Recopilar registros de PAM de CyberArk

Este código de analizador primero extrae campos de los mensajes syslog de CyberArk Privileged Access Manager (PAM) mediante expresiones regulares. A continuación, asigna los campos extraídos a un modelo de datos unificado (UDM), lo que enriquece los datos con contexto adicional y estandariza el tipo de evento en función de criterios específicos.

Antes de empezar

• Asegúrate de que tienes una instancia de Google Security Operations.
• Asegúrate de que usas Windows 2016 o una versión posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al equipo en el que está instalado el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Cyberark_PAM
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios:

   sudo systemctl restart bindplane
   

Configurar la exportación de Syslog para CyberArk Vault

1. Inicia sesión en el servidor de Vault.
2. Abre el archivo de configuración dbparm.ini, que se encuentra en C:\Program Files (x86)\CyberArk\Vault\Server\dbparm.ini.

3. Añade o modifica los siguientes parámetros:

   SyslogServer=<syslog_server_ip>
   SyslogPort=<syslog_server_port>
   SyslogProtocol=<TCP or UDP>
   SyslogFormat=Syslog
   

4. Guarda el archivo dbparm.ini.

5. Reinicia el servidor de Vault:

   net stop CyberArkVault
   net start CyberArkVault
   

Configurar la exportación de Syslog en PVWA

1. Inicia sesión en el servidor PVWA.
2. Abre el archivo Web.config, que se encuentra en C:\inetpub\wwwroot\PasswordVault\.

3. Añade o modifica las siguientes claves:

   <add key="SyslogServer" value="<syslog_server_ip>" />
   <add key="SyslogPort" value="<syslog_server_port>" />
   <add key="SyslogProtocol" value="<TCP or UDP>" />
   <add key="SyslogFormat" value="Syslog" />
   

4. Guarda los cambios en el archivo Web.config.

5. Reinicia el servicio IIS:

   iisreset
   

Configurar la exportación de Syslog en PTA

1. Accede al servidor PTA mediante SSH.
2. Abre el archivo application.properties, que se encuentra en /opt/cta/config/application.properties.

3. Añade o modifica las siguientes líneas:

   syslog.server.ip=<syslog_server_ip>
   syslog.server.port=<syslog_server_port>
   syslog.protocol=<TCP or UDP>
   

4. Guarda el archivo application.properties.

5. Reinicia el servicio PTA para aplicar los cambios:

   sudo service pta restart
   

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.