Cette page a été traduite par l'API Cloud Translation.

Collecter les journaux Veritas NetBackup

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Veritas NetBackup dans Google Security Operations à l'aide de Bindplane. L'analyseur extrait les champs des messages syslog à l'aide de modèles Grok, puis les mappe au modèle de données unifié (UDM). Il gère différents formats de journaux, y compris les paires clé/valeur et JSON, et effectue des transformations de données pour une représentation cohérente dans l'UDM.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Instance Google SecOps
Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
Accès privilégié à l'appliance Veritas NetBackup

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Profil.
Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

Ouvrez un terminal avec les droits root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

Accédez au fichier de configuration :
- Trouvez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
- Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

Modifiez le fichier config.yaml comme suit :

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VERITAS_NETBACKUP'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
Remplacez <customer_id> par le numéro client réel.
Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart bindplane-agent
```
Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurer Syslog pour Veritas NetBackup

Connectez-vous à l'interface utilisateur Web NetBackup Appliance Shell.
ACCÉDEZ à Main> Settings> LogForwarding.
Sélectionnez Activer.
Fournissez les informations de configuration suivantes :
- Nom du serveur ou adresse IP : saisissez l'adresse IP de l'agent Bindplane.
- Port du serveur : saisissez le numéro de port de l'agent Bindplane (par exemple, 514).
- Protocole : sélectionnez UDP ou TCP, selon la configuration de votre agent Bindplane.
- Intervalle : conservez la valeur par défaut 15. Si vous définissez l'intervalle sur 0, l'appliance transfère en continu les journaux système au serveur cible.
- TLS : sélectionnez Non.
Saisissez Oui pour terminer et enregistrer.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
`data`	`additional.fields[0].value.string_value`	Date et heure extraites du message du journal brut à l'aide de grok et mises au format "MM/JJ/AA HH:MM:SS".
`data`	`metadata.description`	Partie de la description du message extraite à l'aide de grok. Exemple : "(OdbcStatement::ExecDirect:962)::Error".
`data`	`metadata.product_event_type`	Type d'événement produit extrait à l'aide de grok. Exemple : "Error::83".
`data`	`principal.asset.hostname`	Nom d'hôte extrait du message syslog à l'aide de grok.
`data`	`principal.file.full_path`	Chemin d'accès au fichier .pem extrait des données JSON du journal.
`data`	`principal.hostname`	Nom d'hôte extrait du message syslog à l'aide de grok.
`data`	`security_result.detection_fields[0].key`	La clé "SqlState" est ajoutée si le champ `SqlState` est présent dans le journal brut après l'analyse grok.
`data`	`security_result.detection_fields[0].value`	Valeur de SqlState extraite du message de journal brut à l'aide de grok et kv.
`data`	`security_result.detection_fields[1].key`	La clé "NativeError" est ajoutée si le champ `NativeError` est présent dans le journal brut après l'analyse grok.
`data`	`security_result.detection_fields[1].value`	Valeur de NativeError extraite du message de journal brut à l'aide de grok et kv.
`data`	`security_result.detection_fields[2].key`	La clé "sev" est ajoutée si le champ `sev` est présent dans le journal brut après l'analyse grok.
`data`	`security_result.detection_fields[2].value`	Valeur de `sev` extraite des données JSON du journal.
`data`	`security_result.severity`	Définissez sur "LOW" si le champ `sev` (extrait du fichier JSON) est "normal".
`data`	`security_result.summary`	Message ou résumé d'erreur extrait du message de journal brut à l'aide de grok. La clé "date_time" est codée en dur dans l'analyseur. La clé "thread" est ajoutée si le champ `thread` est présent dans le journal brut après l'analyse Grok.
`data`	`additional.fields[1].value.string_value`	Valeur de `thread` extraite des données JSON du journal. La clé "m" est ajoutée si le champ `m` est présent dans le journal brut après l'analyse grok.
`data`	`additional.fields[2].value.string_value`	Valeur de `m` extraite des données JSON du journal. La clé "fn" est ajoutée si le champ `fn` est présent dans le journal brut après l'analyse Grok.
`data`	`additional.fields[3].value.string_value`	Valeur de `fn` extraite des données JSON du journal.
`collection_time`	`metadata.event_timestamp`	Horodatage du champ `collection_time` dans le journal brut. Défini sur "STATUS_UPDATE" si un nom d'hôte principal est présent, sinon sur "GENERIC_EVENT". Codé en dur sur "Veritas Netbackup". Codé en dur sur "VERITAS NETBACKUP".
`collection_time`	`timestamp`	Horodatage du champ `collection_time` dans le journal brut.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.