Coletar registros do PAM do CyberArk

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de ofertas pré-disponibilidade geral dos Termos específicos do serviço de operações de segurança do Google. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google Security Operations e os Termos específicos do serviço do Google Security Operations.

Esse código de analisador primeiro extrai campos das mensagens do syslog do CyberArk Privileged Access Manager (PAM) usando expressões regulares. Em seguida, ele mapeia os campos extraídos para um modelo de dados unificado (UDM, na sigla em inglês), enriquecendo os dados com mais contexto e padronizando o tipo de evento com base em critérios específicos.

Antes de começar

• Verifique se você tem uma instância do Google Security Operations.
• Verifique se você está usando o Windows 2016 ou uma versão mais recente ou um host Linux com systemd.
• Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de transferência.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

1. Para a instalação do Windows, execute o seguinte script:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para a instalação do Linux, execute o seguinte script:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Outras opções de instalação podem ser encontradas neste guia de instalação.

Configurar o agente do Bindplane para processar o Syslog e enviar ao Google SecOps

1. Acesse a máquina em que o Bindplane Agent está instalado.

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Cyberark_PAM
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicie o agente do Bindplane para aplicar as mudanças:

   sudo systemctl restart bindplane
   

Configurar a exportação de syslog para o CyberArk Vault

1. Faça login no servidor do Vault.
2. Abra o arquivo de configuração dbparm.ini, localizado em: C:\Program Files (x86)\CyberArk\Vault\Server\dbparm.ini.

3. Adicione ou modifique os seguintes parâmetros:

   SyslogServer=<syslog_server_ip>
   SyslogPort=<syslog_server_port>
   SyslogProtocol=<TCP or UDP>
   SyslogFormat=Syslog
   

4. Salve o arquivo dbparm.ini.

5. Reinicie o servidor do Vault:

   net stop CyberArkVault
   net start CyberArkVault
   

Configurar a exportação de Syslog no PVWA

1. Faça login no servidor PVWA.
2. Abra o arquivo Web.config, localizado em: C:\inetpub\wwwroot\PasswordVault\

3. Adicione ou modifique as seguintes chaves:

   <add key="SyslogServer" value="<syslog_server_ip>" />
   <add key="SyslogPort" value="<syslog_server_port>" />
   <add key="SyslogProtocol" value="<TCP or UDP>" />
   <add key="SyslogFormat" value="Syslog" />
   

4. Salve as alterações no arquivo Web.config.

5. Reinicie o serviço do IIS:

   iisreset
   

Configurar a exportação de Syslog no PTA

1. Acesse o servidor PTA usando SSH.
2. Abra o arquivo application.properties, localizado em: /opt/cta/config/application.properties

3. Adicione ou modifique as seguintes linhas:

   syslog.server.ip=<syslog_server_ip>
   syslog.server.port=<syslog_server_port>
   syslog.protocol=<TCP or UDP>
   

