Recoger registros de SecureAuth Identity Platform

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos del Servicio de Google SecOps.

En este documento se explica cómo ingerir registros de SecureAuth Identity Platform en Google Security Operations mediante Bindplane. El analizador extrae campos de varios formatos de registro (SYSLOG, XML y pares de clave-valor) mediante filtros grok y XML. A continuación, asigna los campos extraídos a los atributos correspondientes del modelo de datos unificado (UDM), lo que enriquece los datos con el contexto del evento de seguridad y estandariza la salida para su posterior análisis.

Antes de empezar

• Asegúrate de que tienes una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
• Asegúrate de que tienes acceso con privilegios a SecureAuth.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre un terminal con privilegios de superusuario o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para ver otras opciones de instalación, consulta esta guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: SECUREAUTH_SSO
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Sustituye <customer_id> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Nota: Utiliza Seguridad en la capa de transporte (TLS) (comunicación segura) entre tus dispositivos y la plataforma Google SecOps para reenviar eventos. Si tus dispositivos admiten TLS, usa un número de puerto alto para facilitar la integración. Es posible que los dispositivos actualizados tengan TLS habilitado automáticamente. Póngase en contacto con el equipo de Asistencia de Google Security Operations para obtener ayuda con la configuración de TLS.

Configurar SecureAuth Identity Platform

1. Inicia sesión en la consola de SecureAuth Identity.
2. Selecciona Registros.
3. En la sección Opciones de registro, proporciona los siguientes detalles de configuración:
   • ID de instancia de registro: introduce el ID de instancia de registro, el nombre de la aplicación o el nombre del dominio. Por ejemplo, SecureAuth1.
   • Registros de auditoría: marca la casilla Syslog.
   • Registros de errores: marque la casilla Syslog.
   • Servidor Syslog: introduce la dirección IP de tu agente de Bindplane.
   • Puerto Syslog: introduce el número de puerto del agente de Bindplane. Por ejemplo, 514.
   • Especificación RFC de Syslog: selecciona RFC 5424.
4. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
action_msg	read_only_udm.target.process.command_line	Valor del campo action_msg
Dispositivo	read_only_udm.principal.domain.name	Valor del campo Appliance
Dispositivo	read_only_udm.target.administrative_domain	Valor del campo Appliance
BrowserSession	read_only_udm.network.session_id	Valor del campo BrowserSession
gato	read_only_udm.metadata.product_event_type	Valor del campo cat
Categoría	read_only_udm.metadata.product_event_type	Valor del campo Category
cn1	security_result.severity	Asignado en función del valor de cn1 cuando cn1Label es "Priority": 1 - ALTA, 2 - MEDIA, 3 o 4 - BAJA
Empresa	read_only_udm.additional.fields.value.string_value	Valor del campo Company
cs1	read_only_udm.network.session_id	Valor del campo cs1 cuando cs1Label es "BrowserSession"
cs3	read_only_udm.additional.fields.value.string_value	Valor del campo cs3 cuando cs3Label es "CompanyName"
dst	read_only_udm.target.ip	Valor del campo dst
dominio	read_only_udm.principal.domain.name	Valor del campo domain
dvc	read_only_udm.intermediary.ip	Valor del campo dvc
EventID	read_only_udm.metadata.product_log_id	Valor del campo EventID
HostName	read_only_udm.principal.hostname	Valor del campo HostName cuando grok no encuentra ninguna coincidencia con la dirección IP.
HostName	read_only_udm.principal.ip	Valor del campo HostName cuando grok coincide con una dirección IP
ip	read_only_udm.principal.ip	Valor del campo ip
Mensaje	read_only_udm.metadata.description	Valor del campo Message
Mensaje	security_result.description	Valor del campo Message
nat_ip	read_only_udm.principal.nat_ip	Valor del campo nat_ip
Prioridad	security_result.severity	Asignación basada en el valor de Priority: 1 - ALTO, 2 - MEDIO, 3 o 4 - BAJO
SAMLConsumerURL	read_only_udm.target.url	Valor del campo SAMLConsumerURL
sec_msg	security_result.description	Valor del campo sec_msg
SecureAuthIdPAppliance	read_only_udm.target.administrative_domain	Valor del campo SecureAuthIdPAppliance
SecureAuthIdPApplianceMachineName	read_only_udm.target.hostname	Valor del campo SecureAuthIdPApplianceMachineName
SecureAuthIdPDestinationSiteUrl	read_only_udm.target.url	Valor del campo SecureAuthIdPDestinationSiteUrl
SecureAuthIdPProductType	read_only_udm.additional.fields.value.string_value	Valor del campo SecureAuthIdPProductType
sesión	read_only_udm.network.session_id	Valor del campo session
spid	read_only_udm.target.process.pid	Valor del campo spid
src	read_only_udm.principal.ip	Valor del campo src
suser	read_only_udm.target.user.userid	Valor del campo suser
UserAgent	read_only_udm.network.http.user_agent	Valor del campo UserAgent
UserHostAddress	read_only_udm.principal.nat_ip	Valor del campo UserHostAddress
UserHostAddress	read_only_udm.target.ip	Valor del campo UserHostAddress
UserID	read_only_udm.principal.user.userid	Valor del campo UserID
Versión	read_only_udm.metadata.product_version	Valor del campo Version
	read_only_udm.additional.fields.key	Valor codificado: "CompanyName"
	read_only_udm.additional.fields.key	Valor codificado: "Company"
	read_only_udm.additional.fields.key	Valor codificado: "SecureAuthIdPProductType"
	read_only_udm.extensions.auth.type	Valor codificado: "SSO"
	read_only_udm.metadata.event_type	'USER_LOGIN' si SecureAuthIdPAuthGuiMode == 0 y auth_result == Success, 'USER_CHANGE_PERMISSIONS' si SecureAuthIdPAuthGuiMode == 0 y auth_result ==WS-Trust success., 'USER_LOGOUT' si SecureAuthIdPAuthGuiMode == 0 y auth_result == Session Aborted, 'NETWORK_CONNECTION' si UserHostAddress != and `HostName` !=, 'STATUS_UPDATE' si ip != or `HostName` !=, 'USER_UNCATEGORIZED' si UserHostAddress != and `HostName` == y UserID != ``, de lo contrario, 'GENERIC_EVENT'
	read_only_udm.metadata.log_type	Valor codificado: "SECUREAUTH_SSO"
	read_only_udm.metadata.product_name	Valor codificado: "SECUREAUTH_SSO"
	read_only_udm.metadata.vendor_name	Valor codificado: "SECUREAUTH_SSO"
	read_only_udm.target.user.email_addresses	Valor del campo user_email cuando not_email es false
	security_result.severity	'HIGH' si cn1Label == Priority y cn1 == 1, 'MEDIUM' si cn1Label == Priority y cn1 == 2, 'LOW' si cn1Label == Priority y cn1 in [3, 4], 'HIGH' si Priority == 1, 'MEDIUM' si Priority == 2, 'LOW' si Priority in [3, 4]

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.