Recopilar registros de Archer IRM

Disponible en:

En este documento se explica cómo ingerir registros de Archer IRM (Integrated Risk Management) en Google Security Operations mediante Bindplane. El analizador primero intenta estructurar los datos de SYSLOG mediante un patrón Grok específico. Si el patrón no coincide, se asume un formato de clave-valor, se extraen los campos y se asignan al modelo de datos unificado (UDM), gestionando diferentes tipos de eventos e información de recursos de la base de datos por el camino.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Un host Windows 2016 o posterior, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
  • Instancia local de Archer IRM 6.x con la función Registro de auditoría con licencia
  • Acceso de administrador al panel de control de Archer

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:6514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'ARCHER_IRM'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar Syslog para el registro de auditoría de Archer IRM

  1. Abre el Panel de control de Archer en el servidor de aplicaciones.
  2. Ve a Gestión de instancias > Todas las instancias y haz doble clic en la instancia de destino.
  3. En la pestaña General, busca la sección Auditoría y marca la casilla Habilitar registro de auditoría para esta instancia.
  4. Proporcione los siguientes detalles de configuración:
    • Nombre de host o dirección IP: introduce la dirección IP del agente de Bindplane.
    • Puerto: introduce el número de puerto del agente de Bindplane (por ejemplo, 6514).
    • Versión de IP: selecciona IPv4.
    • Método de tráfico IP: selecciona TCP.
  5. Haz clic en Probar conexión (solo disponible cuando se selecciona TCP) para verificar la conectividad.
  6. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
ArcherInstance additional.fields.ArcherInstance.string_value Se extrae del campo ArcherInstance del mensaje de registro sin procesar.
ArcherLog Este campo se analiza y sus datos se asignan a otros campos de UDM.
ArcherVersion additional.fields.ArcherVersion.string_value Se extrae del campo ArcherVersion del mensaje de registro sin procesar.
InputParameter additional.fields.InputParameter.string_value Se extrae del campo InputParameter del mensaje de registro sin procesar.
LogSourceIdentifier Este campo se analiza y sus datos se asignan a otros campos de UDM.
MethodName additional.fields.MethodName.string_value Se extrae del campo MethodName del mensaje de registro sin procesar.
OutputValues additional.fields.OutputValue.string_value Se extrae del campo OutputValues del mensaje de registro sin procesar.
Correcto security_result.summary El valor se asigna a Success: concatenado con el valor del campo Success del mensaje de registro sin procesar.
ID de usuario principal.user.userid Se extrae del campo UserId del mensaje de registro sin procesar.
Nombre de usuario principal.user.user_display_name Se extrae del campo UserName del mensaje de registro sin procesar.
DB_DRIVER target.resource.attribute.labels.db_driver.value Se extrae del campo DB_DRIVER del mensaje de registro sin procesar.
DB_HOST target.resource.attribute.labels.db_host.value Se extrae del campo DB_HOST del mensaje de registro sin procesar.
DB_NAME target.resource.attribute.labels.db_name.value Se extrae del campo DB_NAME del mensaje de registro sin procesar.
DB_PORT target.resource.attribute.labels.db_port.value Se extrae del campo DB_PORT del mensaje de registro sin procesar.
DB_URL target.resource.attribute.labels.db_url.value Se extrae del campo DB_URL del mensaje de registro sin procesar.
company_security_event_id metadata.product_log_id Se extrae del campo company_security_event_id del mensaje de registro sin procesar.
create_date metadata.event_timestamp Se ha convertido a una marca de tiempo desde el formato UNIX_MS.
databasename target.resource.attribute.labels.db_name.value Se extrae del campo databasename del mensaje de registro sin formato si no está presente DB_NAME.
encrypt security_result.detection_fields.encrypt.value Se extrae del campo encrypt del mensaje de registro sin procesar.
eventid metadata.product_event_type Se extrae del campo eventid del mensaje de registro sin procesar.
eventtime metadata.event_timestamp Se ha convertido a marca de tiempo desde varios formatos.
integratedSecurity security_result.detection_fields.integratedSecurity.value Se extrae del campo integratedSecurity del mensaje de registro sin procesar.
N/A extensions.auth.type Se define como AUTHTYPE_UNSPECIFIED para los eventos USER_LOGIN y USER_LOGOUT.
N/A metadata.event_type Se establece en USER_RESOURCE_ACCESS si el registro se analiza mediante el patrón grok. Su valor debe ser USER_LOGIN si security_event_name es User Login. Su valor debe ser USER_LOGOUT si security_event_name es User Logout. Se establece en USER_RESOURCE_ACCESS si security_event_name contiene Security Events. De lo contrario, se asigna el valor GENERIC_EVENT.
N/A metadata.log_type Su valor debe ser ARCHER_IRM.
N/A metadata.product_name Se establece en Archer si el registro se analiza mediante el patrón grok. De lo contrario, se asigna el valor RSA.
N/A metadata.vendor_name Se establece en RSA si el registro se analiza mediante el patrón grok. De lo contrario, se asigna el valor Archer.
N/A principal.ip Se establece en 1.2.3.4 si el registro se analiza mediante el patrón grok.
N/A principal.port Se asigna el valor extraído de LogSourceIdentifier si el patrón grok analiza el registro.
N/A security_result.action Se asigna el valor ALLOW si Success es True. De lo contrario, se asigna el valor BLOCK.
N/A target.resource.resource_type Se define como DATABASE si hay algún campo relacionado con la base de datos.
source_user principal.user.userid Se extrae del campo source_user del mensaje de registro sin procesar.
target_user target.user.userid Se extrae del campo target_user del mensaje de registro sin procesar.
trustServerCertificate security_result.detection_fields.trustServerCertificate.value Se extrae del campo trustServerCertificate del mensaje de registro sin procesar.
version metadata.product_version Se extrae del campo version del mensaje de registro sin procesar.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.