Comodo AV-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Comodo AV-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parsercode extrahiert zuerst Felder aus Comodo AV/Endpoint-Protokollen mithilfe von Grok-Mustern und Schlüssel-Wert-Trennung. Anschließend werden die extrahierten Daten den entsprechenden Feldern im UDM-Schema (Unified Data Model) zugeordnet und die Rohlogs werden mit standardisierten Informationen zu Sicherheitsereignissen angereichert.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn die Ausführung hinter einem Proxy erfolgt, sind die Firewallports geöffnet.
  • Privilegierter Zugriff auf die Comodo IT and Security Manager-Konsole

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'COMODO_AV'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Services verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Comodo Antivirus für das Senden von Syslog konfigurieren

  1. Melden Sie sich in der Comodo IT and Security Manager-Konsole an.
  2. Gehen Sie zu Erweiterte Einstellungen> Allgemeine Einstellungen> Protokollierung.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Klicken Sie das Kästchen In Syslog-Server schreiben (CEF-Format) an.
    • Host: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Port: Geben Sie die Portnummer des Bindplane-Agents ein (z. B. 514 für UDP).
  4. Klicken Sie auf OK, um die Änderungen zu speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
data3 principal.asset.platform_software.platform_version Der Wert des Felds data3, das die Produktversion darstellt, wird principal.asset.platform_software.platform_version zugeordnet.
data4 principal.user.product_object_id Der Wert des Felds data4, das eine eindeutige Kennung für den Nutzer im Produkt darstellt, wird principal.user.product_object_id zugeordnet.
data5 principal.application Der Wert des Felds data5, das den Anwendungs- oder Ereignisnamen darstellt, wird principal.application zugeordnet.
Datum/Uhrzeit metadata.event_timestamp.seconds Das Feld datetime, das den Zeitstempel des Ereignisses darstellt, wird geparst und sein Epochensekundenwert wird metadata.event_timestamp.seconds zugeordnet.
dvc principal.ip Das Feld dvc, das die Geräte-IP-Adresse darstellt, wird principal.ip zugeordnet.
dvchost principal.hostname Das Feld dvchost, das den Gerätehostname darstellt, wird principal.hostname zugeordnet.
filePath target.file.full_path Das Feld filePath, das den vollständigen Pfad der gescannten Datei darstellt, wird target.file.full_path zugeordnet.
fname target.process.parent_process.file.full_path Das Feld fname, das den Dateinamen des übergeordneten Prozesses darstellt, wird target.process.parent_process.file.full_path zugeordnet.
suser target.user.userid Das Feld suser, das den mit dem Ereignis verknüpften Nutzer darstellt, wird target.user.userid zugeordnet.
metadata.event_type Dieses Feld wird basierend auf dem Vorhandensein von filePath abgeleitet. Wenn filePath nicht leer ist, wird es auf SCAN_FILE gesetzt, andernfalls auf SCAN_HOST.
metadata.log_type Dieses Feld ist statisch auf COMODO_AV gesetzt.
metadata.vendor_name Dieses Feld ist statisch auf COMODO gesetzt.
metadata.product_name Dieses Feld ist statisch auf COMODO_AV gesetzt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten