Raccogliere i log di ManageEngine AD360
Questo documento spiega come importare i log di ManageEngine AD360 in
Google Security Operations utilizzando Bindplane. Il parser pulisce e prepara innanzitutto
i dati di log in entrata, quindi utilizza una serie di pattern grok
per estrarre
i campi pertinenti in base a tipi di eventi e formati di messaggi specifici. Dopo
l'estrazione, il codice mappa i campi estratti nel modello Unified Data Model (UDM),
gestisce trasformazioni specifiche dei dati e li arricchisce con un contesto aggiuntivo
come la geolocalizzazione e la gravità della sicurezza.
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
- Istanza Google SecOps
- Windows 2016 o versioni successive oppure un host Linux con
systemd
- Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
- Accesso con privilegi a ManageEngine AD360
Recuperare il file di autenticazione importazione di Google SecOps
- Accedi alla console Google SecOps.
- Vai a Impostazioni SIEM > Agenti di raccolta.
- Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.
Recuperare l'ID cliente Google SecOps
- Accedi alla console Google SecOps.
- Vai a Impostazioni SIEM > Profilo.
- Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.
Installa l'agente Bindplane
Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.
Installazione di Windows
- Apri il prompt dei comandi o PowerShell come amministratore.
Esegui questo comando:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Installazione di Linux
- Apri un terminale con privilegi di root o sudo.
Esegui questo comando:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
Risorse aggiuntive per l'installazione
Per ulteriori opzioni di installazione, consulta la guida all'installazione.
Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps
- Accedi al file di configurazione:
- Individua il file
config.yaml
. In genere, si trova nella directory/etc/bindplane-agent/
su Linux o nella directory di installazione su Windows. - Apri il file utilizzando un editor di testo (ad esempio
nano
,vi
o Blocco note).
- Individua il file
Modifica il file
config.yaml
come segue:receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds_file_path: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: 'MANAGE_ENGINE_AD360' raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
- Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
- Sostituisci
<customer_id>
con l'ID cliente effettivo. - Aggiorna
/path/to/ingestion-authentication-file.json
al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.
Riavvia l'agente Bindplane per applicare le modifiche
Per riavviare l'agente Bindplane in Linux, esegui questo comando:
sudo systemctl restart bindplane-agent
Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:
net stop BindPlaneAgent && net start BindPlaneAgent
Configurare l'esportazione Syslog di ManageEngine AD360
- Accedi all'UI web di AD360.
- Vai ad Amministrazione > Amministrazione > Integrazione SIEM.
- Fai clic sul link Configura ora accanto al componente ADSelfService.
- Fornisci i seguenti dettagli di configurazione:
- Tipo di server: seleziona Syslog.
- Nome/IP del server: inserisci l'indirizzo IP dell'agente Bindplane.
- Porta: inserisci il numero di porta dell'agente Bindplane.
- Protocollo: seleziona UDP.
- Standard Syslog: seleziona RFC5 424.
- Fai clic sull'elenco Avanzate.
- Gravità: seleziona Informativa.
- Fai clic su Configura per salvare.
Tabella di mappatura UDM
Campo log | Mappatura UDM | Logic |
---|---|---|
AccessControlRuleName | security_result.rule_name | Valore estratto dal campo AccessControlRuleName , se esistente, altrimenti dal campo rule_name |
ACPolicy | security_result.rule_labels.value | Valore estratto dal campo ACPolicy |
azione | security_result.action_details | Mappato direttamente a UDM |
action_id | security_result.detection_fields.value | Valore estratto dal campo action_id |
application_protocol | network.application_protocol | Mappato direttamente a UDM |
byte | network.sent_bytes | Mappato direttamente a UDM |
client_ip | principal.ip | Mappato direttamente a UDM |
ConnectionID | network.session_id | Valore estratto dal campo connection_id se esiste, altrimenti dal campo ConnectionID , altrimenti dal campo ses |
destination_ip | target.ip | Mappato direttamente a UDM |
destination_port | target.port | Mappato direttamente a UDM |
DeviceUUID | target.asset_id | Valore estratto dal campo DeviceUUID , se esistente, altrimenti dal campo distinguished_name_device_id |
