Raccogliere i log di Akeyless Vault

Questo documento spiega come importare i log di Akeyless Vault in Google Security Operations utilizzando l'importazione diretta o Bindplane. Il parser normalizza innanzitutto i messaggi di log, che possono essere in formato chiave-valore o JSON, in una struttura coerente. Poi estrae i campi pertinenti e li mappa allo schema Unified Data Model (UDM), classificando il tipo di evento in base alla presenza di indirizzi IP e alle azioni eseguite.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Accesso privilegiato ad Akeyless Vault

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Configura l'inoltro dei log per l'importazione diretta in Google SecOps in Akeyless Vault

1. Accedi all'interfaccia utente web di Akeyless Gateway.
2. Vai a Inoltro log.
3. Seleziona Attiva.
4. Fornisci i seguenti dettagli di configurazione:
   • Formato log: seleziona JSON.
   • Audit Log Server: inserisci https://audit.akeyless.io/.
   • Servizio: seleziona Google Chronicle.
   • Chiave dell'account di servizio: fornisci il file JSON contenente le credenziali dell'account di servizio.
   • ID cliente: inserisci il tuo identificatore univoco Google SecOps.
   • Regione: inserisci la regione in cui viene eseguito il provisioning di Google SecOps.
   • Log Type (Tipo di log): inserisci AKEYLESS_VAULT.
5. Fai clic su Salva modifiche.

(Facoltativo) Inserire Syslog tramite Bindplane

Installazione di Bindplane per Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Bindplane per Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'AKEYLESS_VAULT'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

4. Sostituisci <customer_id> con l'ID cliente effettivo.

5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindlane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurare l'inoltro di Syslog a Bindplane in Akeyless Vault

1. Accedi all'interfaccia utente web di Akeyless Gateway.
2. Vai a Inoltro log.
3. Seleziona Attiva.
4. Fornisci i seguenti dettagli di configurazione:
   • Formato log: seleziona JSON.
   • Audit Log Server: inserisci https://audit.akeyless.io/.
   • Servizio: seleziona Syslog.
   • Rete Syslog: seleziona UDP. Puoi selezionare un'altra opzione, a seconda della configurazione dell'agente Bindplane.
   • Host syslog: inserisci l'indirizzo IP dell'agente Bindplane.
   • Syslog Formatter: seleziona Testo.
   • (Facoltativo) TLS: seleziona la casella di controllo TLS e carica il certificato TLS.
5. Fai clic su Salva modifiche.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.