Recopila registros de Dell EMC Isilon NAS

Compatible con:

En este documento, se explica cómo transferir registros de NAS de Dell EMC Isilon a Google Security Operations con Bindplane. El código del analizador de Logstash primero usa patrones grok para extraer varios campos, como marcas de tiempo, direcciones IP, nombres de usuario y rutas de acceso a archivos, de los mensajes syslog de DELL_EMC_NAS. Luego, asigna los campos extraídos a los atributos correspondientes dentro del esquema del modelo de datos unificado (UDM), lo que transforma de manera eficaz los datos de registro sin procesar en un formato estructurado para el análisis.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
  • Acceso con privilegios a Dell EMC Isilon

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'DELL_EMC_NAS'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Reemplaza <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en el paso 1.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog para la versión 7.x de OneFS:

  1. Accede a Dell Isilon con la CLI.

  2. Habilita la auditoría con los siguientes comandos (reemplaza zone_name por el host real):

    isi audit settings modify --protocol-auditing-enabled yes --audited-zones <zone_names>
isi zone zones modify <zone_name> --audit-success create,delete,read,rename,set_security,write
isi zone zones modify <zone_name> --audit-failure create,delete,read,rename,set_security,write
isi zone zones modify <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write

  3. Habilita el reenvío de syslog con el siguiente comando:

    isi zone zones modify <zone_name> --syslog-forwarding-enabled=yes

  4. Conéctate a un nodo de Isilon con un cliente SSH.

  5. Abre el archivo syslog.conf con vi, que se encuentra en el directorio /etc/mcp/templates.

    vi syslog.conf

  6. Busca la línea !audit_protocol y agrega la siguiente línea. Reemplaza <bindplane-ip> por la dirección IP real del agente de Bindplane:

    *.* @<bindplane-ip>

  7. Guarda el archivo syslog.conf:

    ```bash
:wq
```

Configura Syslog para las versiones 8.0 y 8.1 de OneFS:

  1. Accede a Dell Isilon con la CLI.

  2. Habilita la auditoría con los siguientes comandos (reemplaza zone_name por el host real):

    isi audit settings global modify --protocol-auditing-enabled yes --audited-zones <zone_names>
isi audit settings modify --zone <zone_name> --audit-success create,delete,read,rename,set_security,write
isi audit settings modify --zone <zone_name> --audit-failure create,delete,read,rename,set_security,write
isi audit settings modify --zone <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write

  3. Habilita el reenvío de syslog con el siguiente comando:

    isi audit settings modify --syslog-forwarding-enabled=yes --zone=<zone_name>

  4. Conéctate a un nodo de Isilon con un cliente SSH.

  5. Abre el archivo syslog.conf con vi, que se encuentra en el directorio /etc/mcp/templates.

    vi syslog.conf

  6. Busca la línea !audit_protocol y agrega la siguiente línea. Reemplaza <bindplane-ip> por la dirección IP real del agente de Bindplane:

    *.* @<bindplane-ip>

  7. Guarda el archivo syslog.conf:

    :wq

Configura Syslog para las versiones de OneFS de la 8.2 a la 9.4:

  1. Habilita la auditoría con los siguientes comandos (reemplaza <bindplane-ip por la dirección IP del agente de Bindplane y zone_name por el host real):

    isi audit settings global modify --protocol-auditing-enabled yes --audited-zones <zone_name> --protocol-syslog-servers <bindplane-ip>
isi audit settings modify --zone <zone_name> --audit-success create,delete,read,renam,set_security,write
isi audit settings modify --zone <zone_name> --audit-failure create,delete,read,rename,set_security,write
isi audit settings modify --zone <zone_name> --syslog-audit-events create,delete,read,rename,set_security,write

  2. Habilita el reenvío de syslog con el siguiente comando:

    isi audit settings modify --syslog-forwarding-enabled yes --zone <zone_name>

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
COMMAND target.process.command_line El campo de registro sin procesar COMMAND se asigna a este campo de UDM.
PWD target.file.full_path El campo de registro sin procesar PWD se asigna a este campo de UDM cuando message no contiene command not allowed.
USUARIO principal.user.userid El campo de registro sin procesar USER se asigna a este campo de UDM.
action_done Variable temporal que se usa para la lógica de análisis.
aplicación target.application El campo de registro sin procesar application se asigna a este campo de UDM.
datos Este campo no se asigna al UDM.
descripción metadata.description El campo de registro sin procesar description se asigna a este campo de UDM. Además, command not allowed se asigna a este campo cuando message contiene command not allowed.
file_name target.file.full_path El campo de registro sin procesar file_name se asigna a este campo de UDM después de quitar cualquier `
intermediary_ip intermediary.ip El campo de registro sin procesar intermediary_ip se asigna a este campo de UDM.
kv_data Variable temporal que se usa para la lógica de análisis.
método Variable temporal que se usa para la lógica de análisis.
pid target.process.pid El campo de registro sin procesar pid se asigna a este campo de UDM cuando no está vacío o es -.
tipo_de_recurso target.resource.type El campo de registro sin procesar resource_type se asigna a este campo de UDM.
src_host principal.hostname El campo de registro sin procesar src_host se asigna a este campo de UDM.
src_ip principal.ip El campo de registro sin procesar src_ip se asigna a este campo de UDM. También se puede extraer del campo description con un patrón de Grok.
estado Variable temporal que se usa para la lógica de análisis.
ts metadata.event_timestamp.seconds El campo de registro sin procesar ts se analiza y su valor en segundos se asigna a este campo de UDM.
usuario principal.user.userid El campo de registro sin procesar user se asigna a este campo de UDM si USER está vacío.
wsid principal.user.windows_sid El campo de registro sin procesar wsid se asigna a este campo de UDM después de quitar los caracteres que aparecen después de "
N/A metadata.event_type Este campo de UDM se deriva de la lógica del analizador en función de los valores de action_done, method y PWD. Puede ser uno de los siguientes: PROCESS_UNCATEGORIZED, PROCESS_OPEN, FILE_CREATION, FILE_OPEN, FILE_DELETION, FILE_MODIFICATION, FILE_UNCATEGORIZED o STATUS_SHUTDOWN (predeterminado).
N/A security_result.action Este campo de UDM se deriva de la lógica del analizador en función del valor de status. Puede ser ALLOW o BLOCK.
N/A security_result.summary Este campo de UDM se deriva de la lógica del analizador y se propaga con el valor de action_done.
N/A security_result.description Este campo del UDM se deriva de la lógica del analizador sintáctico concatenando los valores de method y status con un separador -.
N/A metadata.vendor_name Este campo de UDM está codificado como DELL.
N/A metadata.product_name Este campo de UDM está codificado como DELL_EMC_NAS.
N/A metadata.log_type Este campo de UDM está codificado como DELL_EMC_NAS.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.