Raccogli i log di BMC Helix Discovery

Supportato in:

Google SecOps SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le linee guida per il servizio di assistenza tecnica di Google Security Operations e i Termini di servizio specifici di Google Security Operations.

Questo parser estrae i campi dai messaggi syslog di BMC Helix Discovery utilizzando i pattern Grok. Si concentra sugli eventi di accesso/uscita e sugli aggiornamenti dello stato. Mappa i campi estratti, come timestamp, nomi utente, IP di origine e descrizioni, all'UDM. Gli eventi vengono classificati in base ai dettagli product_event_type e ai log estratti.

Prima di iniziare

• Assicurati di avere un'istanza Google Security Operations.
• Assicurati di utilizzare Windows 2016 o versioni successive o un host Linux con systemd.
• Se il servizio è in esecuzione dietro un proxy, assicurati che le porte del firewall siano aperte.
• Assicurati di disporre dell'accesso privilegiato all'istanza BeyondTrust.

Recupera il file di autenticazione di importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'importazione.

Ottenere l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa BindPlane Agent

1. Per l'installazione su Windows, esegui il seguente script:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Per l'installazione di Linux, esegui il seguente script:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Ulteriori opzioni di installazione sono disponibili in questa guida all'installazione.

Configurare l'agente BindPlane per importare i syslog e inviarli a Google SecOps

1. Accedi al computer su cui è installato BindPlane.

2. Modifica il file config.yaml come segue:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: BMC_HELIX_DISCOVERY
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Riavvia l'agente BindPlane per applicare le modifiche:

   sudo systemctl restart bindplane
   

Esportare Syslog da BMC Helix Discovery

1. Accedi all'istanza BMC Discovery come utente root.
2. Modifica il file di configurazione syslog: etc/rsyslog.conf
3. Aggiungi la seguente voce in alto: # Send everything to the remote syslog server.

4. Sostituisci l'indirizzo IP con quello del tuo server syslog:

   # Send everything to the remote syslog server
   
   *.* @192.168.1.100
   

5. Riavvia il servizio syslog sull'appliance:

   sudo /usr/bin/systemctl restart rsyslog.service
   

6. Testa la configurazione dell'inoltro.

7. Utilizza l'utilità di log per inviare un messaggio syslog:

   logger this is a test of remote logging
   

8. Verifica che sia stato registrato quanto segue:

   su -
   Password:
   
   tail -n5 /var/log/messages
   Jan 17 11:42:10 localhost seclab: this is a test of remote logging
   

9. Accedi a Google SecOps e verifica che vengano visualizzati gli stessi messaggi.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
data	metadata.description	La descrizione dell'evento, estratta dal messaggio di log.
data	metadata.product_event_type	Il tipo di evento non elaborato, estratto dal messaggio di log.
data	principal.ip	L'indirizzo IP di origine, estratto dal campo della descrizione nel messaggio di log.
data	security_result.summary	Un riepilogo dell'evento, estratto dal messaggio di log.
data	target.user.userid	Il nome utente, estratto dal messaggio di log. Il parser crea un oggetto vuoto. Copiato dal campo timestamp di primo livello nel log non elaborato. Determinato dal parser in base ai campi product_event_type e desc. Se product_event_type è "logon" o desc contiene "logged on", viene impostato su "USER_LOGIN". Se product_event_type è "logoff" o desc contiene "logged off", viene impostato su "USER_LOGOUT". In caso contrario, se src_ip è presente, viene impostato su "STATUS_UPDATE". Il valore predefinito è "GENERIC_EVENT". Hardcoded su "BMC_HELIX_DISCOVERY". Hardcoded su "BMC_HELIX_DISCOVERY". Hardcoded su "BMC_HELIX_DISCOVERY".

Modifiche

2022-08-29

• Parser appena creato.