Coletar registros DNS do ExtraHop

Este documento explica como ingerir registros de DNS do ExtraHop no Google Security Operations usando o Bindplane. O analisador extrai registros formatados em JSON de uma string de mensagem bruta, descartando o evento ao lidar com dados não JSON. Em seguida, ele mapeia campos específicos do JSON extraído para os campos correspondentes no esquema do Modelo Unificado de Dados (UDM, na sigla em inglês), convertendo tipos de dados e processando diferentes estruturas de resposta de DNS para garantir uma representação consistente.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Instância do Google SecOps
• Windows 2016 ou mais recente ou um host Linux com systemd
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
• Acesso privilegiado ao DNS do ExtraHop

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:
   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).
2. Edite o arquivo config.yaml da seguinte forma: yaml receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization log_type: 'EXTRAHOP_DNS' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels

• Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
  • Substitua <customer_id> pelo ID do cliente real.
  • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

• Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar o Syslog para o fluxo de dados abertos do ExtraHop (DNS)

1. Faça login na Administração do ExtraHop usando https://<extrahop-hostname-or-IP-address>/admin.

1. Acesse Configuração do sistema > Abrir fluxos de dados.
2. Clique em Adicionar destino.
3. No menu suspenso Tipo de destino, selecione Syslog.
4. Informe os seguintes detalhes de configuração:
   • Nome: insira um nome exclusivo para identificar o destino.
   • Host: insira o endereço IP do agente do Bindplane.
   • Porta: digite o número da porta do agente do Bindplane.
   • Protocolo: selecione UDP ou TCP, dependendo da sua configuração do Bindplane.
   • (Opcional) Selecione Horário local para enviar informações do syslog com carimbos de data/hora no fuso horário local.
   • Clique em Testar.
5. Clique em Salvar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.