Recolha registos de SAN da NetApp

Compatível com:

Este documento explica como carregar registos de SAN da NetApp para o Google Security Operations através de um agente do Bindplane. O analisador extrai campos dos registos da SAN da NetApp através de padrões Grok e, em seguida, mapeia esses campos extraídos para o UDM do Google SecOps, enriquecendo os dados com informações estáticas de fornecedores e produtos para uma análise de segurança padronizada. Se a entrada do registo não corresponder ao padrão esperado, é ignorada por não ter valor de segurança.

Antes de começar

  • Certifique-se de que tem uma instância do Google SecOps.
  • Certifique-se de que está a usar o Windows 2016 ou posterior, ou um anfitrião Linux com systemd.
  • Se estiver a executar o serviço através de um proxy, certifique-se de que as portas da firewall estão abertas.
  • Certifique-se de que tem acesso privilegiado à SAN NetApp.

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Agentes de recolha.
  3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Perfil.
  3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

  1. Abra a Linha de comandos ou o PowerShell como administrador.

  2. Execute o seguinte comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute o seguinte comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

  1. Aceda ao ficheiro de configuração:

    1. Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    2. Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

  2. Edite o ficheiro config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: NETAPP_SAN
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

  4. Substitua <customer_id> pelo ID de cliente real.

  5. Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configure o Syslon na SAN NetApp

  1. Inicie sessão na IU Web da SAN NetApp.
  2. Aceda a Configuração > Monitorização > Servidor de auditoria e syslog.
  3. Clique em Configurar servidor syslog externo ou Editar servidor syslog externo.
  4. Indique os seguintes detalhes de configuração:
    • Anfitrião: introduza o endereço IP do Bindplane.
    • Porta: introduza o número da porta do Bindplane; por exemplo, 514 para UDP.
    • Protocolo: selecione UDP.
  5. Clique em Continuar.
  6. Ative e selecione o seguinte conteúdo do Syslog:
    • Enviar registos de auditoria: ative e defina Severity:Informational(6) e facility:local7.
    • Enviar eventos de segurança: ative e defina Severity:Passthrough e facility:Passthrough.
    • Enviar registos da aplicação: mantenha esta opção desativada.
  7. Clique em Continuar.
  8. Envie uma mensagem de teste de registo.
  9. Clique em Guardar.

Tabela de mapeamento da UDM

Campo de registo Mapeamento de UDM Lógica
datetime metadata.event_timestamp.seconds Extraído da mensagem de registo através do padrão grok %{SYSLOGTIMESTAMP:datetime} e convertido em segundos de época.
desc metadata.description Extraído da mensagem de registo através do padrão grok %{GREEDYDATA:desc}.
ip principal.ip Extraído da mensagem de registo através do padrão grok %{IP:ip}.
log_level Usado para determinar o valor de security_result.severity.
porta principal.port Extraído da mensagem de registo através do padrão grok %{INT:port} e convertido num número inteiro.
pedido security_result.summary Extraído da mensagem de registo através do padrão grok %{DATA:request}.
userid principal.user.userid Extraído da mensagem de registo através do padrão grok %{WORD:userid}.
N/A metadata.event_type Definido como STATUS_UPDATE pelo analisador.
N/A metadata.log_type Preenchido a partir dos metadados do registo recebidos.
N/A metadata.product_name Definido como Storage Area Network pelo analisador.
N/A metadata.vendor_name Definido como NetApp pelo analisador.
N/A security_result.severity Definido como ERROR se log_level for Error.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.