Recopilar registros de Veritas NetBackup

Disponible en:

En este documento se explica cómo ingerir registros de Veritas NetBackup en Google Security Operations mediante Bindplane. El analizador extrae campos de los mensajes syslog mediante patrones grok y, a continuación, los asigna al modelo de datos unificado (UDM). Gestiona varios formatos de registro, incluidos los pares clave-valor y JSON, y realiza transformaciones de datos para que se representen de forma coherente en el UDM.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
  • Acceso privilegiado al dispositivo Veritas NetBackup

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VERITAS_NETBACKUP'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar Syslog para Veritas NetBackup

  1. Inicia sesión en la interfaz web del shell del dispositivo NetBackup.
  2. Ve a Principal > Ajustes > Reenvío de registros.
  3. Selecciona Habilitar.
  4. Proporcione los siguientes detalles de configuración:
    • Nombre de servidor o dirección IP: introduce la dirección IP del agente de Bindplane.
    • Puerto del servidor: introduce el número de puerto del agente de Bindplane (por ejemplo, 514).
    • Protocolo: selecciona UDP o TCP, según la configuración de tu agente Bindplane.
    • Intervalo: mantén el valor predeterminado 15. Si define el intervalo en 0, el dispositivo reenviará continuamente los registros del sistema al servidor de destino.
    • TLS: selecciona No.
  5. Introduce Yes (Sí) para completar la acción y guardar los cambios.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
data additional.fields[0].value.string_value La fecha y la hora del mensaje de registro sin procesar, extraídas con grok y con el formato "MM/DD/YY HH:MM:SS".
data metadata.description La parte de la descripción del mensaje extraída mediante grok. Ejemplo: "(OdbcStatement::ExecDirect:962)::Error".
data metadata.product_event_type El tipo de evento de producto extraído mediante grok. Ejemplo: "Error::83".
data principal.asset.hostname Nombre de host extraído del mensaje syslog mediante grok.
data principal.file.full_path Ruta del archivo PEM extraída de los datos JSON del registro.
data principal.hostname Nombre de host extraído del mensaje syslog mediante grok.
data security_result.detection_fields[0].key La clave "SqlState" se añade si el campo SqlState está presente en el registro sin procesar después del análisis grok.
data security_result.detection_fields[0].value Valor de SqlState extraído del mensaje de registro sin procesar mediante grok y kv.
data security_result.detection_fields[1].key La clave "NativeError" se añade si el campo NativeError está presente en el registro sin procesar después del análisis de Grok.
data security_result.detection_fields[1].value Valor de NativeError extraído del mensaje de registro sin procesar mediante grok y kv.
data security_result.detection_fields[2].key La clave "sev" se añade si el campo sev está presente en el registro sin procesar después del análisis de grok.
data security_result.detection_fields[2].value El valor de sev extraído de los datos JSON del registro.
data security_result.severity Se define como "LOW" si el campo sev (extraído de JSON) es "normal".
data security_result.summary El mensaje de error o el resumen extraído del mensaje de registro sin procesar mediante grok. La clave "date_time" está codificada en el analizador. La clave "thread" se añade si el campo thread está presente en el registro sin procesar después del análisis grok.
data additional.fields[1].value.string_value El valor de thread extraído de los datos JSON del registro. La clave "m" se añade si el campo m está presente en el registro sin procesar después del análisis de grok.
data additional.fields[2].value.string_value El valor de m extraído de los datos JSON del registro. La clave "fn" se añade si el campo fn está presente en el registro sin procesar después del análisis de grok.
data additional.fields[3].value.string_value El valor de fn extraído de los datos JSON del registro.
collection_time metadata.event_timestamp Marca de tiempo del campo collection_time del registro sin procesar. Se asigna el valor "STATUS_UPDATE" si hay un nombre de host principal; de lo contrario, se asigna el valor "GENERIC_EVENT". Codificado como "Veritas Netbackup". Codificado como "VERITAS NETBACKUP".
collection_time timestamp Marca de tiempo del campo collection_time del registro sin procesar.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.