Raccogliere i log di Deep Instinct EDR

Supportato in:

Questo documento spiega come importare i log EDR di Deep Instinct in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai log formattati LEEF di Deep Instinct EDR. Utilizza grok per analizzare il messaggio di log, kv per separare le coppie chiave-valore e poi mappa questi valori all'UDM, gestendo varie trasformazioni dei dati e logica condizionale per campi specifici. Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive o un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso privilegiato alla console di gestione Deep Instinct

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).
  2. Modifica il file config.yaml come segue: yaml receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'DEEP_INSTINCT_EDR' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog per Deep Instinct EDR

  1. Accedi alla console di gestione Deep Instinct.
  2. Vai a Impostazioni > Integrazioni.
  3. Fai clic sul pulsante + Aggiungi.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio, Google SecOps Bindplane).
    • Host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane.
    • Protocollo: seleziona UDP o TCP, a seconda della configurazione effettiva di Bindplane Agent.
    • Formato: seleziona LEEF.
    • Fuso orario: seleziona il fuso orario UTC per garantire la coerenza tra i sistemi.
    • Vai alla sezione Eventi e seleziona Tutti.
  5. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
act security_result.action_details Mappato direttamente dal campo act.
app principal.application Mappato direttamente dal campo app.
devTime metadata.event_timestamp Mappato direttamente dal campo devTime.
deviceGroup principal.group.group_display_name Mappato direttamente dal campo deviceGroup.
eventExternalId metadata.product_log_id Mappato direttamente dal campo eventExternalId.
eventType metadata.product_event_type Mappato direttamente dal campo eventType.
filePath principal.process.file.full_path Mappato direttamente dal campo filePath.
fileType principal.process.file.file_type Mappato dal campo fileType. Se fileType è "POWERSHELL_INTERACTIVE", il valore UDM viene impostato su "FILE_TYPE_POWERSHELL".
host principal.hostname Mappato direttamente dal campo host.
identHostName target.hostname Mappato direttamente dal campo identHostName.
identSrc target.ip Mappato direttamente dal campo identSrc.
LoggedInUsers principal.user.userid Mappato dal campo LoggedInUsers dopo aver rimosso "REGISGROUP" e le barre rovesciate.
log_type metadata.log_type Mappato direttamente dal campo log_type.
OSName principal.asset.platform_software.platform Mappato dal campo OSName, convertito in maiuscolo.
OSVersion principal.asset.platform_software.platform_version Mappato direttamente dal campo OSVersion.
sev security_result.severity_details Mappato direttamente dal campo sev. Codificato su "STATUS_UPDATE" nel parser. Codificato come "Deep Instinct EDR" nel parser. Mappato direttamente dal campo vendor_name estratto da grok. Mappato direttamente dal campo srcMAC. Mappato direttamente dal campo usrName. Codificato come "MEDIUM" nel parser.
srcMAC principal.mac Mappato direttamente dal campo srcMAC.
usrName principal.user.user_display_name Mappato direttamente dal campo usrName.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.