Raccogli i log di Delinea Secret Server

Supportato in:

Questo documento spiega come raccogliere i log di Secret Server di Delinea (in precedenza Thycotic). L'analizzatore sintattico trasforma i log non elaborati in un formato strutturato conforme all'UDM di Google Security Operations. Innanzitutto estrae i campi chiave come timestamp, tipi di eventi e informazioni utente, quindi utilizza la logica condizionale in base al tipo di evento specifico per mappare i dati nei campi UDM appropriati, arricchendoli infine per l'analisi in Google SecOps.

Prima di iniziare

  • Assicurati di avere un'istanza Google Security Operations.
  • Assicurati di utilizzare Windows 2016 o versioni successive o un host Linux con systemd.
  • Se il servizio è in esecuzione dietro un proxy, assicurati che le porte del firewall siano aperte.
  • Assicurati di disporre dell'accesso privilegiato a Delinea.

Recupera il file di autenticazione di importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane Agent.

Ottenere l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse di installazione aggiuntive

Configurare l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace with your specific IP and port
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Path to the ingestion authentication file
    creds: '/path/to/your/ingestion-auth.json'
    # Your Chronicle customer ID
    customer_id: 'your_customer_id'
    endpoint: malachiteingestion-pa.googleapis.com
    ingestion_labels:
      log_type: SYSLOG
      namespace: thycotic
      raw_log_field: body

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

  3. Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.

  4. Sostituisci <customer_id> con l'ID cliente effettivo.

  5. Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file di autenticazione nella sezione Ottenere il file di autenticazione per l'importazione di Google SecOps.

Riavvia Bindplane Agent per applicare le modifiche

  • Per riavviare Bindplane Agent in Linux, esegui il seguente comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare Delinea Secret Server per inviare i log utilizzando Syslog

  1. Accedi a Delinea Secret Server con le credenziali di amministratore.
  2. Vai ad Amministrazione > Configurazione.
  3. Fai clic su Modifica.
  4. Seleziona la casella di controllo Attiva il logging Syslog/CEF e specifica i seguenti dettagli:
    • Server Syslog/CEF: inserisci l'indirizzo IP di Bindplane.
    • Protocollo Syslog/CEF: seleziona UDP o TCP (a seconda della configurazione di Bindplane).
    • Porta Syslog/CEF: inserisci il numero di porta su cui Bindplane è configurato per l'ascolto.
  5. Fai clic su Salva.

