Recoger registros de Avaya Aura

Disponible en:

En este documento se explica cómo ingerir registros de Avaya Aura en Google Security Operations mediante Bindplane. El analizador primero extrae campos de mensajes syslog de Avaya Aura sin procesar mediante expresiones regulares y el filtro "grok". A continuación, asigna los campos extraídos a un modelo de datos unificado (UDM), normaliza valores como la gravedad e identifica tipos de eventos específicos, como el inicio o el cierre de sesión de un usuario, en función de las palabras clave.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
  • Acceso privilegiado a Avaya Aura

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udolog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'AVAYA_AURA'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Sustituye <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar Syslog en Avaya Aura

  1. Inicia sesión en la consola Avaya Aura.
  2. Ve a EM > Configuración del sistema > Ajustes de registro > Syslog.
  3. Habilita Entrega de registros SYSLOG.
  4. Haz clic en Añadir.
  5. Proporcione los siguientes detalles de configuración:
    • Dirección del servidor: introduce la dirección IP del agente de Bindplane.
    • Puerto: introduce el puerto de escucha del agente de Bindplane.
  6. Haz clic en Guardar.
  7. Haz clic en Confirmar.
  8. Reinicia Avaya Aura.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
data{}.@timestamp metadata.event_timestamp La marca de tiempo del evento se analiza a partir del campo de datos mediante el patrón grok y se asigna al campo event_timestamp de la sección de metadatos del UDM.
data{}.host principal.hostname El valor del host se extrae del campo de datos mediante el patrón grok y se asigna al campo de nombre de host de la sección principal del UDM.
data{}.portal security_result.about.resource.attribute.labels.value El valor del portal se extrae del campo de datos mediante el patrón grok y se asigna como valor de la etiqueta Portal en la sección about.resource.attribute.labels de security_result en UDM.
data{}.prod_log_id metadata.product_log_id El valor de prod_log_id se extrae del campo de datos mediante el patrón grok y se asigna al campo product_log_id de la sección de metadatos del UDM.
data{}.sec_cat security_result.category_details El valor de sec_cat se extrae del campo de datos mediante el patrón grok y se asigna al campo category_details de la sección security_result del UDM.
data{}.sec_desc security_result.description El valor de sec_desc se extrae del campo de datos mediante el patrón grok y se asigna al campo de descripción de la sección security_result del UDM.
data{}.severity security_result.severity El valor de gravedad se extrae del campo de datos mediante el patrón grok. Si la gravedad es warn, fatal o error (sin distinción entre mayúsculas y minúsculas), se asigna a HIGH en el campo security_result.severity de UDM. De lo contrario, si la gravedad es info (sin distinción entre mayúsculas y minúsculas), se asigna a LOW.
data{}.summary security_result.summary El valor del resumen se extrae del campo de datos mediante el patrón grok y se asigna al campo de resumen de la sección security_result del UDM.
data{}.user_id target.user.userid El valor de user_id se extrae del campo de datos mediante el patrón grok y se asigna al campo userid de la sección target.user del MDUs.
extensions.auth.type El campo auth.type se define como AUTHTYPE_UNSPECIFIED si el campo event_name contiene log(in|on) o logoff (sin distinguir entre mayúsculas y minúsculas), o si el campo summary contiene login o logoff (sin distinguir entre mayúsculas y minúsculas) y el campo user_id no está vacío.
metadata.description El campo de descripción se rellena con el valor del campo "desc" si no está vacío.
metadata.event_type El campo event_type se determina según la siguiente lógica: - Si el campo event_name contiene log(in|on) o el campo summary contiene login (sin distinguir entre mayúsculas y minúsculas) y el campo user_id no está vacío, el valor de event_type es USER_LOGIN. - Si el campo event_name contiene logoff o el campo summary contiene logoff (sin distinguir entre mayúsculas y minúsculas) y el campo user_id no está vacío, el valor de event_type es USER_LOGOUT. - Si el campo has_principal es true, el valor de event_type es STATUS_UPDATE. - De lo contrario, el valor de event_type sigue siendo GENERIC_EVENT (valor predeterminado).
metadata.log_type El valor de log_type se ha codificado como AVAYA_AURA.
metadata.product_event_type El campo product_event_type se rellena con el valor del campo event_name si no está vacío.
metadata.product_name El valor de product_name se ha fijado en AVAYA AURA.
metadata.vendor_name El valor de vendor_name se ha fijado en el código como AVAYA AURA.
security_result.action El campo de acción de la sección security_result se define según la siguiente lógica: - Si el campo de resumen contiene fail o failed (sin distinguir entre mayúsculas y minúsculas), el valor de la acción es BLOCK. - Si el campo de resumen contiene success (sin distinguir entre mayúsculas y minúsculas), la acción se define como ALLOW.
security_result.severity_details El campo severity_details se rellena con el valor del campo severity_details si no está vacío.
timestamp.nanos metadata.event_timestamp.nanos El valor de nanos del campo de marca de tiempo se asigna directamente al campo de nanos de la sección event_timestamp de los metadatos de UDM.
timestamp.seconds metadata.event_timestamp.seconds El valor de los segundos del campo de marca de tiempo se asigna directamente al campo de segundos de la sección event_timestamp de los metadatos de UDM.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.