Recopila registros de Dell EMC Data Domain

Compatible con:

En este documento, se explica cómo transferir registros de Dell EMC Data Domain a Google Security Operations con Bindplane. Primero, el código del analizador de Logstash extrae los campos clave de los registros sin procesar de DELL_EMC_DATA_DOMAIN con patrones de Grok basados en el formato del mensaje de registro. Luego, asigna los campos extraídos a los campos correspondientes en el esquema del Modelo de datos unificado (UDM), lo que enriquece los datos con contexto adicional, como el tipo de evento y el resultado de seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
  • Acceso privilegiado a Dell EMC Data Domain

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'DELL_EMC_DATA_DOMAIN'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Reemplaza <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Obtén el archivo de autenticación de la transferencia de datos de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog para Dell EMC Data Domain

  1. Accede a Dell EMC Data Domain con la CLI.

  2. Muestra la configuración actual:

    log host show

  3. Habilita el envío de mensajes de registro a otros sistemas:

    log host enable

  4. Agrega la IP del agente de Bindplane a syslog con el siguiente comando. Reemplaza <bindplane-ip> por la dirección IP real del agente de Bindplane.

    log host add <bindplane-ip>

  5. Agrega el puerto del agente de Bindplane a syslog con el siguiente comando. Reemplaza <bindplane-port> por el número de puerto real del agente de Bindplane.

    log server-port set <bindplane-port>

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
app read_only_udm.target.application El valor se toma del campo "app" que extrae el primer analizador de grok.
cmd read_only_udm.target.process.command_line El valor se toma del campo "cmd" que extrae el primer analizador de Grok o del campo "detail" si el campo "cmd" está vacío.
desc read_only_udm.metadata.description El valor se toma del campo "desc" que extrae el primer analizador de grok.
época read_only_udm.metadata.event_timestamp.seconds El valor se toma del campo "epoch" y se convierte en una marca de tiempo con el filtro "date".
host read_only_udm.principal.hostname El valor se toma del campo "host" que extrae el primer analizador de Grok.
id read_only_udm.metadata.product_event_type El valor se toma del campo "id" que extrae el primer analizador de grok.
pid read_only_udm.target.process.pid El valor se toma del campo "pid" que extrae el primer analizador de grok.
Reason read_only_udm.security_result.description El valor se toma del campo "reason" que extrae el primer analizador de grok.
rol read_only_udm.principal.user.attribute.roles.name El valor se toma del campo "role" que extrae el primer analizador de Grok.
session_id read_only_udm.network.session_id El valor se toma del campo "session_id" que extrae el primer analizador de grok.
src_ip read_only_udm.principal.ip El valor se toma del campo "src_ip" que extrae el segundo analizador de grok.
src_port read_only_udm.principal.port El valor se toma del campo "src_port" que extrae el segundo analizador de Grok y se convierte en un número entero.
timestamp.nanos read_only_udm.metadata.event_timestamp.nanos El valor se toma del campo "timestamp.nanos" del registro sin procesar.
timestamp.seconds read_only_udm.metadata.event_timestamp.seconds El valor se toma del campo "timestamp.seconds" del registro sin procesar.
usuario read_only_udm.target.user.userid El valor se toma del campo "user" que extrae el primer o el segundo analizador de Grok.
read_only_udm.extensions.auth.mechanism El valor se establece en "USERNAME_PASSWORD" si el campo "desc" coincide con patrones específicos relacionados con eventos de acceso o salida del usuario.
read_only_udm.metadata.event_type El valor se determina mediante una serie de instrucciones condicionales basadas en los valores de otros campos, principalmente "desc", "src_ip" y "host".
read_only_udm.metadata.log_type Se codifica como "DELL_EMC_DATA_DOMAIN".
read_only_udm.metadata.product_name Se codifica como "DELL_EMC_DATA_DOMAIN".
read_only_udm.metadata.vendor_name Se codificó como "DELL".
read_only_udm.network.http.method El valor se toma del campo "method" que extrae el filtro de KV.
read_only_udm.network.http.response_code El valor se toma del campo "response_code" que extrae el filtro de KV y se convierte en un número entero.
read_only_udm.network.ip_protocol El valor se deriva del campo "protocol_number_src" con una tabla de búsqueda y la configuración "parse_ip_protocol.include".
read_only_udm.security_result.severity El valor se establece en "MEDIUM" si el campo "message" contiene la cadena "NOTICE".
read_only_udm.target.file.sha256 El valor se toma del campo "sha256" que extrae el segundo analizador de grok, se convierte a minúsculas y se valida como una cadena hexadecimal.
read_only_udm.target.process.file.full_path El valor se toma del campo "ruta" o "archivo", según cuál no esté vacío.
read_only_udm.target.url El valor se toma del campo "uri" que extrae el filtro de KV.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.