Recopila registros de BMC Helix Discovery
Este analizador extrae campos de los mensajes de syslog de BMC Helix Discovery con patrones de grok. Se enfoca en los eventos de acceso y salida, y en las actualizaciones de estado. Asigna campos extraídos, como marcas de tiempo, nombres de usuario, direcciones IP de origen y descripciones, a la UDM. Los eventos se clasifican según el product_event_type
extraído y los detalles del registro.
Antes de comenzar
- Asegúrate de tener una instancia de Google Security Operations.
- Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
- Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
- Asegúrate de tener acceso con privilegios a la instancia de BeyondTrust.
Obtén el archivo de autenticación de transferencia de Google SecOps
- Accede a la consola de Google SecOps.
- Ve a Configuración de SIEM > Agentes de recopilación.
- Descarga el archivo de autenticación de transferencia.
Obtén el ID de cliente de Google SecOps
- Accede a la consola de Google SecOps.
- Ve a Configuración de SIEM > Perfil.
- Copia y guarda el ID de cliente de la sección Detalles de la organización.
Instala el agente de BindPlane
- Para la instalación de Windows, ejecuta la siguiente secuencia de comandos:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
- Para la instalación de Linux, ejecuta la siguiente secuencia de comandos:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
- Puedes encontrar opciones de instalación adicionales en esta guía de instalación.
Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps
- Accede a la máquina en la que está instalado BindPlane.
Edita el archivo
config.yaml
de la siguiente manera:receivers: tcplog: # Replace the below port <54525> and IP <0.0.0.0> with your specific values listen_address: "0.0.0.0:54525" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the creds location below according the placement of the credentials file you downloaded creds: '{ json file for creds }' # Replace <customer_id> below with your actual ID that you copied customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # You can apply ingestion labels below as preferred ingestion_labels: log_type: SYSLOG namespace: BMC_HELIX_DISCOVERY raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - tcplog exporters: - chronicle/chronicle_w_labels
Reinicia el agente de BindPlane para aplicar los cambios:
sudo systemctl restart bindplane
Cómo exportar Syslog desde BMC Helix Discovery
- Accede a la instancia de BMC Discovery como usuario raíz.
- Edita el archivo de configuración de syslog:
etc/rsyslog.conf
- Agrega la siguiente entrada en la parte superior:
# Send everything to the remote syslog server
. Reemplaza la dirección IP por la de tu servidor de syslog:
# Send everything to the remote syslog server *.* @192.168.1.100
Reinicia el servicio de syslog en el dispositivo:
sudo /usr/bin/systemctl restart rsyslog.service
Prueba la configuración de reenvío.
Usa la utilidad del registrador para enviar un mensaje de syslog:
logger this is a test of remote logging
Verifica que se haya registrado lo siguiente:
su - Password: tail -n5 /var/log/messages Jan 17 11:42:10 localhost seclab: this is a test of remote logging
Accede a Google SecOps y verifica que aparezcan los mismos mensajes.
Tabla de asignación de UDM
Campo de registro | Asignación de UDM | Lógica |
---|---|---|
data |
metadata.description | Es la descripción del evento, extraída del mensaje de registro. |
data |
metadata.product_event_type | Es el tipo de evento sin procesar, extraído del mensaje de registro. |
data |
principal.ip | Es la dirección IP de origen, extraída del campo de descripción del mensaje de registro. |
data |
security_result.summary | Es un resumen del evento extraído del mensaje de registro. |
data |
target.user.userid | El nombre de usuario, extraído del mensaje de registro El analizador crea un objeto vacío. Se copia del campo timestamp de nivel superior en el registro sin procesar. El analizador lo determina en función de los campos product_event_type y desc . Si product_event_type es "logon" o desc contiene "logged on", se establece en "USER_LOGIN". Si product_event_type es "logoff" o desc contiene "logged off", se establece en "USER_LOGOUT". De lo contrario, si src_ip está presente, se establece como "STATUS_UPDATE". El valor predeterminado es "GENERIC_EVENT". Está codificado de forma fija en "BMC_HELIX_DISCOVERY". Está codificado de forma fija en "BMC_HELIX_DISCOVERY". Está codificado de forma fija en "BMC_HELIX_DISCOVERY". |
Cambios
2022-08-29
- Sin embargo, el analizador se creó recientemente.