Collecter les journaux Deep Instinct EDR

Compatible avec :

Ce document explique comment ingérer des journaux Deep Instinct EDR dans Google Security Operations à l'aide de BindPlane. L'analyseur extrait les champs des journaux au format LEEF Deep Instinct EDR. Il utilise grok pour analyser le message de journal, kv pour séparer les paires clé/valeur, puis mappe ces valeurs à l'UDM, en gérant diverses transformations de données et une logique conditionnelle pour des champs spécifiques. Il définit également les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Instance Google SecOps
  • Windows 2016 ou version ultérieure, ou un hôte Linux avec systemd
  • Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
  • Accès privilégié à la console de gestion Deep Instinct

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :
    • Trouvez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).
  2. Modifiez le fichier config.yaml comme suit : yaml receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'DEEP_INSTINCT_EDR' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
  • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart bindplane-agent

  • Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurer Syslog pour Deep Instinct EDR

  1. Connectez-vous à la console de gestion Deep Instinct.
  2. Accédez à Paramètres > Intégrations.
  3. Cliquez sur le bouton + Ajouter.
  4. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom descriptif (par exemple, Google SecOps Bindplane).
    • Hôte : saisissez l'adresse IP de l'agent Bindplane.
    • Port : saisissez le numéro de port de l'agent Bindplane.
    • Protocole : sélectionnez UDP ou TCP, en fonction de la configuration réelle de votre agent Bindplane.
    • Format : sélectionnez LEEF.
    • Fuseau horaire : sélectionnez le fuseau horaire UTC pour assurer la cohérence entre les systèmes.
    • Accédez à la section Événements et sélectionnez Tous.
  5. Cliquez sur Enregistrer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
act security_result.action_details Mappé directement à partir du champ act.
app principal.application Mappé directement à partir du champ app.
devTime metadata.event_timestamp Mappé directement à partir du champ devTime.
deviceGroup principal.group.group_display_name Mappé directement à partir du champ deviceGroup.
eventExternalId metadata.product_log_id Mappé directement à partir du champ eventExternalId.
eventType metadata.product_event_type Mappé directement à partir du champ eventType.
filePath principal.process.file.full_path Mappé directement à partir du champ filePath.
fileType principal.process.file.file_type Mappé à partir du champ fileType. Si fileType est défini sur "POWERSHELL_INTERACTIVE", la valeur UDM est définie sur "FILE_TYPE_POWERSHELL".
host principal.hostname Mappé directement à partir du champ host.
identHostName target.hostname Mappé directement à partir du champ identHostName.
identSrc target.ip Mappé directement à partir du champ identSrc.
LoggedInUsers principal.user.userid Mappé à partir du champ LoggedInUsers après suppression de "REGISGROUP" et de toute barre oblique inverse.
log_type metadata.log_type Mappé directement à partir du champ log_type.
OSName principal.asset.platform_software.platform Mappé à partir du champ OSName, converti en majuscules.
OSVersion principal.asset.platform_software.platform_version Mappé directement à partir du champ OSVersion.
sev security_result.severity_details Mappé directement à partir du champ sev. Codé en dur sur "STATUS_UPDATE" dans l'analyseur. Codé en dur sur "Deep Instinct EDR" dans l'analyseur. Mappé directement à partir du champ vendor_name extrait par grok. Mappé directement à partir du champ srcMAC. Mappé directement à partir du champ usrName. Codé en dur sur "MEDIUM" dans l'analyseur.
srcMAC principal.mac Mappé directement à partir du champ srcMAC.
usrName principal.user.user_display_name Mappé directement à partir du champ usrName.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.