Mappatura UDM

Campo log Mappatura UDM Logica
Account_Domain event1.idm.read_only_udm.principal.domain Il valore viene preso dal campo "Account_Domain" nel campo "msg" del log non elaborato.
Per utente event1.idm.read_only_udm.principal.user.userid Il valore viene preso dal campo "Da utente" nel campo "msg" del log non elaborato.
ID contenitore event1.idm.read_only_udm.principal.asset.asset_id Il valore viene preso dal campo "ID contenitore" nel campo "msg" del log non elaborato e ha il prefisso "container_id:".
Nome container event1.idm.read_only_udm.principal.resource.name Il valore viene preso dal campo "Nome contenitore" nel campo "msg" del log non elaborato.
cs2 event1.idm.read_only_udm.additional.fields[].value.string_value Il valore viene preso dal campo "cs2" nel campo "msg" del log non elaborato.
cs3 event1.idm.read_only_udm.target.file.full_path Il valore viene preso dal campo "cs3" nel campo "msg" del log non elaborato.
cs4 event1.idm.read_only_udm.principal.user.user_display_name Il valore viene preso dal campo "cs4" nel campo "msg" del log non elaborato.
Dettagli event1.idm.read_only_udm.additional.fields[].value.string_value Il valore viene preso dal campo "Dettagli" nel campo "msg" del log non elaborato.
fname event1.idm.read_only_udm.target.file.full_path Il valore viene preso dal campo "fname" nel campo "msg" del log non elaborato.
Host event1.idm.read_only_udm.principal.hostname, event1.idm.read_only_udm.principal.asset.hostname Il valore viene preso dal campo "Host" nel campo "msg" del log non elaborato.
Nome elemento event1.idm.read_only_udm.target.user.userid Il valore viene preso dal campo "Nome articolo" nel campo "msg" del log non elaborato.
event1.idm.read_only_udm.additional.fields[].key Il valore è hardcoded su "nome".
event1.idm.read_only_udm.additional.fields[].key Il valore è hardcoded su "Gruppo o utente".
event1.idm.read_only_udm.additional.fields[].key Il valore è hardcoded su "Dettagli".
event1.idm.read_only_udm.additional.fields[].key Il valore è hardcoded in "type_id".
event1.idm.read_only_udm.extensions.auth.type Il valore è hardcoded su "MACCHINA".
event1.idm.read_only_udm.metadata.description Il valore viene preso dal campo "thycotic_event", che viene estratto dal log non elaborato utilizzando un pattern Grok.
event1.idm.read_only_udm.metadata.event_timestamp.seconds Il valore viene ricavato dal campo "rt", se presente, altrimenti dal campo "ts". Entrambi i campi vengono estratti dal log non elaborato utilizzando i pattern Grok.
event1.idm.read_only_udm.metadata.event_type Il valore viene determinato in base al campo "thycotic_event" e ad altre condizioni. Ad esempio, se "thycotic_event" è "USER - LOGIN", il tipo di evento è impostato su "USER_LOGIN".
event1.idm.read_only_udm.metadata.log_type Il valore è hardcoded su "THYCOTIC".
event1.idm.read_only_udm.metadata.product_event_type Il valore viene preso dal campo "thycotic_event", che viene estratto dal log non elaborato utilizzando un pattern Grok.
event1.idm.read_only_udm.metadata.product_log_id Il valore viene preso dal campo "action_id", che viene estratto dal log non elaborato utilizzando un pattern Grok.
event1.idm.read_only_udm.metadata.product_name Il valore viene preso dal campo "device_product", che viene estratto dal log non elaborato utilizzando un pattern Grok. Se il campo è vuoto, il valore è hardcoded su "Secret Server".
event1.idm.read_only_udm.metadata.product_version Il valore viene preso dal campo "device_version", che viene estratto dal log non elaborato utilizzando un pattern Grok.
event1.idm.read_only_udm.metadata.vendor_name Il valore è hardcoded su "Thycotic".
event1.idm.read_only_udm.network.ip_protocol Il valore viene impostato su "TCP" se il campo "input.type" è "tcp".
event1.idm.read_only_udm.observer.application Il valore viene preso dal campo "agent.type", se presente, altrimenti è hardcoded su "Secret Server".
event1.idm.read_only_udm.observer.asset_id Il valore è impostato su "Agent ID:" concatenato con il campo "agent.id".
event1.idm.read_only_udm.observer.hostname Il valore viene preso dal campo "agent.hostname", se presente, altrimenti dal campo "server".
event1.idm.read_only_udm.observer.platform_version Il valore viene preso dal campo "agent.version".
event1.idm.read_only_udm.observer.user.userid Il valore viene preso dal campo "agent.name".
event1.idm.read_only_udm.principal.asset.asset_id Il valore è impostato su "ID:" concatenato con il campo "host.id".
event1.idm.read_only_udm.principal.asset.hardware.cpu_platform Il valore viene preso dal campo "host.architecture".
event1.idm.read_only_udm.principal.asset.hostname Il valore viene preso dal campo "server", se presente, altrimenti dal campo "host.hostname".
