Cómo recopilar registros de FTP de FileZilla

Compatible con:

En este documento, se explica cómo transferir registros de FileZilla a Google Security Operations con Bindplane. El código del analizador de Logstash extrae campos relevantes, como marcas de tiempo, nombres de host, IDs de usuario y descripciones de los registros del servidor FTP de FileZilla. Luego, estructura estos campos extraídos en un modelo de datos unificado (UDM) para un análisis y una correlación de seguridad coherentes.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
  • Acceso con privilegios a una instancia de FileZilla Server

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane en la instancia de FileZilla Server

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    filelog:
        # Adjust the path to the log file
        file_path: <PATH_TO>/filezilla-logs.log
        log_type: 'file'

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'FILEZILLA_FTP'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
              - filelog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura el registro en FileZilla

  1. Accede al servidor con FileZilla.
  2. Abre el software FileZilla.
  3. Ve a Editar > Configuración.
  4. Selecciona Logging en el menú.
  5. Proporciona los siguientes detalles de configuración:
    • Selecciona la casilla de verificación Mostrar marcas de tiempo en el cuadro de mensaje.
    • Selecciona la casilla de verificación Log to file.
    • Nombre de archivo: Ingresa un nombre de archivo y selecciona la ruta de almacenamiento (por ejemplo, filezilla-logs).
    • Opcional: Limitar el tamaño del archivo de registro: Selecciona esta casilla de verificación para limitar la cantidad de espacio que puede usar un archivo de registro.
    • Opcional: Límite: Aquí puedes ingresar un tamaño máximo de archivo para tu archivo de registro en megabytes.
  6. Haz clic en Aceptar.
  7. Reinicia FileZilla.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
datos read_only_udm.metadata.description Es el contenido del campo data del registro sin procesar.
datos read_only_udm.metadata.event_timestamp.seconds Se extrae del campo data con un patrón de Grok y se convierte a segundos de época.
datos read_only_udm.network.http.response_code Se extrae del campo data con un patrón de Grok.
datos read_only_udm.principal.hostname Se extrae del campo data con un patrón de Grok.
datos read_only_udm.principal.port Se extrae del campo data con un patrón de Grok.
datos read_only_udm.principal.user.userid Se extrae del campo data con un patrón de grok, solo si el valor no es not logged in.
datos read_only_udm.target.ip Se extrae del campo data con un patrón de Grok.
datos read_only_udm.target.process.pid Se extrae del campo data con un patrón de Grok.
read_only_udm.metadata.event_type Se establece en NETWORK_FTP si existe target.ip; de lo contrario, se establece en GENERIC_EVENT.
read_only_udm.metadata.log_type Se define en FILEZILLA_FTP.
read_only_udm.metadata.product_name Se define en FILEZILLA.
read_only_udm.metadata.vendor_name Se define en FILEZILLA.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.