Recopilar registros de LimaCharlie EDR

En este documento se explica cómo ingerir los registros de EDR de LimaCharlie en Google Security Operations mediante Google Cloud Storage. El analizador extrae eventos de registros con formato JSON, normaliza los campos en UDM y gestiona eventos de nivel superior y anidados. Analiza específicamente varios tipos de eventos, como solicitudes de DNS, creación de procesos, modificaciones de archivos, conexiones de red y cambios en el registro, asignando los campos relevantes a sus equivalentes del modelo de datos unificado (UDM) y enriqueciendo los datos con el contexto específico de LimaCharlie.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Instancia de Google SecOps
• Acceso privilegiado a Google Cloud
• Acceso privilegiado a LimaCharlie

Crea un Google Cloud segmento de almacenamiento

1. Inicia sesión en la Google Cloud consola.

2. Ve a la página Segmentos de Cloud Storage.

   Ir a Contenedores

3. Haz clic en Crear.

4. En la página Crear un segmento, introduce la información del segmento. Después de cada uno de los pasos siguientes, haga clic en Continuar para pasar al siguiente:

   1. En la sección Empezar, haz lo siguiente:

      • Introduce un nombre único que cumpla los requisitos de nombres de segmentos (por ejemplo, cloudrun-logs).
      • Para habilitar el espacio de nombres jerárquico, haz clic en la flecha para desplegar la sección Optimizar para cargas de trabajo orientadas a archivos y con gran cantidad de datos y, a continuación, selecciona Habilitar espacio de nombres jerárquico en este bucket.
      • Para añadir una etiqueta de contenedor, haz clic en la flecha para desplegar la sección Etiquetas.
      • Haga clic en Añadir etiqueta y especifique una clave y un valor para la etiqueta.

   2. En la sección Elige dónde quieres almacenar los datos, haz lo siguiente:

      • Selecciona un Tipo de ubicación.
      • Usa el menú del tipo de ubicación para seleccionar una Ubicación donde se almacenarán de forma permanente los datos de los objetos de tu segmento.
      • Para configurar la replicación entre contenedores, despliega la sección Configurar la replicación entre contenedores.

   3. En la sección Elige una clase de almacenamiento para tus datos, selecciona una clase de almacenamiento predeterminada para el segmento o Autoclass para gestionar automáticamente la clase de almacenamiento de los datos del segmento.

   4. En la sección Elige cómo quieres controlar el acceso a los objetos, selecciona no para aplicar la prevención del acceso público y elige un modelo de control de acceso para los objetos del segmento.

   1. En la sección Elige cómo proteger los datos de los objetos, haz lo siguiente:
      • Selecciona cualquiera de las opciones de Protección de datos que quieras configurar para tu contenedor.
      • Para elegir cómo se cifrarán los datos de los objetos, haz clic en la flecha del desplegable Cifrado de datos y, a continuación, selecciona un Método de cifrado de datos.

5. Haz clic en Crear.

Configurar la exportación de registros en LimaCharlie EDR

1. Inicia sesión en el portal de LimaCharlie.
2. En el menú de la izquierda, selecciona Salidas.
3. Haz clic en Añadir salida.
4. Elegir flujo de salida: selecciona Eventos.
5. Elige el destino de salida: selecciona Google Cloud Storage.
6. Proporcione los siguientes detalles de configuración:
   • Segmento: ruta al segmento de Google Cloud Storage.
   • Clave secreta: clave JSON secreta que identifica una cuenta de servicio.
   • Segundos por archivo: número de segundos después de los cuales se corta y se sube un archivo.
   • Compresión: asigna el valor False.
   • Indexación: se ha definido como False.
   • Dir prefijo del directorio en el que se generarán los archivos en el host remoto.
7. Haz clic en Guardar salida.

Configurar feeds

Para configurar un feed, sigue estos pasos:

1. Ve a Configuración de SIEM > Feeds.
2. Haz clic en Añadir feed.
3. En la página siguiente, haga clic en Configurar un solo feed.
4. En el campo Nombre del feed, introduce un nombre para el feed (por ejemplo, Registros de EDR de Limacharlie).
5. Selecciona Google Cloud Storage V2 como Tipo de origen.
6. Seleccione LimaCharlie como Tipo de registro.
7. Haz clic en Obtener cuenta de servicio en Cuenta de servicio de Chronicle.
8. Haz clic en Siguiente.

9. Especifique los valores de los siguientes parámetros de entrada:

   • URI del segmento de almacenamiento: URL del segmento de Google Cloud Storage en formato gs://my-bucket/<value>/. Esta URL debe terminar con una barra inclinada (/).
   • Opciones de eliminación de la fuente: selecciona la opción de eliminación que prefieras.

10. Haz clic en Siguiente.

11. Revise la configuración de la nueva fuente en la pantalla Finalizar y, a continuación, haga clic en Enviar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.