Recopila registros de Zeek (Bro)

En este documento, se describe cómo puedes implementar Zeek (anteriormente Bro) y NXLog con Google Security Operations para recopilar registros de Zeek en formato JSON. En este documento, también se explica cómo los campos de registro de Zeek se asignan a los campos del modelo de datos unificado (UDM) de Google Security Operations.

Para obtener una descripción general de la transferencia de datos a Google Security Operations, consulta Transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato estructurado del UDM. La información de este documento se aplica al analizador con la etiqueta de transferencia BRO_JSON.

Antes de comenzar

• Para comprender los componentes que se implementan para recopilar registros de Zeek, revisa la arquitectura de implementación. Cada implementación de cliente puede diferir de esta representación y ser más compleja. En el siguiente diagrama, se muestra cómo puedes configurar un agente de NXLog y un reenviador de Google Security Operations en un servidor Linux y reenviar datos de registro a Google Security Operations.

  

• Verifica las versiones de Zeek que admite el analizador de Google Security Operations. El analizador de Operaciones de seguridad de Google admite las siguientes versiones de Zeek:

  • Zeek 4.1.0
  • Zeek 4.0.1
  • Zeek 5.2.0
  • Zeek 6.0.0

• Antes de usar el analizador de Zeek, revisa los cambios en las asignaciones de campos entre el analizador anterior y el analizador de Zeek actual. Como parte de la migración, asegúrate de que las reglas, las búsquedas, los paneles y otros procesos que dependen de los campos originales usen los campos actualizados.

  Por ejemplo, en la versión anterior del analizador, el campo server_name se asigna al campo UDM target.hostname. En el analizador de Zeek actual, el campo server_name se asigna al campo de UDM network.tls.client.server_name. Si migras al analizador de Zeek actual y usas el campo server_name en tus reglas, debes modificarlas para usar el campo UDM network.tls.client.server_name del analizador actual.

• Verifica los tipos de registros de Zeek que admite el analizador de Google Security Operations. En la siguiente tabla, se enumeran los tipos de registros de Zeek que admite el analizador de Google Security Operations:

Tipo de registro	Descripción
Protocolos de red	Incluye archivos de registro de protocolos de red, como el protocolo de configuración dinámica de host (DHCP) y el sistema de nombres de dominio (DNS).
Archivos	Incluye los siguientes archivos de registro: resultados del análisis de archivos, Protocolo de estado de certificados en línea (OCSP), ejecutable portátil (PE) y certificado X.509.
NetControl	Incluye archivos de registro de acciones de NetControl y registros de depuración de OpenFlow.
Detección	Incluye archivos de registro de coincidencias de datos de inteligencia, avisos de Zeek, flujo de alarmas, coincidencias de firmas y detección de traceroute.
Observaciones de la red	Incluye archivos de registro de certificados SSL, hosts que completaron el protocolo de enlace TCP, réplicas y principales de Modbus, servicios que se ejecutan en hosts y software que se usa en la red.

• Si aún no lo hiciste, instala y configura Zeek. Para obtener más información, consulta Instalación de Zeek.

• Recopila registros de Zeek en formato JSON. Para obtener más información, consulta Cómo generar registros de Zeek en formato JSON.

• Asegúrate de que todos los sistemas de la arquitectura de implementación estén configurados con la zona horaria UTC.

Configura el reenviador de NXLog y Google Security Operations

1. Descarga e instala NXLog Community Edition en la máquina Linux en la que se ejecuta el servidor de reenvío de Google Security Operations.
   • Para obtener más información sobre cómo descargar NXLog Community Edition, consulta la documentación de NXLog.
   • Para obtener más información sobre la instalación de los paquetes y las dependencias de NXLog necesarios, consulta Cómo instalar NXLog en un sistema Linux.
2. Crea un archivo de configuración para cada instancia de NXLog.

