Recopilar registros de Kaspersky AV

Disponible en:

En este documento se explica cómo ingerir registros de Kaspersky Antivirus en Google Security Operations mediante Bindplane. El código del analizador primero intenta analizar el mensaje de registro sin formato como JSON. Si no funciona, usa expresiones regulares (patrones grok) para extraer campos del mensaje en función de los formatos de registro comunes de Kaspersky AV.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o una versión posterior, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, los puertos del cortafuegos están abiertos
  • Acceso privilegiado a Kaspersky Antivirus

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

        receivers:
        udplog:
            # Replace the port and IP address as required
            listen_address: "0.0.0.0:514"

    exporters:
        chronicle/chronicle_w_labels:
            compression: gzip
            # Adjust the path to the credentials file you downloaded in Step 1
            creds: '/path/to/ingestion-authentication-file.json'
            # Replace with your actual customer ID from Step 2
            customer_id: <customer_id>
            endpoint: malachiteingestion-pa.googleapis.com
            # Add optional ingestion labels for better organization
            ingestion_labels:
                log_type: KASPERSKY_AV
                raw_log_field: body

    service:
        pipelines:
            logs/source0__chronicle_w_labels-0:
                receivers:
                    - udplog
                exporters:
                    - chronicle/chronicle_w_labels

  3. Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Sustituye <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta en la que se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar la exportación de eventos en Kaspersky AV