4. Salve o arquivo application.properties.

5. Reinicie o serviço PTA para aplicar as mudanças:

   sudo service pta restart
   

Tabela de mapeamento do UDM

Campo de registro	Mapeamento do UDM	Lógica
ato	metadata.description	Mapeado diretamente do campo act.
cn1	additional.fields.value.string_value	Mapeado diretamente do campo cn1 quando cn1Label não está vazio.
cn1Label	additional.fields.key	Mapeado diretamente do campo cn1Label quando cn1 não está vazio.
cn2	additional.fields.value.string_value	Mapeado diretamente do campo cn2 quando cn2Label não está vazio.
cn2Label	additional.fields.key	Mapeado diretamente do campo cn2Label quando cn2 não está vazio.
cs1	additional.fields.value.string_value	Mapeado diretamente do campo cs1 quando cs1Label não está vazio.
cs1Label	additional.fields.key	Mapeado diretamente do campo cs1Label quando cs1 não está vazio.
cs2	additional.fields.value.string_value	Mapeado diretamente do campo cs2 quando cs2Label não está vazio.
cs2Label	additional.fields.key	Mapeado diretamente do campo cs2Label quando cs2 não está vazio.
cs3	additional.fields.value.string_value	Mapeado diretamente do campo cs3 quando cs3Label não está vazio.
cs3Label	additional.fields.key	Mapeado diretamente do campo cs3Label quando cs3 não está vazio.
cs4	additional.fields.value.string_value	Mapeado diretamente do campo cs4 quando cs4Label não está vazio.
cs4Label	additional.fields.key	Mapeado diretamente do campo cs4Label quando cs4 não está vazio.
cs5	additional.fields.value.string_value	Mapeado diretamente do campo cs5 quando cs5Label não está vazio.
cs5Label	additional.fields.key	Mapeado diretamente do campo cs5Label quando cs5 não está vazio.
dhost	target.hostname	Mapeado do campo dhost se não for um endereço IP. Se dhost estiver vazio, ele será mapeado de shost (IP ou nome do host).
dhost	target.asset.hostname	Mapeado do campo dhost se não for um endereço IP. Se dhost estiver vazio, ele será mapeado de shost (IP ou nome do host).
dhost	target.ip	Mapeado do campo dhost se for um endereço IP.
dhost	target.asset.ip	Mapeado do campo dhost se for um endereço IP.
duser	target.user.userid	Mapeado diretamente do campo duser.
dvc	intermediary.ip	Mapeado do campo dvc se for um endereço IP.
externalId	metadata.product_log_id	Mapeado diretamente do campo externalId.
fname	target.file.full_path	Mapeado diretamente do campo fname.
nome	metadata.event_type	Usado para determinar o event_type com base na combinação dos campos name, shost e dhost. Valores possíveis: USER_CHANGE_PASSWORD, FILE_READ, USER_LOGIN, FILE_OPEN, FILE_DELETION. Se nenhuma correspondência for encontrada e has_principal for verdadeiro e has_target for falso, event_type será definido como STATUS_UPDATE. Caso contrário, o padrão será GENERIC_EVENT.
prin_hostname	principal.hostname	Mapeado diretamente do campo prin_hostname. Se estiver vazio, será mapeado de shost se shost não for um endereço IP.
prin_hostname	principal.asset.hostname	Mapeado diretamente do campo prin_hostname. Se estiver vazio, será mapeado de shost se shost não for um endereço IP.
prin_ip	principal.ip	Mapeado diretamente do campo prin_ip. Se estiver vazio, ele será mapeado de shost se shost for um endereço IP.
prin_ip	principal.asset.ip	Mapeado diretamente do campo prin_ip. Se estiver vazio, ele será mapeado de shost se shost for um endereço IP.
produto	metadata.product_name	Mapeado diretamente do campo product. O padrão é "PAM" se não estiver presente no registro.
reason	security_result.description	Mapeado diretamente do campo reason.
gravidade,	security_result.severity	Mapeado do campo severity com base na seguinte lógica: 1-3: INFORMATIVO, 4: ERRO, 5: CRÍTICO.
shost	principal.hostname	Mapeado para prin_hostname se prin_hostname estiver vazio e shost não for um endereço IP.
shost	principal.asset.hostname	Mapeado para prin_hostname se prin_hostname estiver vazio e shost não for um endereço IP.
shost	principal.ip	Mapeado para prin_ip se prin_ip estiver vazio e shost for um endereço IP.
shost	principal.asset.ip	Mapeado para prin_ip se prin_ip estiver vazio e shost for um endereço IP.
shost	target.hostname	Mapeado para target.hostname se dhost estiver vazio e shost não for um endereço IP.
shost	target.asset.hostname	Mapeado para target.hostname se dhost estiver vazio e shost não for um endereço IP.
shost	target.ip	Mapeado para target.ip se dhost estiver vazio e shost for um endereço IP.
shost	target.asset.ip	Mapeado para target.ip se dhost estiver vazio e shost for um endereço IP.
status	additional.fields.value.string_value	Mapeado diretamente do campo status.
suser	principal.user.userid	Mapeado do campo suser. Se duser estiver vazio, ele será considerado o ID do usuário de destino.
tempo	metadata.event_timestamp.seconds	Mapeado diretamente do campo time após a conversão para o formato de carimbo de data/hora.
tempo	metadata.event_timestamp.nanos	Mapeado diretamente do campo time após a conversão para o formato de carimbo de data/hora.
fornecedor	metadata.vendor_name	Mapeado diretamente do campo vendor. O padrão é "CYBERARK" se não estiver presente no registro.
version	metadata.product_version	Mapeado diretamente do campo version.
	metadata.log_type	Fixado em "CYBERARK_PAM".
	extensions.auth.mechanism	Defina como "USERNAME_PASSWORD" se event_type for "USER_LOGIN".

Alterações

2024-05-05

• Parser recém-criado.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.