Coletar registros de chaves Alcatel

Este documento explica como transferir os registros de chaveamento da Alcatel para as operações de segurança do Google usando um agente do Bindplane. O analisador extrai campos usando uma série de padrões grok com base em diferentes formatos de registro. Em seguida, ele mapeia os campos extraídos para os campos correspondentes no modelo de dados unificado (UDM, na sigla em inglês) e enriquece os dados com metadados, como fornecedor e tipo de evento.

Antes de começar

• Verifique se você tem uma instância do Google SecOps.
• Verifique se você está usando o Windows 2016 ou uma versão mais recente ou um host Linux com systemd.
• Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
• Confira se você tem credenciais privilegiadas para um switch Alcatel.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de transferência. Salve o arquivo com segurança no sistema em que o BindPlane será instalado.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

• Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para processar o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:

   1. Localize o arquivo config.yaml. Normalmente, ele está no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   2. Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Notepad).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: ALCATEL_SWITCH
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID real do cliente.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber o arquivo de autenticação de transferência do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Services ou digite o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar a exportação de syslog do switch Alcatel

1. Conecte-se ao switch usando SSH ou um cabo de console.
2. Faça login com as credenciais de administrador.

3. Entre no modo de configuração global:

   enable
   configure terminal
   

4. Defina o endereço IP do servidor BindPlane (syslog):

   swlog output socket <syslog-server-ip>
   

   • Substitua <syslog-server-ip> pelo endereço IP do agente do Bindplane.

5. Ative a geração de registros no servidor syslog:

   swlog remote enable
   

6. Configure o nível de registro:

   swlog console level info
   

7. Ative a geração de registros de comando:

   command-log enable
   

8. Salve as mudanças na configuração de inicialização:

   write memory
   

Tabela de mapeamento do UDM

Alterações

2024-03-11

Melhoria:

• Foram adicionados novos padrões Grok para analisar um novo formato de registros syslog.
• Mapeamento de severity para security_result.severity e security_result.detection_fields.
• Se id_protocol for quase igual a ssh, defina network.application_protocol como SSH.
• Foram adicionados novos padrões Grok para analisar o novo formato de sec_summary.

2024-01-16

• Parser recém-criado.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.