3. Usa el módulo im_file de NXLog para leer el archivo y analizar las líneas en campos. Este es un ejemplo de configuración de NXLog:

   LogFile /var/log/nxlog/nxlog.log
   LogLevel INFO
   
   define ZEEK_OUTPUT_DESTINATION_ADDRESS <hostname>
   define ZEEK_OUTPUT_DESTINATION_PORT <port>
   
   <Input conn>
      Module      im_file
      File        '/opt/zeek/logs/current/conn.log'
      Exec $raw_event= "conn" + ' - ' + $raw_event;;
   </Input>
   
   <Input dce_rpc>
     Module      im_file
     File        '/opt/zeek/logs/current/dce_rpc.log'
     Exec $raw_event= "dce_rpc" + ' - ' + $raw_event;;
   </Input>
   
   <Output out_chronicle>
     Module  om_tcp
     Host    %ZEEK_OUTPUT_DESTINATION_ADDRESS%
     Port    %ZEEK_OUTPUT_DESTINATION_PORT%
   </Output>
   
   <Route zeek_to_chronicle>
     Path conn, dce_rpc => out_chronicle
   </Route>
   
   

   Para usar la configuración del ejemplo anterior, haz lo siguiente:

   • Reemplaza los valores <hostname> y <port> por información sobre el servidor Linux de destino.
   • Agrega elementos de entrada, salida y ruta para cada tipo de registro de Zeek que desees recopilar.

4. Configura el reenviador de Google Security Operations para enviar registros a Google Security Operations. Para obtener más información, consulta Cómo instalar y configurar el reenviador en Linux. Este es un ejemplo de configuración de reenvío.

     - syslog:
         common:
           enabled: true
           data_type: BRO_JSON
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

5. Inicia el servicio NXLog.

Referencia de asignación de campos: Zeek registra campos en campos de UDM

Para comprender cómo el analizador de Google Security Operations asigna campos de registro de Zeek a campos de eventos de la UDM de Google Security Operations para cada tipo de registro de Zeek, consulta las siguientes secciones:

• Protocolos de red
• Archivos
• Netcontrol
• Detección
• Observaciones de la red

Protocolos de red

En la siguiente tabla, se enumeran los campos de registro del tipo de registro de protocolos de red y sus campos de UDM correspondientes.

Archivos

En la siguiente tabla, se enumeran los campos de registro del tipo de registro de archivos y sus campos de UDM correspondientes.

Netcontrol

En la siguiente tabla, se enumeran los campos de registro del tipo de registro netcontrol y sus campos de UDM correspondientes.

Detección

En la siguiente tabla, se enumeran los campos de registro del tipo de registro de detección y sus campos de la UDM correspondientes.

Observaciones de red

En la siguiente tabla, se muestran los campos de registro del tipo de registro de observaciones de red y sus campos de UDM correspondientes.

Referencia de asignación de campos: ID del evento a tipo de evento de la AUA

Para comprender cómo el analizador asigna nombres de registro a tipos de eventos de la UDM, consulta las siguientes secciones:

• Protocolos de red
• Archivos
• Netcontrol
• Detección
• Observaciones de la red

Protocolos de red

En la siguiente tabla, se enumeran los nombres de registro del tipo de registro de protocolos de red y sus correspondientes tipos de eventos de la AUA.

