Esse analisador extrai campos de mensagens de syslog do DELL ECS, mapeando-os para o UDM. Ele processa especificamente os tipos de evento UPDATE e DELETE, extraindo informações de usuário e IP para eventos de login/logout. Outros eventos são categorizados como GENERIC_EVENT. Ele usa padrões grok para analisar a mensagem e mutar filtros para preencher campos da UDM, descartando eventos que não correspondem ao formato esperado.
Antes de começar
Verifique se você tem uma instância do Google Security Operations.
Use o Windows 2016 ou uma versão mais recente ou um host Linux com systemd.
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
Verifique se você tem acesso privilegiado ao Dell ECS.
Receber o arquivo de autenticação de ingestão do Google SecOps
Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.
Receber o ID do cliente do Google SecOps
Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.
Instalar o agente do BindPlane
Instalação do Windows
Abra o Prompt de Comando ou o PowerShell como administrador.
Configurar o agente do Bindplane para ingerir Syslog e enviar ao Google SecOps
Acesse o arquivo de configuração:
Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).
Edite o arquivo config.yaml da seguinte forma:
receivers:tcplog:# Replace the below port <54525> and IP <0.0.0.0> with your specific valueslisten_address:"0.0.0.0:54525"exporters:chronicle/chronicle_w_labels:compression:gzip# Adjust the creds location below according the placement of the credentials file you downloadedcreds:'{jsonfileforcreds}'# Replace <customer_id> below with your actual ID that you copiedcustomer_id:<customer_id>
endpoint:malachiteingestion-pa.googleapis.com# You can apply ingestion labels below as preferredingestion_labels:log_type:SYSLOGnamespace:dell_ecsraw_log_field:bodyservice:pipelines:logs/source0__chronicle_w_labels-0:receivers:-tcplogexporters:-chronicle/chronicle_w_labels
Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Reinicie o agente do Bindplane para aplicar as mudanças
No Linux, para reiniciar o agente do Bindplane, execute o seguinte comando:
sudosystemctlrestartbindplane-agent
No Windows, para reiniciar o Bindplane Agent, use o console Serviços ou insira o seguinte comando:
net stop BindPlaneAgent && net start BindPlaneAgent
Configurar o Dell ECS para encaminhar registros ao servidor syslog
Faça login no portal de gerenciamento do ECS usando credenciais administrativas.
Acesse Configurações > Notificações de eventos > Syslog.
Clique em Novo servidor.
Forneça os seguintes detalhes:
Protocolo: selecione UDP ou TCP. Verifique se ele corresponde ao protocolo configurado no servidor Syslog.
Destino: insira o endereço IP ou o nome de domínio totalmente qualificado (FQDN) do servidor Syslog.
Porta: digite o número da porta.
Gravidade: selecione Informativo como o nível mínimo de gravidade dos registros a serem encaminhados.
Clique em Salvar.
Tabela de mapeamento do UDM
Campo de registro
Mapeamento do UDM
Lógica
dados
read_only_udm.metadata.description
Se eventType for UPDATE, a descrição será extraída do campo data usando uma expressão regular. Se eventType for DELETE, a descrição será extraída do campo data usando uma expressão regular e processada para extrair o ID do usuário.
dados
read_only_udm.principal.ip
Se eventType for UPDATE, o endereço IP será extraído do campo data usando uma expressão regular.
dados
read_only_udm.target.resource.product_object_id
Se eventType for DELETE, o token URN será extraído do campo data usando uma expressão regular.
dados
read_only_udm.target.user.userid
Se eventType for UPDATE, o ID do usuário será extraído do campo data usando uma expressão regular. Se eventType for DELETE, o ID do usuário será extraído do campo de descrição após o processamento inicial do campo data.
eventType
read_only_udm.metadata.event_type
Se eventType for UPDATE e um userid for extraído, o tipo de evento será definido como USER_LOGIN. Se eventType for DELETE e um userid for extraído, o tipo de evento será definido como USER_LOGOUT. Caso contrário, o tipo de evento será definido como GENERIC_EVENT.
eventType
read_only_udm.metadata.product_event_type
O valor é derivado da concatenação dos campos serviceType e eventType do registro bruto, entre colchetes e separados por " - ".
hostname
read_only_udm.principal.asset.hostname
O nome do host é copiado do campo hostname.
hostname
read_only_udm.principal.hostname
O nome do host é copiado do campo hostname.
log_type
read_only_udm.metadata.log_type
O tipo de registro é definido como DELL_ECS. O mecanismo é fixado no código como MECHANISM_UNSPECIFIED. O carimbo de data/hora do evento é copiado do campo timestamp da entrada de registro bruta. O nome do produto está fixado no código como ECS. O nome do fornecedor está fixado em DELL. Se eventType for DELETE, o tipo de recurso será codificado como CREDENTIAL.
timestamp
read_only_udm.metadata.event_timestamp
O carimbo de data/hora do evento é extraído do campo timestamp da entrada de registro bruta.
