Recopila registros del AV de Comodo

Compatible con:

En este documento, se explica cómo transferir registros de Comodo AV a Google Security Operations con Bindplane. Primero, el código del analizador extrae campos de los registros de Comodo AV/Endpoint con patrones de Grok y separación de clave-valor. Luego, asigna los datos extraídos a los campos correspondientes en el esquema del Modelo de datos unificado (UDM), lo que enriquece los registros sin procesar con información estandarizada sobre eventos de seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
  • Acceso privilegiado a la consola de Comodo IT and Security Manager

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'COMODO_AV'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Comodo Antivirus para enviar registros de Syslog

  1. Accede a la consola de Comodo IT and Security Manager.
  2. Ve a Configuración avanzada > Configuración general > Registro.
  3. Proporciona los siguientes detalles de configuración:
    • Selecciona la casilla de verificación Escribir en el servidor syslog (formato CEF).
    • Host: Ingresa la dirección IP del agente de Bindplane.
    • Puerto: Ingresa el número de puerto del agente de Bindplane (por ejemplo, 514 para UDP).
  4. Haz clic en Aceptar para guardar los cambios.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
datos3 principal.asset.platform_software.platform_version El valor del campo data3, que representa la versión del producto, se asigna a principal.asset.platform_software.platform_version.
datos4 principal.user.product_object_id El valor del campo data4, que representa un identificador único para el usuario dentro del producto, se asigna a principal.user.product_object_id.
datos5 principal.application El valor del campo data5, que representa el nombre de la aplicación o del evento, se asigna a principal.application.
fecha y hora metadata.event_timestamp.seconds El campo datetime, que representa la marca de tiempo del evento, se analiza y su valor en segundos de época se asigna a metadata.event_timestamp.seconds.
dvc principal.ip El campo dvc, que representa la dirección IP del dispositivo, se asigna a principal.ip.
dvchost principal.hostname El campo dvchost, que representa el nombre de host del dispositivo, se asigna a principal.hostname.
filePath target.file.full_path El campo filePath, que representa la ruta de acceso completa del archivo analizado, se asigna a target.file.full_path.
fname target.process.parent_process.file.full_path El campo fname, que representa el nombre de archivo del proceso principal, se asigna a target.process.parent_process.file.full_path.
suser target.user.userid El campo suser, que representa al usuario asociado con el evento, se asigna a target.user.userid.
metadata.event_type Este campo se deriva según la presencia de filePath. Si filePath no está vacío, se establece en SCAN_FILE; de lo contrario, se establece en SCAN_HOST.
metadata.log_type Este campo se establece de forma estática en COMODO_AV.
metadata.vendor_name Este campo se establece de forma estática en COMODO.
metadata.product_name Este campo se establece de forma estática en COMODO_AV.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.