Recoger registros de Check Point SmartDefense

Disponible en:

En este documento se explica cómo ingerir registros de Check Point SmartDefense en Google Security Operations mediante Bindplane. El analizador extrae campos de los registros de Check Point SmartDefense en formato SYSLOG, realiza transformaciones y asignaciones de datos, y estructura la salida en el modelo de datos unificado (UDM) de Google SecOps para las analíticas de seguridad.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
  • Acceso con privilegios a Check Point SmartConsole y Management Server

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'CHECKPOINT_SMARTDEFENSE'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Sustituye <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar objetos de servidor Syslog en SmartConsole

  1. Conéctate con SmartConsole al Management Server.
  2. Ve a Gateways & Servers (Pasarelas y servidores).
  3. En el Explorador de objetos, haz clic en Nuevo > Host.
  4. Proporcione los siguientes detalles de configuración:
    • Nombre: introduce un nombre único.
    • Dirección IPv4: introduce la dirección IP del agente de Bindplane.
  5. Haz clic en Aceptar.
  6. En el Explorador de objetos, haga clic en Nuevo > Servidor > Más > Syslog.
  7. Proporcione los siguientes detalles de configuración:
    • Nombre: introduce un nombre único.
    • Host: selecciona el host creado anteriormente.
    • Puerto: introduce el número de puerto del agente de Bindplane (514 de forma predeterminada).
    • Versión: selecciona Protocolo Syslog.
  8. Haz clic en Aceptar.

Seleccionar Syslog configurado en Security Gateway

  1. Haz doble clic en el objeto Security Gateway.
  2. Haz clic en Registros.
  3. En la tabla Send logs and alerts to these log servers (Enviar registros y alertas a estos servidores de registro), haga clic en el signo más (+) de color verde y seleccione el objeto Syslog Server (Servidor Syslog) que ha configurado anteriormente.
  4. Haz clic en Aceptar para instalar la política.

Configurar fwsyslog_enable

  1. Conéctate mediante la CLI a la Security Gateway y a cada Cluster Member.
  2. Cambia al modo Experto.

  3. Edita el archivo $FWDIR/boot/modules/fwkern.conf:

    vi $FWDIR/boot/modules/fwkern.conf

  4. Añade la siguiente línea:

    fwsyslog_enable=1

  5. Guarda los cambios en el archivo y cierra el editor.

  6. Reinicia la pasarela de seguridad o cada miembro del clúster.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
actuar read_only_udm.security_result.action Valor del campo act del registro sin procesar.
additional_info read_only_udm.security_result.description Valor del campo additional_info del registro sin procesar.
administrador read_only_udm.target.user.user_display_name Valor del campo administrator del registro sin procesar.
comentario read_only_udm.additional.fields.value.string_value Valor del campo comment del registro sin procesar. La clave se ha codificado como comment.
deviceDirection read_only_udm.network.direction Si deviceDirection=1, entonces OUTBOUND; de lo contrario, INBOUND.
ifname read_only_udm.additional.fields.value.string_value Valor del campo ifname del registro sin procesar. La clave se ha codificado como ifname.
loguid read_only_udm.metadata.product_log_id Valor del campo loguid del registro sin procesar.
log_sys_message read_only_udm.metadata.description Valor del campo log_sys_message del registro sin procesar.
msg read_only_udm.metadata.description Valor del campo msg del registro sin procesar.
operación read_only_udm.security_result.action_details Valor del campo operation del registro sin procesar.
origen read_only_udm.intermediary.ip Valor del campo origin del registro sin procesar.
originsicname read_only_udm.additional.fields.value.string_value Valor del campo originsicname del registro sin procesar. La clave se ha codificado como originsicname.
resultado read_only_udm.security_result.outcomes.value Valor del campo outcome del registro sin procesar. La clave se ha codificado como outcome.
producto read_only_udm.metadata.product_name Valor del campo product del registro sin procesar.
rt read_only_udm.metadata.event_timestamp.seconds Valor del campo rt del registro sin procesar, convertido a segundos.
sendtotrackerasadvancedauditlog read_only_udm.additional.fields.value.string_value Valor del campo sendtotrackerasadvancedauditlog del registro sin procesar. La clave se ha codificado como sendtotrackerasadvancedauditlog.
sequencenum read_only_udm.additional.fields.value.string_value Valor del campo sequencenum del registro sin procesar. La clave se ha codificado como sequencenum.
session_uid read_only_udm.additional.fields.value.string_value Valor del campo session_uid del registro sin procesar. La clave se ha codificado como session_uid.
sntdom read_only_udm.principal.administrative_domain Valor del campo sntdom del registro sin procesar.
src read_only_udm.principal.ip Valor del campo src del registro sin procesar.
subject read_only_udm.security_result.summary Valor del campo subject del registro sin procesar.
update_service read_only_udm.additional.fields.value.string_value Valor del campo update_service del registro sin procesar. La clave se ha codificado como update_service.
version read_only_udm.additional.fields.value.string_value Valor del campo version del registro sin procesar. La clave se ha codificado como version.
N/A read_only_udm.metadata.event_type Si el campo host existe en el registro sin procesar, se devuelve STATUS_UPDATE. Si el campo operation es igual a Log Out, entonces USER_LOGOUT. Si el campo operation es igual a Log In, entonces USER_LOGIN. De lo contrario, GENERIC_EVENT.
N/A read_only_udm.metadata.vendor_name Valor codificado: Check Point.
N/A read_only_udm.metadata.product_version Valor codificado: Check Point.
N/A read_only_udm.metadata.product_event_type Valor codificado: [Log] - Log.
N/A read_only_udm.metadata.log_type Valor codificado: CHECKPOINT_FIREWALL.
N/A read_only_udm.principal.hostname Valor del campo host del registro sin procesar.
N/A read_only_udm.principal.asset.hostname Valor del campo host del registro sin procesar.
N/A read_only_udm.extensions.auth.type Si el campo operation es igual a Log Out o Log In, entonces AUTHTYPE_UNSPECIFIED.
N/A read_only_udm.extensions.auth.mechanism Si el campo operation es igual a Log Out o Log In, entonces MECHANISM_UNSPECIFIED.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.