Coletar registros do Carbon Black App Control

Este documento explica como coletar registros do Carbon Black App Control. O analisador oferece suporte aos formatos CEF e JSON. Primeiro, ele tenta analisar a entrada como JSON. Se isso falhar, ele vai tratar a entrada como CEF, realizar substituições de texto, extrair campos de CEF, mapeá-los para o UDM e definir o tipo de evento como GENERIC_EVENT. Caso contrário, ele usa um arquivo de inclusão de mapeamento UDM específico do JSON.

Antes de começar

• Verifique se você tem uma instância do Google Security Operations.
• Verifique se você está usando o Windows 2016 ou uma versão mais recente ou um host Linux com systemd.
• Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
• Servidor Carbon Black App Control (CB Protection) (recomendado: versão 8.x ou mais recente).
• Verifique se você tem acesso privilegiado ao Carbon Black App Control.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de transferência. Salve o arquivo com segurança no sistema em que o BindPlane será instalado.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

• Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para processar o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:

   1. Localize o arquivo config.yaml. Normalmente, ele está no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   2. Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Notepad).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       tcplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:11592"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: JSON
               namespace: cb_app_control
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID real do cliente.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber o arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças.

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Services ou digite o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar o Controle de app do CB para enviar registros do Syslog

1. Faça login no console do CB App Control com uma conta de administrador.
2. Acesse Administrador > Configuração do sistema > Registro externo.
3. Na seção "Registro de eventos externos":
   • Ativar o registro de syslog: marque a caixa de seleção Syslog ativado.
   • Endereço do servidor: <Bindplane Server IP>.
   • Porta: <Bindplane Server PORT>.
   • Protocolo: selecione TCP.
   • Formato de Syslog: selecione JSON.
4. Em Opções de registro de eventos, selecione os tipos de registros a serem enviados:
   • Violações da política
   • Eventos de monitoramento de integridade de arquivos (FIM)
   • Eventos de autenticação do usuário
   • Dados de inteligência contra ameaças
5. Clique em Salvar.

Tabela de mapeamento do UDM

Alterações

2022-07-01

• Melhoria
• O campo "agent.type" foi associado a "observer.application".
• Mapeou o campo "agent.name" para "observer.user.userid".
• O campo "host.name" foi mapeado para "observer.hostname".
• Os campos "agent.type" e "agent.name" foram mapeados para "observer.asset_id".
• O campo "agent.ephemeral_id" foi associado a "observer.labels".
• O campo "host.os.platform" foi mapeado para "target.platform".
• O campo "host.os.version" foi mapeado para "target.platform_version".
• O campo "host.os.kernel" foi mapeado para "target.platform_patch_level".
• O campo "cloud.instance.id" foi mapeado para "principal.resource.product_object_id".
• Mapeou o campo "cloud.instance.name" para "principal.resource.name".
• O campo "host.mac" foi mapeado para "target.mac".
• O campo "host.ip" foi mapeado para "target.asset.ip".
• O campo "host.id" foi mapeado para "target.asset.asset_id".
• O campo "host.architecture" foi mapeado para "target.asset.hardware".
• O campo "message.UserSID" foi mapeado para "principal.user.userid".
• O campo "message.ProcessPath" foi mapeado para "about.process.command_line".
• Mapeou os campos "cloud.machine.type" e "cloud.provider" para "principal.resource.attribute.labels".
• Foram adicionadas verificações condicionais para "message.Bit9Server" e "message.HostId" mapeadas para "metadata.url_back_to_product".

2022-06-22

• Correção de bugs
• hostId mapeado para principal.asset_id
• A combinação mapeada de Bit9Server e HostId para metadata.url_back_to_product

2022-05-19

• Correção de bugs
• analisou os registros solicitados no bug
• Registros de falhas de API analisados

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.