Installare Carbon Black Event Forwarder

Supportato in:

Introduzione

In questo documento, analizzeremo il processo di configurazione dello strumento di inoltro degli eventi Carbon Black (CB) in modo che invii la telemetria degli endpoint a Google Security Operations.

Guida rapida

A grandi linee, seguiremo la guida introduttiva di CB Event Forwarder (vedi qui) con alcuni elementi come segue:

  1. Installa il servizio di inoltro eventi di Chromebook direttamente sul server di risposta di Chromebook o su un'altra VM.
  2. Assicurati che gli eventi desiderati da inviare a Google Security Operations siano configurati sul server di risposta di CB.
  3. Configura alcuni campi nella configurazione di CB Event Forwarder per attivare l'invio di eventi a Google Security Operations

Configura risposta di Chromebook

Configura la risposta di Chromebook per esportare gli eventi desiderati. Per ulteriori informazioni, consulta la sezione Configura la risposta CB della documentazione ufficiale di CB Event Forwarder.

Ad esempio, se vuoi attivare l'esportazione degli eventi di connessione di rete tramite un inoltro di eventi CB che viene eseguito anche sul server CB Response, procedi nel seguente modo:

# If this property is not empty, it will enable publishing of incoming events from
# sensors onto RabbitMQ PUBSUB enterprise bus (see RabbitMQ (cb-rabbitmq service)
# settings in this file). The value of this property consists of one or more of the
# following comma-separated event types that should be published:
#   * procstart (or process)
#   * procend
#   * childproc
#   * moduleload
#   * module
#   * filemod
#   * regmod
#   * netconn
# If you wish to subscribe for ALL of the above events, '*' value can be specified.
# Each event type will be published to its own topic: ingress.event.<event type>
DatastoreBroadcastEventTypes=netconn

Configura il forwarding degli eventi di Chromebook

Configura CB Event Forwarder per esportare i dati utilizzando HTTP(S) nell'API Google Security Operations Ingestion. Per ulteriori informazioni, consulta l'articolo sulla configurazione di cb-event-forwarder nella documentazione ufficiale di CB Event Forwarder.

Per configurare il riassegnatore di eventi CB sono necessari diversi flag. Ti forniremo una configurazione con questi flag.

  1. Esegui il backup della configurazione ufficiale di CB Event Forwarder:
// Go to the configuration folder.
$ cd /etc/cb/integrations/event-forwarder
$ cp cb-event-forwarder.conf cb-event-forwarder.conf.official
  1. Aggiorna i seguenti campi in cb-event-forwarder.conf:
// Update output_type from file to http.
output_type=http

// Configure the Ingestion API endpoint.
httpout=https://malachiteingestion-pa.googleapis.com/v1/unstructuredlogentries?key=<api-key>

// Only export the following Raw Sensor (endpoint) Events.
events_raw_sensor=ingress.event.childproc,ingress.event.emetmitigation,ingress.event.netconn,ingress.event.process,ingress.event.processblock,ingress.event.remotethread,ingress.event.tamper,ingress.event.filemod,ingress.event.regmod

// Update the following fields in the [http] section. Note that some fields with exactly the same field name appear in many sections. Make sure that you are updating the fields in the [http] section.

// Do not send an empty update.
upload_empty_files=false

// Update the bundle size to 1MB.
bundle_size_max=1048576

// Update HTTP post template.

 
http_post_template={"log_type": "CB_EDR", "entries":[{{range $index, $element := .Events}}{{if $index}},{{end}}{{printf "{\"log_text\":%q}" .EventText}}{{end}}]}

Ricorda di sostituire con la chiave API di importazione di Backstory che ti è stata fornita.

Avvio e arresto di CB Event Forwarder

Consulta la sezione Avvio e interruzione del servizio nella documentazione ufficiale di CB Event Forwarder.

Procedure

Come eseguire il debug se l'avvio di CB Event Forwarder non va a buon fine

Gli errori di avvio verranno registrati in /var/log/cb/integrations/cb-event-forwarder/cb-event-forwarder.startup.log.

Come scoprire che il servizio di inoltro di eventi della piattaforma CB invia dati a Google Security Operations

Se CB Event Forwarder invia dati a Google Security Operations, dovresti vedere quanto segue nel log. Il log si trova in /var/log/cb/integrations/cb-event-forwarder/cb-event-forwarder.log

time="2018-11-15T16:08:41-08:00" level=info msg="Enforcing minimum TLS version 1.2"
time="2018-11-15T16:08:41-08:00" level=info msg="Raw Event Filtering Configuration:"
time="2018-11-15T16:08:41-08:00" level=info msg="ingress.event.netconn: true"
time="2018-11-15T16:08:41-08:00" level=info msg="cb-event-forwarder version NOT FOR RELEASE starting"
time="2018-11-15T16:08:41-08:00" level=info msg="Interface address XXX.XXX.XXX.XXX"
time="2018-11-15T16:08:41-08:00" level=info msg="Interface address XXXX::XXX:XXXX:XXXX:XXX"
time="2018-11-15T16:08:41-08:00" level=info msg="Configured to capture events: [watchlist.# feed.# alert.# ingress.event.netconn binaryinfo.# binarystore.#]"
time="2018-11-15T16:08:41-08:00" level=info msg="Rolling file /var/cb/data/event-forwarder/event-forwarder to /var/cb/data/event-forwarder/event-forwarder.2018-11-15T16:08:41.481.restart"
time="2018-11-15T16:08:41-08:00" level=info msg="Initialized output: HTTP POST https://malachiteingestion-pa.googleapis.com/v1/unstructuredlogentries\n"
...
time="2018-11-15T16:08:43-08:00" level=info msg="Successfully uploaded file /var/cb/data/event-forwarder/event-forwarder.2018-11-09T14:25:21.446 to HTTP POST https://malachiteingestion-pa.googleapis.com/v1/unstructuredlogentries."

Dati di contatto

Domande tecniche, inclusa l'assistenza su queste istruzioni nel presente documento: forwarder@chronicle.security

Domande generali: product@chronicle.security

Domande di vendita: sales@chronicle.security