Coletar registros do HPE BladeSystem c7000

Compatível com:

Este documento explica como ingerir registros do HPE BladeSystem C7000 no Google Security Operations usando o Bindplane. O código do analisador extrai campos de mensagens syslog do HPE BladeSystem c7000 usando expressões regulares e os mapeia para um modelo de dados unificado (UDM, na sigla em inglês), enriquecendo os dados com contexto adicional, como níveis de gravidade e rótulos descritivos. Ele processa várias estruturas de mensagens de registro, fornecendo uma representação consistente para monitoramento e análise de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Instância do Google SecOps
  • Windows 2016 ou mais recente ou um host Linux com systemd
  • Se estiver executando por trás de um proxy, as portas do firewall estarão abertas.
  • Acesso privilegiado ao HPE Grid Manager

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de Comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:
    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'HPE_BLADESYSTEM_C7000'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
    • Substitua <customer_id> pelo ID do cliente real.
    • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

  1. Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  2. Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar o Syslog diretamente no HPE BladeSystem

  1. Faça login na interface do BladeSystem.
  2. Acesse Configuração > Registro do sistema.
  3. Clique na guia Opções de registro.
  4. Marque a caixa de seleção Ativar geração de registros do sistema remoto.
  5. Informe os seguintes detalhes de configuração:
    • Endereço do servidor Syslog: insira o endereço IP do agente do Bindplane.
    • Porta: insira o número da porta do agente Bindplane (a porta padrão é 514).
    • Protocolo: o protocolo é sempre UDP.
  6. Clique em Testar registro remoto e verifique se os registros foram recebidos.
  7. Clique em Aplicar para salvar.

Configurar o Syslog no software StorageGRID

É possível configurar os níveis de mensagens de auditoria no StorageGRID e configurar servidores Syslog externos para encaminhar essas mensagens.

Configurar níveis de mensagens de auditoria do StorageGRID

  1. Faça login na UI da Web do GRID Manage.
  2. Acesse Configuração > Monitoramento > Servidor de auditoria e syslog.
  3. Para cada categoria de mensagem de auditoria, selecione o nível Normal na lista.
  4. Clique em Salvar.

Configurar o servidor syslog externo do StorageGRID

  1. Na página Servidor de auditoria e syslog, clique em Configurar servidor syslog externo.
  2. Informe os seguintes detalhes de configuração:
    • Insira as informações do syslog: digite o endereço IP do agente do Bindplane.
    • Insira o número da porta do agente Bindplane (a porta padrão é 514).
    • Selecione o protocolo UDP ou TCP, dependendo da configuração do agente do Bindplane.
  3. Clique em Continuar.

Configurar eventos do Syslog

  1. Na etapa Gerenciar conteúdo do syslog do assistente, selecione cada tipo de informação de auditoria que você quer enviar para o servidor syslog externo.
    • Enviar registros de auditoria
    • Enviar eventos de segurança
    • Enviar registros de aplicativos
    • Enviar registros de acesso
  2. Em Gravidade, selecione Passagem ou 7 (Informativa).
  3. Em Instalação, selecione Passagem.
  4. Clique em Continuar.

Tabela de mapeamento da UDM

Campo de registro Mapeamento do UDM Lógica
comando principal.process.command_line Mapeado diretamente do campo de registro bruto "command".
componente metadata.product_event_type Mapeado diretamente do campo de registro bruto "component".
component_name additional.fields[0].value.string_value Mapeado diretamente do campo de registro bruto "component_name".
description security_result.description Mapeado diretamente do campo de registro bruto "description" após a análise grok opcional.
description security_result.detection_fields[0].value Extraído do campo "description" usando um padrão grok. Representa o estado atual.
description security_result.detection_fields[1].value Extraído do campo "description" usando um padrão grok. Representa o estado anterior.
description security_result.detection_fields[2].value Extraído do campo "description" usando um padrão grok. Representa a causa da mudança de estado.
event_timestamp metadata.event_timestamp Mapeado diretamente do campo de registro bruto "event_timestamp" após a análise da data.
nome do host principal.hostname Mapeado diretamente do campo de registro bruto "hostname".
nome do host principal.asset.hostname Copiado do campo mapeado "principal.hostname".
internal_code additional.fields[1].value.string_value Mapeado diretamente do campo de registro bruto "internal_code".
priority_id additional.fields[2].value.string_value Mapeado diretamente do campo de registro bruto "priority_id".
additional.fields[0].key Valor estático: "Nome do componente".
additional.fields[1].key Valor estático: "Internal Code".
additional.fields[2].key Valor estático: "Priority Id".
metadata.event_type Definido como "STATUS_UPDATE" se "principal.hostname" for extraído com sucesso. Caso contrário, definido como "GENERIC_EVENT".
metadata.vendor_name Valor estático: "HP".
metadata.product_name Valor estático: "HPE BladeSystem c7000".
metadata.log_type Valor estático: "HPE_BLADESYSTEM_C7000".
security_result.severity Mapeado do campo "gravidade" com base na seguinte lógica:
- "Crítica" -> "CRITICAL"
- "Grave" -> "HIGH"
- "Aviso" -> "MEDIUM"
- "Info", "Leve" -> "LOW"
- Padrão -> "UNKNOWN_SEVERITY"
security_result.detection_fields[0].key Valor estático: "Estado atual".
security_result.detection_fields[1].key Valor estático: "Estado anterior".
security_result.detection_fields[2].key Valor estático: "Cause".

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.