Mengumpulkan log BeyondTrust Privileged Identity

Didukung di:

Dokumen ini menjelaskan cara menyerap log Privileged Identity BeyondTrust ke Google Security Operations menggunakan Bindplane. Parser mengekstrak log BeyondTrust Remote Support, menangani pesan syslog berformat CEF dan non-CEF. Parser ini mengurai kolom utama, memetakannya ke Model Data Terpadu (UDM), dan menentukan jenis peristiwa berdasarkan kolom yang diekstrak seperti dst, src, suid, dan sEventID, memperkaya data dengan konteks tambahan seperti detail pengguna, alamat IP, dan hasil keamanan.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika dijalankan di belakang proxy, port firewall terbuka
  • Akses istimewa ke BeyondTrust Privileged Remote Access Appliance

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:
    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'BEYONDTRUST_PI'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

  4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

  5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

  • Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop BindPlaneAgent && net start BindPlaneAgent

Mengonfigurasi Syslog di BeyondTrust Privileged Identity

  1. Login ke Beyondtrust Privileged Appliance.
  2. Buka Appliance > Security > Appliance Administration.
  3. Buka bagian Syslog.
  4. Berikan detail konfigurasi berikut:
    • Nama host: Masukkan alamat IP agen Bindplane.
    • Port: Port default ditetapkan ke 514 (UDP).
    • Format: Pilih RFC 5424.
  5. Klik Simpan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
cs1 additional.fields[0].key Dipetakan langsung dari kolom log mentah cs1Label.
cs1Label additional.fields[0].value.string_value Dipetakan langsung dari kolom log mentah cs1.
cs3 additional.fields[1].value.string_value Dipetakan langsung dari kolom log mentah cs3Label.
cs3Label additional.fields[1].key Dipetakan langsung dari kolom log mentah cs3.
cs4 additional.fields[2].value.string_value Dipetakan langsung dari kolom log mentah cs4Label.
cs4Label additional.fields[2].key Dipetakan langsung dari kolom log mentah cs4.
data metadata.description Untuk pesan CEF, kolom msg (diekstrak dari data) dipetakan ke metadata.description. Untuk pesan non-CEF, kolom sMessage (atau bagian-bagiannya, bergantung pada format pesan tertentu) dipetakan ke metadata.description.
dhost target.hostname Dipetakan langsung dari kolom log mentah dhost.
dntdom target.administrative_domain Dipetakan langsung dari kolom log mentah dntdom.
duser target.user.user_display_name Dipetakan langsung dari kolom log mentah duser.
msg metadata.description Dipetakan langsung dari kolom log mentah msg dalam pesan CEF.
rt metadata.event_timestamp.seconds Stempel waktu epoch diekstrak dari kolom rt dalam pesan CEF.
sEventType metadata.product_event_type Dipetakan langsung dari kolom log mentah sEventType dalam pesan non-CEF.
shost principal.ip Dipetakan langsung dari kolom log mentah shost.
sIpAddress principal.ip Dipetakan langsung dari kolom log mentah sIpAddress dalam pesan non-CEF.
sLoginName principal.user.userid Diekstrak dari kolom sLoginName menggunakan ekspresi reguler untuk memisahkan domain dan ID pengguna.
sMessage security_result.description Dipetakan langsung dari kolom log mentah sMessage dalam pesan non-CEF, atau bagian yang diekstrak darinya digunakan untuk security_result.description.
sntdom principal.administrative_domain Dipetakan langsung dari kolom log mentah sntdom.
sOriginatingAccount principal.user.userid Diekstrak dari kolom sOriginatingAccount menggunakan ekspresi reguler untuk memisahkan domain dan ID pengguna.
sOriginatingApplicationComponent principal.application Digunakan bersama dengan sOriginatingApplicationName untuk mengisi principal.application.
sOriginatingApplicationName principal.application Digunakan bersama dengan sOriginatingApplicationComponent untuk mengisi principal.application.
sOriginatingSystem principal.hostname Dipetakan langsung dari kolom log mentah sOriginatingSystem dalam pesan non-CEF.
suser principal.user.user_display_name Dipetakan langsung dari kolom log mentah suser. Ditentukan oleh logika parser berdasarkan keberadaan dan nilai kolom lain seperti dst, src, shost, dan suid. Nilai yang mungkin adalah NETWORK_CONNECTION, STATUS_UPDATE, USER_UNCATEGORIZED, dan GENERIC_EVENT. Tetapkan ke "BEYONDTRUST_PI". Setel ke "BeyondTrust Remote Support". Diekstrak dari header CEF dalam pesan CEF. Disetel ke "BeyondTrust". Ditetapkan ke "ALLOW" atau "BLOCK" berdasarkan kolom status, reason, atau sMessage. Tetapkan ke LOW.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.