Recolha registos do Avaya Aura

Compatível com:

Este documento explica como carregar registos do Avaya Aura para o Google Security Operations através do Bindplane. O analisador extrai primeiro os campos das mensagens syslog Avaya Aura não processadas através de expressões regulares e do filtro "grok". Em seguida, mapeia os campos extraídos para um modelo de dados unificado (UDM), normaliza valores como a gravidade e identifica tipos de eventos específicos, como o início ou o fim de sessão do utilizador, com base em palavras-chave.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

  • Instância do Google SecOps
  • Windows 2016 ou posterior, ou um anfitrião Linux com systemd
  • Se estiver a ser executado através de um proxy, as portas da firewall estão abertas
  • Acesso privilegiado ao Avaya Aura

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Agentes de recolha.
  3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

  1. Inicie sessão na consola Google SecOps.
  2. Aceda a Definições do SIEM > Perfil.
  3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

  1. Abra a Linha de comandos ou o PowerShell como administrador.

  2. Execute o seguinte comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute o seguinte comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

  1. Aceda ao ficheiro de configuração:
    • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

  2. Edite o ficheiro config.yaml da seguinte forma:

    receivers:
    udolog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'AVAYA_AURA'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

  4. Substitua <customer_id> pelo ID de cliente real.

  5. Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configure o Syslog no Avaya Aura

  1. Inicie sessão na consola do Avaya Aura.
  2. Aceda a EM > System Configuration > Logging Settings > Syslog.
  3. Ative a opção Fornecimento de registos SYSLOG.
  4. Clique em Adicionar.
  5. Indique os seguintes detalhes de configuração:
    • Endereço do servidor: introduza o endereço IP do agente do Bindplane.
    • Porta: introduza a porta de escuta do agente Bindplane.
  6. Clique em Guardar.
  7. Clique em Confirm.
  8. Reinicie o Avaya Aura.

Tabela de mapeamento do UDM

Campo de registo Mapeamento do UDM Lógica
data{}.@timestamp metadata.event_timestamp A data/hora do evento é analisada a partir do campo de dados através do padrão grok e atribuída ao campo event_timestamp na secção de metadados do UDM.
data{}.host principal.hostname O valor do anfitrião é extraído do campo de dados através do padrão grok e atribuído ao campo de nome de anfitrião na secção principal do UDM.
data{}.portal security_result.about.resource.attribute.labels.value O valor do portal é extraído do campo de dados através do padrão grok e atribuído como o valor da etiqueta Portal na secção about.resource.attribute.labels do security_result no UDM.
data{}.prod_log_id metadata.product_log_id O valor prod_log_id é extraído do campo de dados através do padrão grok e atribuído ao campo product_log_id na secção de metadados do UDM.
data{}.sec_cat security_result.category_details O valor sec_cat é extraído do campo de dados através do padrão grok e atribuído ao campo category_details na secção security_result do UDM.
data{}.sec_desc security_result.description O valor sec_desc é extraído do campo de dados através do padrão grok e atribuído ao campo de descrição na secção security_result do UDM.
data{}.severity security_result.severity O valor de gravidade é extraído do campo de dados através do padrão grok. Se a gravidade for warn, fatal ou error (sem distinção entre maiúsculas e minúsculas), é mapeada para HIGH no campo security_result.severity do UDM. Caso contrário, se a gravidade for info (sem distinção entre maiúsculas e minúsculas), é mapeada para LOW.
data{}.summary security_result.summary O valor do resumo é extraído do campo de dados através do padrão grok e atribuído ao campo de resumo na secção security_result do UDM.
data{}.user_id target.user.userid O valor user_id é extraído do campo de dados através do padrão grok e atribuído ao campo userid na secção target.user do UDM.
extensions.auth.type O campo auth.type está definido como AUTHTYPE_UNSPECIFIED se o campo event_name contiver log(in|on) ou logoff (sem distinção entre maiúsculas e minúsculas) ou se o campo summary contiver login ou logoff (sem distinção entre maiúsculas e minúsculas) e o campo user_id não estiver vazio.
metadata.description O campo de descrição é preenchido com o valor do campo desc se não estiver vazio.
metadata.event_type O campo event_type é determinado com base na seguinte lógica: - Se o campo event_name contiver log(in|on) ou o campo summary contiver login (sem distinção entre maiúsculas e minúsculas) e o campo user_id não estiver vazio, o event_type é definido como USER_LOGIN. - Se o campo event_name contiver logoff ou o campo summary contiver logoff (sem distinção entre maiúsculas e minúsculas) e o campo user_id não estiver vazio, o event_type é definido como USER_LOGOUT. - Se o campo has_principal for true, o event_type é definido como STATUS_UPDATE. - Caso contrário, o event_type permanece como GENERIC_EVENT (valor predefinido).
metadata.log_type O log_type está codificado como AVAYA_AURA.
metadata.product_event_type O campo product_event_type é preenchido com o valor do campo event_name se não estiver vazio.
metadata.product_name O product_name está codificado como AVAYA AURA.
metadata.vendor_name O vendor_name está codificado como AVAYA AURA.
security_result.action O campo de ação na secção security_result é definido com base na seguinte lógica: - Se o campo de resumo contiver fail ou failed (não sensível a maiúsculas e minúsculas), a ação é definida como BLOCK. - Se o campo de resumo contiver success (não é sensível a maiúsculas e minúsculas), a ação é definida como ALLOW.
security_result.severity_details O campo severity_details é preenchido com o valor do campo severity_details se não estiver vazio.
timestamp.nanos metadata.event_timestamp.nanos O valor nanos do campo de data/hora é mapeado diretamente para o campo nanos na secção event_timestamp dos metadados no UDM.
timestamp.seconds metadata.event_timestamp.seconds O valor de segundos do campo de data/hora é mapeado diretamente para o campo de segundos na secção event_timestamp dos metadados no UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.