Recopila registros de CyberArk PAM

Primero, este código del analizador extrae campos de los mensajes de syslog de CyberArk Privileged Access Manager (PAM) con expresiones regulares. Luego, asigna los campos extraídos a un modelo de datos unificado (UDM), enriquece los datos con contexto adicional y estandariza el tipo de evento según criterios específicos.

Antes de comenzar

• Asegúrate de tener una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
• Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Collection Agents.
3. Descarga el archivo de autenticación de transferencia.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Profile.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

1. Para la instalación en Windows, ejecuta la siguiente secuencia de comandos:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para la instalación en Linux, ejecuta la siguiente secuencia de comandos:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Puedes encontrar opciones de instalación adicionales en esta guía de instalación.

Configura el agente de Bindplane para que ingiera Syslog y lo envíe a Google SecOps

1. Accede a la máquina en la que está instalado el agente de BindPlane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       tcplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Cyberark_PAM
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios:

   sudo systemctl restart bindplane
   

Configura la exportación de Syslog para CyberArk Vault

1. Accede al servidor de Vault.
2. Abre el archivo de configuración dbparm.ini, ubicado en C:\Program Files (x86)\CyberArk\Vault\Server\dbparm.ini.

3. Agrega o modifica los siguientes parámetros:

   SyslogServer=<syslog_server_ip>
   SyslogPort=<syslog_server_port>
   SyslogProtocol=<TCP or UDP>
   SyslogFormat=Syslog
   

4. Guarda el archivo dbparm.ini.

5. Reinicia el servidor de Vault:

   net stop CyberArkVault
   net start CyberArkVault
   

Configura la exportación de Syslog en PVWA

1. Accede al servidor de PVWA.
2. Abre el archivo Web.config, ubicado en C:\inetpub\wwwroot\PasswordVault\.

3. Agrega o modifica las siguientes claves:

   <add key="SyslogServer" value="<syslog_server_ip>" />
   <add key="SyslogPort" value="<syslog_server_port>" />
   <add key="SyslogProtocol" value="<TCP or UDP>" />
   <add key="SyslogFormat" value="Syslog" />
   

4. Guarda los cambios en el archivo Web.config.

5. Reinicia el servicio de IIS:

   iisreset
   

Configura la exportación de Syslog en PTA

1. Accede al servidor de PTA con SSH.
2. Abre el archivo application.properties, ubicado en /opt/cta/config/application.properties.

3. Agrega o modifica las siguientes líneas:

   syslog.server.ip=<syslog_server_ip>
   syslog.server.port=<syslog_server_port>
   syslog.protocol=<TCP or UDP>
   

4. Guarda el archivo application.properties.

5. Reinicia el servicio de PTA para aplicar los cambios:

   sudo service pta restart
   

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.