Recoger registros de Cisco Stealthwatch

En este documento se explica cómo recoger registros de Cisco Secure Network Analytics (antes Stealthwatch) en Google Security Operations mediante Bindplane. El analizador gestiona dos formatos de registros de Cisco Stealthwatch: uno con información de IP y paquetes de cliente/servidor, y otro con ID de dispositivo y recuentos de bytes. Extrae campos, los convierte a los tipos de datos adecuados, los asigna al UDM y define campos de metadatos como el proveedor, el producto y el tipo de evento en función del contenido y el formato del registro.

Antes de empezar

• Asegúrate de que tienes una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
• Asegúrate de que tienes acceso con privilegios a Cisco Stealthwatch.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre un terminal con privilegios de superusuario o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para ver otras opciones de instalación, consulta esta guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CISCO_STEALTHWATCH
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Sustituye <customer_id> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar Syslog de Cisco Secure Network Analytics (antes Stealthwatch)

1. Inicia sesión en la interfaz de usuario web de la consola de gestión.
2. Ve a Configuración > Gestión de respuestas.

3. Editar formato de syslog:

   • Nombre: introduce un nombre para el formato syslog.
   • Descripción: proporciona una descripción del formato.
   • Residencia: Local 0
   • Gravedad: se ha asignado el valor Informational.
   • En el campo Mensaje, pega el siguiente formato:

   Lancope|StealthWatch|time|{time}|target_hostname|{target_hostname}|alarm_severity_id|{alarm_severity_id}|alarm_type_id|{alarm_type_id}|alarm_type_description|{alarm_type_description}|port|{port}|target_ip|{target_ip}|target_mac_address|{target_mac_address}|target_label|{target_label}|alarm_type_name|{alarm_type_name}|source_hostname|{source_hostname}|source_ip|{source_ip}|source_mac_address|{source_mac_address}|source_username|{source_username}|device_ip|{device_ip}|device_name|{device_name}|details|{details}|protocol|{protocol}|alarm_id|{alarm_id}|alarm_category_name|{alarm_category_name}|start_active_time|{start_active_time}| end_active_time|{end_active_time}
   

4. Haz clic en Aceptar.

5. Ve a Gestión de respuestas > Acciones > Añadir mensaje Syslog.

6. Configura el reenviador de Syslog:

   • Nombre: introduce el nombre del reenviador de Google SecOps Bindplane.
   • Descripción: introduce la descripción del reenviador de Bindplane de Google SecOps.
   • Dirección IP: introduce la dirección IP del agente de Bindplane.
   • Puerto: introduce el número de puerto del agente de Bindplane; por ejemplo, 514.
   • Formato: selecciona el formato que has creado en el paso 3.

7. Haz clic en Aceptar.

Configurar nombres de reglas para Cisco Secure Network Analytics (antes Stealthwatch)

1. Ve a Configuración > Gestión de respuestas.
2. Selecciona Reglas > Añadir > Alarmas del sistema SMC.
3. Haz clic en Aceptar.
4. En el cuadro de diálogo Tipos de reglas, selecciona una regla.
5. Haz clic en Aceptar.
6. En el cuadro de diálogo Regla, haz lo siguiente:
   • Nombre: introduce un nombre para la regla.
   • Esta regla se activa si: selecciona Cualquiera, Gravedad e Informativa en las listas correspondientes.
7. Haz clic en Aceptar.
8. Seleccione Acciones > Añadir.
9. Selecciona la acción que hayas creado anteriormente.
10. Haz clic en Aceptar y, a continuación, en Aceptar.
11. Repite los pasos anteriores para cambiar el nombre de las tres opciones siguientes de la sección Regla:
    • Mecanismo de recogida de registros admitido: Syslog
    • Mecanismo de recogida de registros preferido: Syslog
    • Diagrama lógico del flujo de eventos: servidor Syslog remoto de SMC

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.