Recolha registos do Arbor Edge Defense

Compatível com:

Este documento explica como recolher os registos do Netscout (Arbor Edge Defense) para o Google Security Operations através de um agente do Bindplane. O analisador extrai primeiro os campos das mensagens syslog não processadas através de um padrão grok que corresponde a formatos específicos definidos pelo fornecedor. Em seguida, mapeia os campos extraídos e os respetivos valores para atributos correspondentes no esquema UDM do Google SecOps, o que permite uma representação e uma análise padronizadas dos eventos de segurança.

Antes de começar

  • Certifique-se de que tem uma instância do Google SecOps.
  • Certifique-se de que está a usar o Windows 2016 ou posterior, ou um anfitrião Linux com systemd.
  • Se estiver a executar o serviço através de um proxy, certifique-se de que as portas da firewall estão abertas.
  • Certifique-se de que tem acesso privilegiado ao Netscout.

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Agentes de recolha.
  3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Perfil.
  3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

  1. Abra a Linha de comandos ou o PowerShell como administrador.

  2. Execute o seguinte comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute o seguinte comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

  1. Aceda ao ficheiro de configuração:

    1. Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    2. Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

  2. Edite o ficheiro config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: ARBOR_EDGE_DEFENSE
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

  4. Substitua <customer_id> pelo ID de cliente real.

  5. Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configure a exportação de Syslog no Netscout (Arbor Edge Defense)

  1. Inicie sessão na IU Web da Netscout.
  2. Selecione Administração > Notificação > Grupos.
  3. Na janela Grupo de notificações, clique em Adicionar grupo de notificações.
  4. Indique os seguintes detalhes de configuração:
    • Destino: introduza o endereço IP do agente do Bindplane.
    • Porta: introduza o número da porta do agente do Bindplane.
    • Instalação: selecione a instalação Local0.
    • Gravidade: selecione Informativa.
  5. Clique em Guardar.
  6. Aceda a Administração > Gestão da configuração > Enviar ou selecione Enviar configuração.

Tabela de mapeamento da UDM

Campo de registo Mapeamento de UDM Lógica
cn2 principal.group.attribute.labels.value Mapeado se não estiver vazio. Parte da lógica condicional que envolve cn2Label.
cn2Label principal.group.attribute.labels.key Mapeado se cn2 não estiver vazio.
cs2 principal.group.attribute.labels.value Mapeado se não estiver vazio. Parte da lógica condicional que envolve cs2Label.
cs2Label principal.group.attribute.labels.key Mapeado se cs2 não estiver vazio.
cs3 security_result.detection_fields.value Mapeado se não estiver vazio. Parte da lógica condicional que envolve cs3Label.
cs3Label security_result.detection_fields.key Mapeado se cs3 não estiver vazio.
cs6 security_result.threat_name Mapeado se não estiver vazio.
cs7 security_result.category_details Concatenado com o prefixo Threat Category: se não estiver vazio.
dpt target.port Convertido em número inteiro e mapeado se não estiver vazio ou for 0.
dst target.ip Mapeado se não estiver vazio.
msg metadata.description Mapeado diretamente.
principal.group.attribute.labels.key Definido como Traffic Level se traffic_level (extraído de msg) não estiver vazio.
principal.group.attribute.labels.value Definido como o traffic_level extraído de msg se não estiver vazio.
principal.group.attribute.labels.key Definido como Protection Group Name se group_name (extraído de msg) não estiver vazio.
principal.group.attribute.labels.value Definido como o group_name extraído de msg se não estiver vazio.
proto network.ip_protocol Convertido para maiúsculas e mapeado se o valor for TCP ou UDP.
rt metadata.event_timestamp.seconds Convertido em indicação de tempo através do filtro de data.
src principal.ip Mapeado se não estiver vazio.
spt principal.port Convertido em número inteiro e mapeado se não estiver vazio ou for 0.
metadata.log_type Codificado para ARBOR_EDGE_DEFENSE.
metadata.vendor_name Codificado para NETSCOUT.
metadata.product_name Codificado para ARBOR_EDGE_DEFENSE.
metadata.product_version Extraído do campo device_version do cabeçalho CEF.
metadata.product_event_type Extraído do campo event_name do cabeçalho CEF.
intermediary.hostname Extraído do campo intermediary_hostname do cabeçalho CEF.
security_result.rule_name Extraído do campo security_rule_name do cabeçalho CEF.
security_result.action Definido como BLOCK se event_name for Blocked Host.
security_result.action_details Definir como valor de event_name se event_name for Blocked Host.
security_result.severity Mapeado a partir do campo severity com base na lógica predefinida e convertido em letras maiúsculas.
metadata.event_type Definido como NETWORK_CONNECTION se dst e src não estiverem vazios, definido como STATUS_UPDATE se apenas src não estiver vazio. Caso contrário, a predefinição é GENERIC_EVENT.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.