Coletar registros de VA SSL da Broadcom

Compatível com:

Este documento explica como ingerir registros do Broadcom Secure Sockets Layer (SSL) Visibility Appliance no Google Security Operations usando o Bindplane. O analisador extrai campos das mensagens do syslog usando uma série de padrões grok para corresponder a vários formatos de registro e, em seguida, mapeia os campos extraídos para os atributos de esquema correspondentes do Modelo de dados unificado (UDM) usando filtros mutate para uma representação consistente de ocorrência de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Instância do Google SecOps
  • Windows 2016 ou mais recente ou um host Linux com systemd
  • Se estiver executando por trás de um proxy, as portas do firewall estarão abertas.
  • Acesso privilegiado ao appliance de visibilidade SSL da Broadcom.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de Comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:
    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'BROADCOM_SSL_VA'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
    • Substitua <customer_id> pelo ID do cliente real.
    • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

  • Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane em Windows, use o console Serviços ou insira o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar o Syslog para o appliance Broadcom SSL Visibility

  1. Faça login na interface da Web do SSL Visibility Appliance.
  2. Acesse Gerenciamento da plataforma > Registro remoto.
  3. Clique em Adicionar.
  4. Informe os seguintes detalhes de configuração:
    • Host: insira o endereço IP do agente do Bindplane.
    • Porta: insira o número da porta do agente do BindPlane (padrão 514).
    • Protocolo: selecione UDP.
    • Instalação: selecione uma instalação do Syslog (por exemplo, local0).
    • Conjunto de registros: selecione Registros de sessão e de dispositivo.
  5. Clique em Salvar. A entrada do servidor vai mostrar Conectado após o primeiro heartbeat.

Tabela de mapeamento da UDM

Campo de registro Mapeamento do UDM Lógica
ação security_result.action_details O valor desse campo é atribuído a security_result.action_details.
ciphersuite network.tls.cipher O valor desse campo é atribuído a network.tls.cipher.
dados Esse campo é usado para extrair outros campos, mas não é mapeado diretamente para a UDM.
destip target.ip O valor desse campo é atribuído a target.ip.
destport target.port O valor desse campo é convertido em um número inteiro e atribuído a target.port.
nome do host principal.hostname O valor desse campo é atribuído a principal.hostname.
pid principal.process.pid O valor desse campo é atribuído a principal.process.pid.
prodlogid metadata.product_log_id O valor desse campo é atribuído a metadata.product_log_id.
regra security_result.rule_id O valor desse campo é atribuído a security_result.rule_id.
segment_id about.labels.value O valor desse campo é atribuído a about.labels.value, em que about.labels.key é segment_id.
srcip principal.ip O valor desse campo é atribuído a principal.ip.
srcPort principal.port O valor desse campo é convertido em um número inteiro e atribuído a principal.port.
status security_result.action O valor desse campo determina o valor de security_result.action. Se ele contiver Success, o valor será definido como ALLOW. Caso contrário, será BLOCK.
timestamp metadata.event_timestamp.seconds O valor desse campo é analisado como um carimbo de data/hora, e a parte de segundos é atribuída a metadata.event_timestamp.seconds.
tlsversion network.tls.version O valor desse campo é atribuído a network.tls.version.
about.resource.attribute.labels.key O valor desse campo é definido como Flag list.
about.resource.attribute.labels.value O valor desse campo é extraído do campo flag_list após passar por algumas transformações.
metadata.event_type O valor desse campo é definido como NETWORK_CONNECTION se os campos srcip e destip não estiverem vazios.
metadata.log_type O valor desse campo é definido como BROADCOM_SSL_VA.
metadata.product_name O valor desse campo é definido como SSL Visibility.
metadata.vendor_name O valor desse campo é definido como Broadcom.
security_result.category O valor desse campo é definido como SOFTWARE_MALICIOUS.
target.application O valor desse campo é definido como ssldata.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.