收集 Claroty xDome 日志

支持的语言：

本文档介绍了如何使用 Bindplane 代理将 Claroty xDome 日志注入到 Google Security Operations。解析器会处理 JSON 格式的日志，将其转换为统一数据模型 (UDM)。它会清理输入、解析 JSON 数据、将字段映射到 UDM、处理特定事件类型和严重程度，并使用其他元数据和详细信息丰富 UDM。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • 如果在代理后运行，防火墙端口处于开放状态
  • 对 Claroty xDome 的特权访问权限

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：
    • 找到 config.yaml 文件。通常，它位于 Linux 上的 /etc/bindplane-agent/ 目录中或 Windows 上的安装目录中。
    • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CLAROTY_XDOME'
        raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • 根据基础架构的需要替换端口和 IP 地址。
    • 将 <customer_id> 替换为实际的客户 ID。
    • 将 /path/to/ingestion-authentication-file.json 更新为获取 Google SecOps 提取身份验证文件部分中保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart bindplane-agent

  • 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop BindPlaneAgent && net start BindPlaneAgent

在 Claroty xDome 上配置 Syslog

  1. 登录 Claroty xDome 网页界面。
  2. 点击导航栏中的设置标签页。
  3. 从菜单中选择系统设置。
  4. 点击集成部分中的我的集成。
  5. 点击添加集成。
  6. 从类别菜单中选择内部服务。
  7. 从集成菜单中选择 SIEM 和 Syslog。
  8. 点击添加。
  9. 输入以下配置详细信息：
    1. 目标 IP：输入 Bindplane 代理 IP 地址。
    2. 传输协议：选择 UDP（您也可以根据 Bindplane 配置选择 TCP 或 TLS）。
    3. 如果您选择 TLS 安全协议，请执行以下操作：
      • 选中检查主机名选项，以验证服务器的主机名是否与 X. 509 证书。
      • 选中使用自定义证书授权机构选项，以使用自定义证书授权机构 (CA) 而不是默认 CA。上传自定义证书文件，或将证书（采用 PEM 格式）插入到提供的空间中。
    4. 目标端口：TCP、TLS 和 UDP 的默认值为 514。（将鼠标悬停在相应字段上，然后使用可点击的箭头选择其他目标端口）。
    5. 高级选项：输入以下设置：
      • 消息格式：选择 JSON。
      • Syslog 协议标准：选择 RFC 5424 或 RFC 3164。
    6. 集成名称：为集成输入一个有意义的名称（例如 Google SecOps syslog）。
    7. 部署选项：根据您的 xDome 配置，选择从收集服务器运行或从云端运行选项。
  10. 前往集成任务参数。
  11. 开启使用 Syslog 导出 Claroty xDome 通信事件选项，以启用导出 Claroty xDome 通信事件。
  12. 在事件类型选择菜单中，点击全选。

  13. 选择要导出的设备条件：选择所有设备选项，以导出所有受影响设备的通信事件数据。

  14. 开启将 Claroty xDome 设备更改提醒更改日志导出到 Syslog 选项，以导出 Claroty xDome 更改事件。

  15. 在更改事件类型选择菜单中，选择要导出的更改事件类型。

  16. 选择要导出的设备条件：选择所有设备可导出所有受影响设备的更改事件数据。

  17. 开启使用 Syslog 导出受影响设备的 Claroty xDome 提醒信息选项，以导出任何提醒类型（包括自定义提醒）的提醒信息。

  18. 在提醒类型中，点击全选。

  19. 开启使用 Syslog 导出受影响设备的 Claroty xDome 漏洞信息选项，以导出 Claroty xDome 漏洞类型。

  20. 在选择漏洞类型菜单中，选择要导出的漏洞类型。

  21. 指定 CVSS 阈值编号。此参数可让您设置 CVSS 阈值，以便使用 Syslog 发送漏洞。（系统只会导出严重程度大于或等于此阈值的漏洞。默认情况下，阈值将恢复为 CVSS V3 基础得分，如果 CVSS V3 得分未知，则恢复为 CVSS V2 基础得分。

  22. 选择要导出的设备条件：选择所有设备可导出所有受影响设备的数据。

  23. 开启将 Claroty xDome 服务器事件信息导出到 Syslog 选项，以导出 Claroty xDome 服务器事件。

  24. 从收集服务器选择菜单中选择要导出的收集服务器类型。

  25. 在服务器事件选择菜单中，选择要导出的服务器事件。

  26. 点击应用以保存配置设置。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。