog.service
   

6. Prueba la configuración de reenvío.

7. Usa la utilidad del registrador para enviar un mensaje de syslog:

   logger this is a test of remote logging
   

8. Verifica que se haya registrado lo siguiente:

   su -
   Password:
   
   tail -n5 /var/log/messages
   Jan 17 11:42:10 localhost seclab: this is a test of remote logging
   

9. Accede a Google SecOps y verifica que aparezcan los mismos mensajes.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
data	metadata.description	Es la descripción del evento, extraída del mensaje de registro.
data	metadata.product_event_type	Es el tipo de evento sin procesar, extraído del mensaje de registro.
data	principal.ip	Es la dirección IP de origen, extraída del campo de descripción del mensaje de registro.
data	security_result.summary	Es un resumen del evento extraído del mensaje de registro.
data	target.user.userid	El nombre de usuario, extraído del mensaje de registro El analizador crea un objeto vacío. Se copia del campo timestamp de nivel superior en el registro sin procesar. El analizador lo determina en función de los campos product_event_type y desc. Si product_event_type es "logon" o desc contiene "logged on", se establece en "USER_LOGIN". Si product_event_type es "logoff" o desc contiene "logged off", se establece en "USER_LOGOUT". De lo contrario, si src_ip está presente, se establece como "STATUS_UPDATE". El valor predeterminado es "GENERIC_EVENT". Está codificado de forma fija en "BMC_HELIX_DISCOVERY". Está codificado de forma fija en "BMC_HELIX_DISCOVERY". Está codificado de forma fija en "BMC_HELIX_DISCOVERY".

Cambios

2022-08-29

• Sin embargo, el analizador se creó recientemente.