Recopila registros de Aruba ClearPass

En este documento, se explica cómo recopilar registros de Aruba ClearPass con Bindplane. El analizador intenta limpiar y estructurar los registros entrantes quitando los campos innecesarios y estandarizando el formato del mensaje. Luego, según si el registro sigue el formato CEF o una estructura diferente, el código usa una combinación de patrones de Grok, extracciones de pares clave-valor y lógica condicional para asignar los campos pertinentes al modelo de datos unificado (UDM) y, en última instancia, categorizar cada evento en un tipo de evento de seguridad específico.

Antes de comenzar

• Asegúrate de tener una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
• Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
• Asegúrate de tener acceso con privilegios a un Aruba ClearPass.

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Collection Agents.
3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Profile.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para obtener más opciones de instalación, consulta esta guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CLEARPASS
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Reemplaza <customer_id> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Cómo obtener el archivo de autenticación de la transferencia de datos de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura el servidor syslog de Aruba ClearPass

1. Accede a la consola de ClearPass Policy Manager.
2. Selecciona Administración > Servidores externos > Destinos de Syslog.
3. Haz clic en Agregar.
4. En la ventana Agregar destino de syslog que aparece, especifica los siguientes detalles:
   • Dirección del host: Ingresa la dirección IP de BindPlane.
   • Puerto del servidor: Ingresa el número de puerto de BindPlane.
   • Protocolo: Selecciona UDP (también puedes seleccionar TCP, según la configuración de Bindplane).
5. Haz clic en Guardar.

Configura filtros de exportación de syslog

1. Ve a Administración > Servidores externos > Filtros de exportación de Syslog.
2. Haz clic en Agregar.
3. En la ventana Add Syslog Filters que aparece, especifica lo siguiente en la pestaña General:
   • Nombre: Ingresa el nombre del filtro de exportación de syslog según la tabla en Elementos de la plantilla de exportación.
   • Export template: Selecciona la plantilla de exportación adecuada según la tabla en Export template items.
   • Export event format type: Selecciona Standard.
   • Servidores Syslog: Selecciona la dirección IP de Bindplane.
4. En la lista Export template, cuando seleccionas las plantillas de exportación Session o Insight, se habilita la pestaña Filter and columns. Completa los siguientes pasos:
   • Haz clic en la pestaña Filtro y columnas.
   • Filtro de datos: Asegúrate de que esté seleccionado el valor predeterminado Todas las solicitudes.
   • Selección de columnas: Selecciona el grupo de campos predefinido según la tabla en Elementos de la plantilla de exportación.
   • Columnas seleccionadas: Verifica que los campos completados automáticamente coincidan con la tabla en Elementos de la plantilla de exportación.
   • Haz clic en la pestaña Resumen.
   • Haz clic en Guardar.
5. En la lista Exportar plantilla, cuando seleccionas las plantillas de exportación Eventos del sistema y Registros de auditoría, no se habilita la pestaña Filtro y columnas. Ve a la pestaña Resumen y haz clic en Guardar.
6. Repite los pasos para agregar filtros de exportación de syslog para todas las plantillas de exportación de Session, Insight, Audit records y System events según los detalles de la tabla en Resumen de elementos de la plantilla de exportación.

Exporta elementos de plantilla

En la siguiente tabla, se describen los elementos que debes configurar para cada plantilla de exportación. Los campos predeterminados que se enumeran en Columnas seleccionadas son compatibles con el análisis de eventos. Asegúrate de que todos los campos que se mencionan en la tabla en Columnas seleccionadas (predeterminado) estén presentes y en el mismo orden. Asegúrate de crear plantillas de filtros de exportación de syslog exactamente como se proporcionan en la tabla, incluido el nombre del filtro que distingue mayúsculas de minúsculas.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.