  1. Inicia sesión en la consola de Kaspersky Security Center.
  2. Seleccione el servidor de administración del que quiera exportar los eventos.
  3. En el espacio de trabajo Servidor de administración, haga clic en la pestaña Eventos.
  4. Haga clic en el enlace Configurar notificaciones y exportación de eventos.
  5. Selecciona Configurar exportación al sistema SIEM en la lista.
  6. Proporcione los siguientes detalles de configuración:
    • Sistema SIEM: selecciona Arcsight (formato CEF).
    • Dirección del servidor del sistema SIEM: introduce la dirección IP del agente de Bindplane.
    • Puerto del servidor del sistema SIEM: introduce el número de puerto del agente de Bindplane (por ejemplo, 514 para UDP).
    • Protocolo: selecciona UDP.
  7. Haz clic en Aceptar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
Aplicación network.http.user_agent Se asigna directamente desde el campo Application del registro sin procesar.
Ruta de la aplicación target.process.file.full_path Se usa con el campo Name para crear la ruta completa si Application path está presente en el registro sin procesar.
Componente target.resource.name Se asigna directamente desde el campo Component del registro sin procesar.
Categoría de contenido security_result.category_details Se añade al campo security_result.category_details si Content category está presente en el registro sin procesar.
Fuente de la categoría de contenido target.resource.type Si el valor contiene databases, el campo de UDM se define como DATABASE.
Erreur security_result.summary Se asigna directamente desde el campo Erreur del registro sin procesar si el campo summary está vacío.
et metadata.product_event_type Se asigna directamente desde el campo et del registro sin procesar si el campo product_event_type está vacío.
et security_result.category_details Se ha añadido al campo security_result.category_details.
etdn extensions.vulns.vulnerabilities.description Se asigna directamente desde el campo etdn del registro sin procesar.
Hash SHA256 del archivo target.process.file.sha256 Se asigna directamente desde el campo File SHA256 hash del registro sin procesar.
gn security_result.about.labels key se define como GN y value se define como el valor del campo gn.
hdn principal.hostname Se asigna directamente desde el campo hdn del registro sin procesar.
cadera principal.ip Se asigna directamente desde el campo hip del registro sin procesar.
host_name principal.hostname Se asigna directamente desde el campo host_name del registro sin procesar.
intermediary_host intermediary.hostname Se asigna directamente desde el campo intermediary_host del registro sin procesar.
intermediary_hostname intermediary.hostname Se asigna directamente desde el campo intermediary_hostname del registro sin procesar.
kv_data1 Este campo se analiza y sus valores se asignan a otros campos de UDM.
kv_data2 Este campo se analiza y sus valores se asignan a otros campos de UDM.
etiqueta network.http.user_agent Si el valor es User-Agent, el campo de UDM se rellena con el valor del campo description.
etiqueta principal.hostname Si el valor es Host, el campo de UDM se rellena con el nombre de host extraído del campo description.
etiqueta security_result.description En el caso de otros valores, el campo de UDM se rellena con una cadena que contiene los campos label y description.
MD5 target.process.file.md5 Se asigna directamente desde el campo MD5 del registro sin procesar después de convertirlo a minúsculas.
Hash MD5 del archivo target.process.file.md5 Se asigna directamente desde el campo MD5 file hash del registro sin procesar.
mensaje Este campo se analiza y sus valores se asignan a otros campos de UDM.
método network.http.method Se asigna directamente desde el campo method del registro sin procesar si coincide con una lista de métodos HTTP.
name target.file.full_path Se asigna directamente desde el campo name del registro sin procesar.
Nom target.process.file.full_path Se usa con el campo application_path para crear la ruta completa.
p1 target.process.file.sha256 Se asigna directamente desde el campo p1 del registro sin procesar después de convertirlo a minúsculas si el campo SHA256 está vacío y el valor es una cadena hexadecimal.
p2 target.process.file.full_path Se asigna directamente desde el campo p2 del registro sin procesar.
p5 security_result.rule_name Se asigna directamente desde el campo p5 del registro sin procesar.
p7 principal.user.user_display_name Se asigna directamente desde el campo p7 del registro sin procesar si los campos User y user_name están vacíos.
ID de proceso principal.process.pid Se asigna directamente desde el campo Process ID del registro sin procesar.
process_id target.process.pid Se asigna directamente desde el campo process_id del registro sin procesar.
protocolo network.application_protocol Si el valor contiene http (sin distinguir entre mayúsculas y minúsculas), el campo UDM se define como HTTP.
Motivo security_result.summary Se asigna directamente desde el campo Reason del registro sin procesar.
Página web solicitada target.url Se asigna directamente desde el campo Requested web page del registro sin procesar.
Resultado Si el valor es Allowed, el campo sr_action se define como ALLOW.
rtid security_result.about.labels key se define como rtid y value se define como el valor del campo rtid.
Regla security_result.description Se asigna directamente desde el campo Rule del registro sin procesar.
SHA256 target.process.file.sha256 Se asigna directamente desde el campo SHA256 del registro sin procesar después de convertirlo a minúsculas.
sr_action security_result.action Se ha combinado en el campo security_result.action.
resumen security_result.summary Se asigna directamente desde el campo summary del registro sin procesar.
task_name security_result.about.labels key se define como TaskName y value se define como el valor del campo task_name.
threat_action_taken Si el valor es blocked, el campo security_action se define como BLOCK. Si el valor es allowed, el campo security_action se define como ALLOW.
timestamp metadata.event_timestamp Se usa para rellenar la marca de tiempo del evento.
Tipo security_result.threat_name Se asigna directamente desde el campo Type del registro sin procesar.
URL network.http.referral_url Se asigna directamente desde el campo url del registro sin procesar.
Usuario principal.user.user_display_name El nombre de usuario se extrae de este campo y se asigna al campo de UDM.
Usuario principal.administrative_domain El dominio se extrae de este campo y se asigna al campo de UDM.
user_name principal.user.user_display_name Se asigna directamente desde el campo user_name del registro sin procesar si el campo User está vacío.
metadata.event_type Asigna el valor SCAN_VULN_NETWORK si se incluyen Application path y Name, STATUS_UNCATEGORIZED si se incluyen hdn o host_name, o GENERIC_EVENT en el resto de los casos.
metadata.vendor_name Siempre debe tener el valor KASPERSKY.
metadata.product_name Siempre debe tener el valor KASPERSKY_AV.
metadata.log_type Siempre debe tener el valor KASPERSKY_AV.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.