distinguished_name_device_id | target.asset_id | Valore estratto dal campo DeviceUUID , se esistente, altrimenti dal campo distinguished_name_device_id |
distinguished_name_user | target.user.userid | Mappato direttamente a UDM |
DST | target.ip | Valore estratto dal campo DST , se esistente, altrimenti dal campo DstIP |
DPT | target.port | Valore estratto dal campo DPT se esiste, altrimenti dal campo DstPort , altrimenti dal campo destination_port |
DstIP | target.ip | Valore estratto dal campo DST , se esistente, altrimenti dal campo DstIP |
DstPort | target.port | Valore estratto dal campo DPT se esiste, altrimenti dal campo DstPort , altrimenti dal campo destination_port |
EgressInterface | additional.fields.value.string_value | Mappato direttamente a UDM |
EgressZone | target.location.name | Mappato direttamente a UDM |
EventPriority | security_result.severity | Mappato a diversi livelli di gravità in base al valore del campo EventPriority . |
exe | principal.process.command_line | Mappato direttamente a UDM |
geoip.city_name | principal.location.city | Mappato direttamente a UDM |
geoip.country_name | principal.location.country_or_region | Mappato direttamente a UDM |
geoip.latitude | principal.location.region_latitude | Mappato direttamente a UDM |
geoip.longitude | principal.location.region_longitude | Mappato direttamente a UDM |
http_status | network.http.response_code | Mappato direttamente a UDM |
ID | metadata.product_log_id | Mappato direttamente a UDM |
IngressInterface | additional.fields.value.string_value | Mappato direttamente a UDM |
IngressZone | principal.location.name | Mappato direttamente a UDM |
LEN | additional.fields.value.string_value | Mappato direttamente a UDM |
message_number | Non mappato | |
NAPPolicy | security_result.rule_labels.value | Valore estratto dal campo NAPPolicy |
network_direction | network.direction | Mappato direttamente a UDM |
OUT | additional.fields.value.string_value | Mappato direttamente a UDM |
pid | target.process.pid | Mappato direttamente a UDM |
ppid | target.process.parent_process.pid | Mappato direttamente a UDM |
PREC | additional.fields.value.string_value | Mappato direttamente a UDM |
principal_hostname | principal.hostname | Mappato direttamente a UDM |
product_event_type | metadata.product_event_type | Mappato direttamente a UDM |
protocollo | network.ip_protocol | Utilizzato per compilare il campo PROTO e poi mappato all'UDM utilizzando una tabella di ricerca. |
PROTO | network.ip_protocol | Mappato a UDM utilizzando una tabella di ricerca basata sul numero di protocollo. |
request_method | network.http.method | Mappato direttamente a UDM |
rule_name | security_result.rule_name | Valore estratto dal campo AccessControlRuleName , se esistente, altrimenti dal campo rule_name |
ses | network.session_id | Valore estratto dal campo connection_id se esiste, altrimenti dal campo ConnectionID , altrimenti dal campo ses |
source_ip | principal.ip | Mappato direttamente a UDM |
source_port | principal.port | Mappato direttamente a UDM |
SPT | principal.port | Valore estratto dal campo SPT se esiste, altrimenti dal campo SrcPort , altrimenti dal campo source_port |
SRC | principal.ip | Valore estratto dal campo SRC se esiste, altrimenti dal campo SrcIP , altrimenti dal campo client_ip |
SrcIP | principal.ip | Valore estratto dal campo SRC se esiste, altrimenti dal campo SrcIP , altrimenti dal campo client_ip |
SrcPort | principal.port | Valore estratto dal campo SPT se esiste, altrimenti dal campo SrcPort , altrimenti dal campo source_port |
timestamp | metadata.event_timestamp | Mappato direttamente a UDM |
TOS | additional.fields.value.string_value | Mappato direttamente a UDM |
TTL | additional.fields.value.string_value | Mappato direttamente a UDM |
URL | target.url | Mappato direttamente a UDM |
user_agent | network.http.user_agent | Mappato direttamente a UDM |
WINDOW | additional.fields.value.string_value | Mappato direttamente a UDM |
metadata.vendor_name | Il valore è hardcoded su MANAGE_ENGINE_AD360 |
|
metadata.product_name | Il valore è hardcoded su MANAGE_ENGINE_AD360 |
|
metadata.log_type | Il valore è hardcoded su MANAGE_ENGINE_AD360 |
|
metadata.event_type | Il valore è impostato su NETWORK_CONNECTION se sono presenti entrambi i campi SRC e DST , altrimenti è impostato su STATUS_UPDATE se è presente SRC o principal_hostname . Se nessuna di queste condizioni viene soddisfatta, il valore predefinito è GENERIC_EVENT . |
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.