Recoger registros de BlueCat DDI

Este analizador gestiona los mensajes syslog con formato LEEF y sin formato LEEF de Bluecat DDI (DNS, DHCP, IPAM). Extrae campos de varios tipos de registros (por ejemplo, named, dhcpd, audit y CRON) mediante patrones grok y lógica condicional, los asigna al modelo de datos unificado en función del tipo de registro y rellena los campos relacionados con DNS, DHCP o usuarios según corresponda.

Antes de empezar

• Asegúrate de que tienes una instancia de Google Security Operations.
• Asegúrate de que usas Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
• Asegúrate de que tienes acceso con privilegios a Bluecat.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al equipo en el que está instalado Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: bluceat_ddi
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios:

   sudo systemctl restart bindplane
   

Configurar Syslog en Bluecat DDI

1. Inicia sesión en Bluecat Address Manager (BAM).
2. En el menú Configuración, selecciona una configuración.
3. Selecciona la pestaña Servidores.
4. En Servidores, haz clic en el nombre de un BDDS.
5. Debería abrirse la pestaña Detalles del servidor.
6. Haz clic en el menú nombre del servidor.
7. Selecciona Configuración de servicio.
8. Haz clic en Tipo de servicio > Syslog (el gestor de direcciones consulta el servidor y devuelve los valores actuales).
9. En General, define los siguientes valores:
   • Servidor Syslog: la dirección IP de tu servidor Syslog (Bindplane).
   • Puerto Syslog: el puerto de tu servidor Syslog (Bindplane).
   • Transporte Syslog: selecciona TCP o UDP (en función de tu configuración de Bindplane).
10. Haz clic en Añadir.
    • El servidor syslog recién añadido aparecerá en la lista.
11. Haz clic en Actualizar.

Configurar los ajustes de Syslog en BlueCat DDI

1. Inicia sesión en BlueCat Address Manager.
2. Vaya a Configuración > Ajustes del sistema > Registro.
3. En Logging Settings (Configuración de registro), busca la sección Syslog Servers (Servidores Syslog).
4. Haz clic en Añadir servidor Syslog.
5. Proporciona los valores necesarios:
   • Nombre del servidor: un nombre único para el servidor syslog (por ejemplo, BindplaneServer).
   • Dirección IP: la dirección IP o el nombre de host del servidor syslog.
   • Protocolo: selecciona TCP, UDP (predeterminado) o TLS (en función de la configuración de syslog).
   • Puerto: especifica el puerto para la comunicación de syslog (predeterminado: 514 para UDP/TCP y 6514 para TLS).
6. Configura Nivel de registro. Elige el nivel adecuado en función de tus necesidades. Entre las opciones disponibles se incluyen las siguientes:
   • Urgencia: problemas críticos que requieren atención inmediata
   • Alerta: alertas que requieren una acción inmediata.
   • Crítico: condiciones críticas
   • Error: eventos de error
   • Advertencia: eventos de advertencia
   • Aviso: eventos normales pero significativos
   • Información: mensajes informativos
   • Depuración: información de depuración detallada.
7. Opcional: Añada una instalación Syslog personalizada para clasificar los registros (por ejemplo, local0 o local1).
8. Guarda la configuración.

Aplicar ajustes de Syslog a los dispositivos DDI

1. Ve a Servidores > Gestionar servidores.
2. Selecciona los servidores DNS o DHCP en los que se debe habilitar syslog.
3. Haz clic en Editar servidor.
4. En la sección Registro:
   • Selecciona el servidor syslog que has configurado anteriormente.
   • Habilita el registro de servicios específicos (por ejemplo, consultas DNS o asignaciones DHCP).
   • Guarda los cambios.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.