Coletar registros do BloxOne Threat Defense

Este documento explica como ingerir registros do BloxOne Threat Defense no Google Security Operations usando o Bindplane. O analisador do Logstash extrai campos de registros BLOXONE DNS recebidos no formato SYSLOG ou JSON. Primeiro, ele normaliza a mensagem de registro em um objeto JSON e mapeia os campos extraídos para o Modelo Unificado de Dados (UDM, na sigla em inglês), enriquecendo os dados com detalhes de geolocalização e DNS para análise de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Instância do Google SecOps
• Windows 2016 ou mais recente ou um host Linux com systemd
• Se estiver executando por trás de um proxy, as portas do firewall estarão abertas.
• Acesso privilegiado ao Infoblox BloxOne.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:
   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'BLOXONE'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID do cliente real.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar o Syslog no Infoblox BloxOne

1. Faça login no portal da Infoblox.
2. Acesse Configurar > Administração > Conector de dados.
3. Selecione a guia Configuração de destino.
4. Clique em Criar > Syslog.
5. Informe os seguintes detalhes de configuração:
   • Nome: defina um nome descritivo (por exemplo, coletor do Google SecOps).
   • Descrição: forneça uma breve descrição.
   • Estado: selecione Ativar.
   • Tags: clique em Adicionar e especifique o seguinte para associar uma chave ao destino:
     • KEY: insira um nome descritivo para a chave.
     • VALUE: insira o valor da chave.
   • Formato: selecione CEF.
   • Protocolo: selecione UDP ou TCP (dependendo da configuração do agente do Bindplane).
   • FQDN/IP: insira o endereço IP do agente do Bindplane.
   • Porta: insira a porta do agente do Bindplane (o padrão é 514 para UDP).
6. Clique em Salvar e fechar.

Tabela de mapeamento da UDM

Observação:esta tabela inclui apenas campos mapeados para a UDM. Alguns campos do registro bruto podem ser usados internamente pelo analisador, mas não são refletidos diretamente na saída final da UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.