Recopila registros de CyberX

En este documento, se describe cómo recopilar registros de CyberX con un retransmisor de Google Security Operations.

Para obtener más información, consulta la descripción general de la transferencia de datos a Google Security Operations.

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia CyberX.

Configura CyberX

1. Accede a la IU de CyberX.
2. En la IU de CyberX, selecciona Reenvío y, luego, haz clic en Crear regla de reenvío.

3. Para seleccionar filtros para las notificaciones, haz lo siguiente:

   • En la sección Protocols, selecciona los protocolos necesarios o haz clic en All para seleccionar todos los protocolos.

   • En la lista Gravedad, selecciona la gravedad más baja de las alertas que se enviarán.

     Por ejemplo, las alertas críticas y graves se envían como notificaciones si seleccionas la gravedad Grave.

   • En la sección Motores, selecciona los motores necesarios o haz clic en Todos para seleccionar todos los motores.

4. Haz clic en Agregar para agregar un nuevo método de notificación.

5. En la lista Acción, selecciona un tipo de acción de las acciones disponibles.

   Si agregas más de una acción, se pueden crear varios métodos de notificación para cada regla.

6. Según la acción que seleccionaste, especifica los detalles necesarios en los campos correspondientes. Por ejemplo, si seleccionaste Enviar al servidor SYSLOG (CEF), haz lo siguiente:

   • En el campo Host, ingresa la dirección del servidor syslog.
   • En el campo Zona horaria, ingresa la zona horaria del servidor de Syslog.
   • En el campo Puerto, ingresa el puerto del servidor syslog.

7. Haz clic en Enviar.

   De manera similar, para otras acciones que selecciones, especifica los detalles obligatorios.

Configura el reenvío de Google Security Operations para transferir registros de CyberX

1. Selecciona SIEM Settings > Forwarders.
2. Haz clic en Agregar un nuevo reenvío.
3. En el campo Nombre del reenviador, ingresa un nombre único para el reenviador.
4. Haz clic en Enviar y, luego, en Confirmar. Se agregará el reenvío y aparecerá la ventana Add collector configuration.
5. En el campo Nombre del recopilador, escribe un nombre único para el recopilador.
6. Selecciona Microsoft CyberX como el Tipo de registro.
7. Selecciona Syslog como el Tipo de recopilador.
8. Configura los siguientes parámetros de entrada:
   • Protocolo: Especifica el protocolo de conexión que usa el recopilador para escuchar los datos de Syslog.
   • Dirección: Especifica la dirección IP o el nombre de host de destino en el que reside el recopilador y escucha los datos de syslog.
   • Puerto: Especifica el puerto de destino en el que reside el recopilador y escucha los datos de syslog.
9. Haz clic en Enviar.

Para obtener más información sobre los reenvíadores de Google Security Operations, consulta Administra la configuración de los reenvíadores a través de la IU de Google Security Operations.

Si tienes problemas para crear reenvíos, comunícate con el equipo de asistencia de Operaciones de seguridad de Google.

Referencia de la asignación de campos

Este analizador controla los registros de CyberX en formato SYSLOG+KV y los transforma en UDM. Inicializa numerosos campos en cadenas vacías, realiza varias sustituciones para cambiar el nombre y dar formato a los pares clave-valor dentro del campo de mensaje y, luego, usa los filtros grok y kv para extraer datos estructurados en campos de UDM. El analizador prioriza la extracción de datos de clave-valor y recurre a patrones de Grok si es necesario, lo que enriquece el evento del UDM con información de metadatos, principal, objetivo, red y resultados de seguridad.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.