Recopila registros de ManageEngine AD360

Compatible con:

En este documento, se explica cómo puedes transferir registros de ManageEngine AD360 a Google Security Operations con Bindplane. Primero, el analizador limpia y prepara los datos de registro entrantes y, luego, usa una serie de patrones grok para extraer los campos pertinentes según los tipos de eventos y los formatos de mensajes específicos. Después de la extracción, el código asigna los campos extraídos al modelo de datos unificado (UDM), controla transformaciones de datos específicas y enriquece los datos con contexto adicional, como la ubicación geográfica y la gravedad de la seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
  • Acceso privilegiado a ManageEngine AD360

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'MANAGE_ENGINE_AD360'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura la exportación de Syslog de ManageEngine AD360

  1. Accede a la IU web de AD360.
  2. Ve a Admin > Administration > SIEM Integration.
  3. Haz clic en el vínculo Configurar ahora junto al componente ADSelfService.
  4. Proporciona los siguientes detalles de configuración:
    • Tipo de servidor: Selecciona Syslog.
    • Nombre/IP del servidor: Ingresa la dirección IP del agente de Bindplane.
    • Puerto: Ingresa el número de puerto del agente de Bindplane.
    • Protocolo: Selecciona UDP.
    • Syslog Standard: Selecciona RFC5 424.
    • Haz clic en la lista Avanzado.
    • Gravedad: Selecciona Informativa.
  5. Haz clic en Configurar para guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
AccessControlRuleName security_result.rule_name Valor tomado del campo AccessControlRuleName si existe; de lo contrario, se toma del campo rule_name
ACPolicy security_result.rule_labels.value Valor tomado del campo ACPolicy
acción security_result.action_details Se asignan directamente al UDM
action_id security_result.detection_fields.value Valor tomado del campo action_id
application_protocol network.application_protocol Se asignan directamente al UDM
bytes network.sent_bytes Se asignan directamente al UDM
client_ip principal.ip Se asignan directamente al UDM
ConnectionID network.session_id Valor tomado del campo connection_id si existe, de lo contrario, del campo ConnectionID y, si no, del campo ses
destination_ip target.ip Se asignan directamente al UDM
destination_port target.port Se asignan directamente al UDM
DeviceUUID target.asset_id Valor tomado del campo DeviceUUID si existe; de lo contrario, se toma del campo distinguished_name_device_id
distinguished_name_device_id target.asset_id Valor tomado del campo DeviceUUID si existe; de lo contrario, se toma del campo distinguished_name_device_id
distinguished_name_user target.user.userid Se asignan directamente al UDM
DST target.ip Valor tomado del campo DST si existe; de lo contrario, se toma del campo DstIP
DPT target.port Valor tomado del campo DPT si existe, de lo contrario, del campo DstPort y, si no, del campo destination_port
DstIP target.ip Valor tomado del campo DST si existe; de lo contrario, se toma del campo DstIP
DstPort target.port Valor tomado del campo DPT si existe, de lo contrario, del campo DstPort y, si no, del campo destination_port
EgressInterface additional.fields.value.string_value Se asignan directamente al UDM
EgressZone target.location.name Se asignan directamente al UDM
EventPriority security_result.severity Se asigna a diferentes niveles de gravedad según el valor del campo EventPriority.
exe principal.process.command_line Se asignan directamente al UDM
geoip.city_name principal.location.city Se asignan directamente al UDM
geoip.country_name principal.location.country_or_region Se asignan directamente al UDM
geoip.latitude principal.location.region_latitude Se asignan directamente al UDM
geoip.longitude principal.location.region_longitude Se asignan directamente al UDM
http_status network.http.response_code Se asignan directamente al UDM
id metadata.product_log_id Se asignan directamente al UDM
IngressInterface additional.fields.value.string_value Se asignan directamente al UDM
IngressZone principal.location.name Se asignan directamente al UDM
LEN additional.fields.value.string_value Se asignan directamente al UDM
message_number Sin asignar
NAPPolicy security_result.rule_labels.value Valor tomado del campo NAPPolicy
network_direction network.direction Se asignan directamente al UDM
OCT additional.fields.value.string_value Se asignan directamente al UDM
pid target.process.pid Se asignan directamente al UDM
ppid target.process.parent_process.pid Se asignan directamente al UDM
PREC additional.fields.value.string_value Se asignan directamente al UDM
principal_hostname principal.hostname Se asignan directamente al UDM
product_event_type metadata.product_event_type Se asignan directamente al UDM
protocolo network.ip_protocol Se usa para completar el campo PROTO y, luego, se asigna al UDM con una tabla de búsqueda.
PROTO network.ip_protocol Se asigna al UDM con una tabla de búsqueda basada en el número de protocolo.
request_method network.http.method Se asignan directamente al UDM
rule_name security_result.rule_name Valor tomado del campo AccessControlRuleName si existe; de lo contrario, se toma del campo rule_name
ses network.session_id Valor tomado del campo connection_id si existe, de lo contrario, del campo ConnectionID y, si no, del campo ses
source_ip principal.ip Se asignan directamente al UDM
source_port principal.port Se asignan directamente al UDM
SPT principal.port Valor tomado del campo SPT si existe, de lo contrario, del campo SrcPort y, si no, del campo source_port
SRC principal.ip Valor tomado del campo SRC si existe, de lo contrario, del campo SrcIP y, si no, del campo client_ip
SrcIP principal.ip Valor tomado del campo SRC si existe, de lo contrario, del campo SrcIP y, si no, del campo client_ip
SrcPort principal.port Valor tomado del campo SPT si existe, de lo contrario, del campo SrcPort y, si no, del campo source_port
timestamp metadata.event_timestamp Se asignan directamente al UDM
TOS additional.fields.value.string_value Se asignan directamente al UDM
TTL additional.fields.value.string_value Se asignan directamente al UDM
URL target.url Se asignan directamente al UDM
user_agent network.http.user_agent Se asignan directamente al UDM
WINDOW additional.fields.value.string_value Se asignan directamente al UDM
metadata.vendor_name El valor está codificado como MANAGE_ENGINE_AD360.
metadata.product_name El valor está codificado como MANAGE_ENGINE_AD360.
metadata.log_type El valor está codificado como MANAGE_ENGINE_AD360.
metadata.event_type El valor se establece en NETWORK_CONNECTION si están presentes los campos SRC y DST; de lo contrario, se establece en STATUS_UPDATE si está presente SRC o principal_hostname. Si no se cumple ninguna de estas condiciones, se aplicará el valor predeterminado GENERIC_EVENT.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.