event1.idm.read_only_udm.principal.asset.ip Il valore viene preso dal campo "src", se presente, altrimenti dal campo "src_ip".
event1.idm.read_only_udm.principal.hostname Il valore viene preso dal campo "host.hostname", se presente, altrimenti dal campo "server".
event1.idm.read_only_udm.principal.ip Il valore viene preso dal campo "src", se presente, altrimenti dal campo "src_ip" o dal campo "host.ip".
event1.idm.read_only_udm.principal.mac Il valore viene preso dal campo "host.mac".
event1.idm.read_only_udm.principal.platform Il valore viene impostato su "LINUX" se il campo "host_os_platform" è "centos", altrimenti viene impostato sul valore in maiuscolo del campo "host_os_platform".
event1.idm.read_only_udm.principal.platform_patch_level Il valore viene preso dal campo "host.os.kernel".
event1.idm.read_only_udm.principal.platform_version Il valore viene preso dal campo "host.os.version".
event1.idm.read_only_udm.principal.port Il valore viene preso dal campo "src_port", che viene estratto dal campo "log.source.address" utilizzando un pattern Grok.
event1.idm.read_only_udm.principal.user.user_display_name Il valore viene preso dal campo "cs4" nel campo "msg" del log non elaborato.
event1.idm.read_only_udm.principal.user.userid Il valore viene preso dal campo "suser" nel campo "msg" del log non elaborato o dal campo "Per utente" se "thycotic_event" è "USER - LOGIN", "USER - LOGOUT", "USER - LOGINFAILURE" o "USER - EDIT".
event1.idm.read_only_udm.security_result.action Il valore viene preso dal campo "Azione" nel campo "msg" del log non elaborato. Può anche essere impostato su "ALLOW" o "BLOCK" in base al valore di "thycotic_event".
event1.idm.read_only_udm.security_result.description Il valore viene preso dal campo "temp_message", che contiene la parte rimanente del campo "msg" dopo l'estrazione di altri campi.
event1.idm.read_only_udm.security_result.severity Il valore viene determinato in base al campo "syslog_severity". Ad esempio, se "syslog_severity" contiene "error" o "warning", la gravità viene impostata su "HIGH". Se "thycotic_event" è "Log di sistema", la gravità è impostata su "INFORMATIVA".
event1.idm.read_only_udm.security_result.severity_details Il valore viene preso dal campo "syslog_severity".
event1.idm.read_only_udm.target.file.full_path Il valore viene creato concatenando i campi "cs3" e "fname" con un separatore "/", se entrambi i campi sono presenti. Se è presente un solo campo, il valore viene preso da quel campo.
event1.idm.read_only_udm.target.resource.product_object_id Il valore viene preso dal campo "type_id".
event1.idm.read_only_udm.target.user.userid Il valore viene preso dal campo "item_name" nel campo "msg" del log non elaborato o dal campo "Nome elemento" se "thycotic_event" è "USER - LOGIN", "USER - LOGOUT", "USER - LOGINFAILURE" o "USER - EDIT".
events.timestamp.seconds Il valore viene ricavato dal campo "rt", se presente, altrimenti dal campo "ts". Entrambi i campi vengono estratti dal log non elaborato utilizzando i pattern Grok.
rt event1.idm.read_only_udm.metadata.event_timestamp.seconds Il valore viene preso dal campo "rt" nel campo "msg" del log non elaborato e viene utilizzato per impostare il timestamp dell'evento.
src event1.idm.read_only_udm.principal.asset.ip, event1.idm.read_only_udm.principal.ip Il valore viene preso dal campo "src" nel campo "msg" del log non elaborato.
src_ip event1.idm.read_only_udm.principal.asset.ip, event1.idm.read_only_udm.principal.ip Il valore viene preso dal campo "src_ip", che viene estratto dal campo "log.source.address" utilizzando un pattern Grok.

Modifiche

2024-06-04

  • Analisi migliorata per i log non analizzati.
  • I campi "Host" e "Server" sono stati mappati ai campi UDM relativi al nome host.
  • "Container_Id" e "Container_name" sono stati mappati ai campi UDM relativi ai nomi di asset e risorse.

2023-09-22

  • È stata modificata la logica di analisi per gestire meglio i log non analizzati.
  • È stata aggiunta la gestione degli errori per i campi "rt" e "ts".

2023-06-12

  • Logica di analisi aggiornata per supportare un nuovo formato di log.
  • I campi "fname", "cs2" e "details" sono stati mappati ai campi UDM per ulteriori informazioni e un riepilogo dei risultati di sicurezza.

2022-08-01

  • È stato aggiunto il supporto per l'analisi dei log in formato JSON.
  • Sono stati mappati numerosi campi dai log JSON ai campi UDM corrispondenti, inclusi i campi relativi alle informazioni su dispositivi e agenti, indirizzi IP, dettagli host, informazioni sulla piattaforma e gravità della sicurezza.
  • È stata aggiunta l'analisi per i log di tipo "SECRET - SECRETPASSWORDCHANGEFAILURE".

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.