Recolha registos de modems Digi

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes do serviço de apoio técnico do Google SecOps e os Termos Específicos do Serviço Google SecOps.

Este documento explica como carregar registos de modems Digi para o Google Security Operations através do Bindplane. O código do analisador extrai primeiro campos como a data/hora, o nome do anfitrião, o tipo de produto e o conteúdo do registo de mensagens syslog DIGI_MODEMS através de padrões grok. Em seguida, analisa mais detalhadamente o conteúdo para identificar tentativas de início de sessão (bem-sucedidas ou falhadas), extraindo detalhes como o utilizador, o endereço IP, a porta e os protocolos, mapeando, em última análise, estes campos extraídos num esquema de modelo de dados unificado (UDM) para análise de segurança.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps
• Windows 2016 ou posterior, ou um anfitrião Linux com systemd
• Se estiver a ser executado através de um proxy, as portas da firewall estão abertas
• Acesso privilegiado ao Digi Remote Manager ou à IU Web do modem Digi local

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação do Windows

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'DIGI_MODEMS'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <customer_id> pelo ID de cliente real.
   • Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

1. Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

   sudo systemctl restart bindplane-agent
   

2. Para reiniciar o agente Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

   net stop BindPlaneAgent && net start BindPlaneAgent
   

Configure o servidor Syslog no modem Digi

1. Inicie sessão no Digi Remote Manager ou na IU Web do Digi Modem local.
2. Aceda à configuração do dispositivo com o Remote Manager:
   • Localize o dispositivo para o qual quer configurar o Syslog.
   • Clique em ID do dispositivo > Definições > Configuração.
3. Aceda à configuração do dispositivo com a interface Web do modem Digi local:
   • Clique em Sistema > Configuração > Configuração do dispositivo.
4. Aceda a Sistema > Registo.
5. Clique para expandir a Lista de servidores.
6. Clique em Adicionar servidor +.
7. Indique os seguintes detalhes de configuração:
   • Servidor: introduza o endereço IP do agente do Bindplane.
   • Selecione as categorias de eventos que vão ser enviadas para o servidor (todas as categorias de eventos estão ativadas por predefinição).
   • Porta de saída do Syslog: introduza o número da porta do agente do Bindplane (o valor predefinido é 514).
   • Protocolo: selecione UDP.
8. Clique em Aplicar.

Tabela de mapeamento do UDM

Campo de registo	Mapeamento de UDM	Lógica
conteúdo	security_result.description	Mapeado diretamente a partir do campo content após a análise inicial do grok.
http_method	network.http.method	Extraído do campo content através de um padrão grok.
http_version	network.application_protocol_version	Extraído do campo content através de um padrão grok.
hostname	principal.hostname	Extraído da mensagem de registo através de um padrão grok.
ip	target.ip	Extraído do campo content através de um padrão grok.
porta	target.port	Extraído do campo content através de um padrão grok e convertido num número inteiro.
proto	network.application_protocol	Extraído do campo content através de um padrão grok.
ts	metadata.event_timestamp	Extraído da mensagem de registo através de um padrão grok e convertido num registo de data/hora.
escrever	login_type_label.value	Extraído do campo content através de um padrão grok.
	extensions.auth.type	Definido como MACHINE pela lógica do analisador.
	login_type_label.key	Definido como Login type pela lógica do analisador.
	metadata.event_type	Determinado pela presença de campos específicos, como ip ou user, e definido em conformidade para NETWORK_CONNECTION ou USER_LOGIN.
	metadata.log_type	Definido como DIGI_MODEMS pela lógica do analisador.
	metadata.product_event_type	Extraído do campo product_type na mensagem de registo.
	metadata.product_name	Definido como DIGI_MODEMS pela lógica do analisador.
	metadata.vendor_name	Definido como DIGI_MODEMS pela lógica do analisador.
	security_result.action	Determinado pela presença de Login OK ou Login failure na mensagem e definido como ALLOW ou BLOCK, respetivamente.
utilizador	target.user.userid	Extraído do campo content através de um padrão grok.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.