Nombre del registro	Descripción	Tipo de evento de la AUA
conn.log	TCP/UDP/ICMP connections	NETWORK_CONNECTION
dce_rpc.log	Distributed Computing Environment/RPC	NETWORK_CONNECTION
dhcp.log	DHCP leases	NETWORK_DHCP
dnp3.log	DNP3 (Distributed Network Protocol 3) requests and replies	NETWORK_CONNECTION
dns.log	DNS activity	NETWORK_DNS
ftp.log	FTP (File Transfer Protocol) activity	NETWORK_FTP
http.log	HTTP requests and replies	NETWORK_HTTP
irc.log	IRC (Internet Relay Chat) commands and responses	NETWORK_CONNECTION
kerberos.log	Kerberos	NETWORK_CONNECTION
modbus.log	Modbus commands and responses	NETWORK_CONNECTION
modbus_register_change.log	Tracks changes to Modbus holding registers	GENERIC_EVENT
mysql.log	MySQL	NETWORK_UNCATEGORIZED
ntlm.log	NT LAN Manager (NTLM)	NETWORK_CONNECTION
ntp.log	Network Time Protocol	NETWORK_CONNECTION
radius.log	RADIUS authentication attempts	USER_LOGIN
rdp.log	Remote Desktop Protocol (RDP)	NETWORK_CONNECTION
rfb.log	Remote Framebuffer (RFB)	NETWORK_CONNECTION
sip.log	Session Initiation Protocol (SIP)	NETWORK_UNCATEGORIZED
smb_cmd.log	SMB (Server Message Block) commands	NETWORK_CONNECTION
smb_files.log	SMB (Server Message Block) files	NETWORK_UNCATEGORIZED
smb_mapping.log	SMB (Server Message Block) trees	NETWORK_CONNECTION
smtp.log	SMTP (Simple Mail Transfer Protocol) transactions	NETWORK_SMTP
snmp.log	SNMP (Simple Network Management Protocol) messages	NETWORK_UNCATEGORIZED
socks.log	SOCKS proxy requests	NETWORK_CONNECTION
ssh.log	SSH (Secure Shell) connections	NETWORK_UNCATEGORIZED
ssl.log	SSL(Secure Sockets Layer)/TLS(Transport Layer Security) handshake info	NETWORK_HTTP NETWORK_CONNECTION
syslog.log	Syslog messages	NETWORK_CONNECTION
tunnel.log	Tunneling protocol events	NETWORK_CONNECTION

Archivos

En la siguiente tabla, se enumeran los nombres de registro del tipo de registro de archivos y sus correspondientes tipos de eventos de la AUA.

Nombre del registro	Descripción	Tipo de evento de la AUA
files.log	File analysis results	NETWORK_UNCATEGORIZED
ocsp.log	If policy script is loaded, the Online Certificate Status Protocol (OCSP) log is created.	GENERIC_EVENT
pe.log	Portable Executable (PE)	GENERIC_EVENT
x509.log	X.509 certificate info	GENERIC_EVENT

Netcontrol

En la siguiente tabla, se enumeran los nombres de los registros del tipo de registro netcontrol y sus correspondientes tipos de eventos de la UDM.

Nombre del registro	Descripción	Tipo de evento de la AUA
netcontrol.log	NetControl actions	GENERIC_EVENT
netcontrol_drop.log	NetControl actions	STATUS_UPDATE
netcontrol_shunt.log	NetControl shunt actions	STATUS_UPDATE
netcontrol_catch_release.log	NetControl catch and release actions	GENERIC_EVENT
openflow.log	OpenFlow debug log	GENERIC_EVENT

Detección

En la siguiente tabla, se enumeran los nombres de registro del tipo de registro de detección y sus tipos de eventos de la AUA correspondientes.

Nombre del registro	Descripción	Tipo de evento de la AUA
intel.log	Intelligence data matches	GENERIC_EVENT
notice.log	Zeek notices	NETWORK_CONNECTION
notice_alarm.log	The alarm stream	NETWORK_CONNECTION
signatures.log	Signature matches	GENERIC_EVENT
traceroute.log	Traceroute detection	NETWORK_UNCATEGORIZED

Observaciones de red

En la siguiente tabla, se enumeran los nombres de registro del tipo de registro de observaciones de red y sus correspondientes tipos de eventos de la AUA.

Nombre del registro	Descripción	Tipo de evento de la AUA
known_certs.log	SSL certificates	GENERIC_EVENT
known_hosts.log	Hosts that completed TCP handshakes	GENERIC_EVENT
known_modbus.log	Modbus master and secondary	GENERIC_EVENT
known_services.log	Services running on hosts	GENERIC_EVENT
software.log	Software used on the network	GENERIC_EVENT

¿Qué sigue?

• Transferencia de datos a Google Security Operations