timestamp
timestamp
O carimbo de data/hora é analisado do campo timestamp da entrada de registro bruta.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[[["\u003cp\u003eThis guide details how to collect and parse Dell ECS logs for ingestion into Google SecOps, supporting \u003ccode\u003eUPDATE\u003c/code\u003e and \u003ccode\u003eDELETE\u003c/code\u003e event types and mapping them to the UDM.\u003c/p\u003e\n"],["\u003cp\u003eThe process involves downloading a Google SecOps ingestion authentication file and customer ID, then installing and configuring the Bindplane Agent on either Windows or Linux to receive and forward the logs.\u003c/p\u003e\n"],["\u003cp\u003eDell ECS must be configured to forward logs to the Syslog server, specifying the protocol, target, port, and severity level of logs to be transmitted.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping table outlines how various fields from the Dell ECS logs, such as data, eventType, hostname, and timestamp, are translated into UDM fields within Google SecOps, categorizing events as \u003ccode\u003eUSER_LOGIN\u003c/code\u003e, \u003ccode\u003eUSER_LOGOUT\u003c/code\u003e, or \u003ccode\u003eGENERIC_EVENT\u003c/code\u003e.\u003c/p\u003e\n"],["\u003cp\u003eThe parser is newly created as of March 18, 2024 and this document is considered under the Pre-GA Offerings Terms.\u003c/p\u003e\n"]]],[],null,["# Collect Dell ECS logs\n=====================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis parser extracts fields from DELL ECS syslog messages, mapping them to the UDM. It handles **`UPDATE`** and **`DELETE`** event types specifically, extracting user and IP information for login/logout events. Other events are categorized as **`GENERIC_EVENT`**. It uses grok patterns to parse the message and mutate filters to populate UDM fields, dropping events that don't match the expected format.\n\nBefore you begin\n----------------\n\n- Ensure that you have a Google Security Operations instance.\n- Ensure that you are using Windows 2016 or later, or a Linux host with `systemd`.\n- If running behind a proxy, ensure firewall [ports](/chronicle/docs/ingestion/use-bindplane-agent#verify_the_firewall_configuration) are open.\n- Ensure that you have privileged access to Dell ECS.\n\nGet Google SecOps ingestion authentication file\n-----------------------------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Collection Agents**.\n3. Download the **Ingestion Authentication File**. Save the file securely on the system where Bindplane Agent will be installed.\n\nGet Google SecOps customer ID\n-----------------------------\n\n1. Sign in to the Google SecOps console.\n2. Go to **SIEM Settings \\\u003e Profile**.\n3. Copy and save the **Customer ID** from the **Organization Details** section.\n\nInstall Bindplane Agent\n-----------------------\n\n### Windows Installation\n\n1. Open the **Command Prompt** or **PowerShell** as an administrator.\n2. Run the following command:\n\n msiexec /i \"https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi\" /quiet\n\n### Linux Installation\n\n1. Open a terminal with root or sudo privileges.\n2. Run the following command:\n\n sudo sh -c \"$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)\" install_unix.sh\n\n### Additional Installation Resources\n\n- For additional installation options, consult this [installation guide](/chronicle/docs/ingestion/use-bindplane-agent#install_the_bindplane_agent).\n\nConfigure Bindplane Agent to ingest Syslog and send to Google SecOps\n--------------------------------------------------------------------\n\n1. Access the configuration file:\n\n - Locate the `config.yaml` file. Typically, it's in the `/etc/bindplane-agent/` directory on Linux or in the installation directory on Windows.\n - Open the file using a text editor (for example, `nano`, `vi`, or Notepad).\n2. Edit the `config.yaml` file as follows:\n\n receivers:\n tcplog:\n # Replace the below port \u003c54525\u003e and IP \u003c0.0.0.0\u003e with your specific values\n listen_address: \"0.0.0.0:54525\" \n\n exporters:\n chronicle/chronicle_w_labels:\n compression: gzip\n # Adjust the creds location below according the placement of the credentials file you downloaded\n creds: '{ json file for creds }'\n # Replace \u003ccustomer_id\u003e below with your actual ID that you copied\n customer_id: \u003ccustomer_id\u003e\n endpoint: malachiteingestion-pa.googleapis.com\n # You can apply ingestion labels below as preferred\n ingestion_labels:\n log_type: SYSLOG\n namespace: dell_ecs\n raw_log_field: body\n service:\n pipelines:\n logs/source0__chronicle_w_labels-0:\n receivers:\n - tcplog\n exporters:\n - chronicle/chronicle_w_labels\n\n3. Replace the port and IP address as required in your infrastructure.\n\n4. Replace `\u003ccustomer_id\u003e` with the actual customer ID.\n\n5. Update `/path/to/ingestion-authentication-file.json` to the path where the authentication file was saved in the\n [Get Google SecOps ingestion authentication file](/chronicle/docs/ingestion/default-parsers/dell-ecs#get-auth-file) section.\n\nRestart Bindplane Agent to apply the changes\n--------------------------------------------\n\n- In Linux, to restart the Bindplane Agent, run the following command:\n\n sudo systemctl restart bindplane-agent\n\n- In Windows, to restart the Bindplane Agent, you can either use the **Services** console or enter the following command:\n\n net stop BindPlaneAgent && net start BindPlaneAgent\n\nConfigure Dell ECS to Forward Logs to the Syslog Server\n-------------------------------------------------------\n\n1. Sign in to the ECS management portal using administrative credentials.\n2. Go to **Settings \\\u003e Event Notifications \\\u003e Syslog**.\n3. Click **New Server**.\n4. Provide the following details:\n - **Protocol** : select either **UDP** or **TCP** (ensure it matches the protocol configured on the Syslog server).\n - **Target** : enter the **IP address** or **Fully Qualified Domain Name** (FQDN) of the Syslog server.\n - **Port** : enter the **port number**.\n - **Severity** : select **Informational** as the minimum severity level of logs to be forwarded.\n5. Click **Save**.\n\nUDM Mapping Table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
