Raccogliere i log di ManageEngine AD360

Supportato in:

Questo documento spiega come importare i log di ManageEngine AD360 in Google Security Operations utilizzando Bindplane. Il parser pulisce e prepara innanzitutto i dati di log in entrata, quindi utilizza una serie di pattern grok per estrarre i campi pertinenti in base a tipi di eventi e formati di messaggi specifici. Dopo l'estrazione, il codice mappa i campi estratti nel modello Unified Data Model (UDM), gestisce trasformazioni specifiche dei dati e li arricchisce con un contesto aggiuntivo come la geolocalizzazione e la gravità della sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive oppure un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
  • Accesso con privilegi a ManageEngine AD360

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.
  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
    

Installazione di Linux

  1. Apri un terminale con privilegi di root o sudo.
  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
    

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).
  2. Modifica il file config.yaml come segue:

    receivers:
        udplog:
            # Replace the port and IP address as required
            listen_address: "0.0.0.0:514"
    
    exporters:
        chronicle/chronicle_w_labels:
            compression: gzip
            # Adjust the path to the credentials file you downloaded in Step 1
            creds_file_path: '/path/to/ingestion-authentication-file.json'
            # Replace with your actual customer ID from Step 2
            customer_id: <customer_id>
            endpoint: malachiteingestion-pa.googleapis.com
            # Add optional ingestion labels for better organization
            ingestion_labels:
                log_type: 'MANAGE_ENGINE_AD360'
                raw_log_field: body
    
    service:
        pipelines:
            logs/source0__chronicle_w_labels-0:
                receivers:
                    - udplog
                exporters:
                    - chronicle/chronicle_w_labels
    

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent
    
  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent
    

Configurare l'esportazione Syslog di ManageEngine AD360

  1. Accedi all'UI web di AD360.
  2. Vai ad Amministrazione > Amministrazione > Integrazione SIEM.
  3. Fai clic sul link Configura ora accanto al componente ADSelfService.
  4. Fornisci i seguenti dettagli di configurazione:
    • Tipo di server: seleziona Syslog.
    • Nome/IP del server: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane.
    • Protocollo: seleziona UDP.
    • Standard Syslog: seleziona RFC5 424.
    • Fai clic sull'elenco Avanzate.
    • Gravità: seleziona Informativa.
  5. Fai clic su Configura per salvare.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
AccessControlRuleName security_result.rule_name Valore estratto dal campo AccessControlRuleName, se esistente, altrimenti dal campo rule_name
ACPolicy security_result.rule_labels.value Valore estratto dal campo ACPolicy
azione security_result.action_details Mappato direttamente a UDM
action_id security_result.detection_fields.value Valore estratto dal campo action_id
application_protocol network.application_protocol Mappato direttamente a UDM
byte network.sent_bytes Mappato direttamente a UDM
client_ip principal.ip Mappato direttamente a UDM
ConnectionID network.session_id Valore estratto dal campo connection_id se esiste, altrimenti dal campo ConnectionID, altrimenti dal campo ses
destination_ip target.ip Mappato direttamente a UDM
destination_port target.port Mappato direttamente a UDM
DeviceUUID target.asset_id Valore estratto dal campo DeviceUUID, se esistente, altrimenti dal campo distinguished_name_device_id
distinguished_name_device_id target.asset_id Valore estratto dal campo DeviceUUID, se esistente, altrimenti dal campo distinguished_name_device_id
distinguished_name_user target.user.userid Mappato direttamente a UDM
DST target.ip Valore estratto dal campo DST, se esistente, altrimenti dal campo DstIP
DPT target.port Valore estratto dal campo DPT se esiste, altrimenti dal campo DstPort, altrimenti dal campo destination_port
DstIP target.ip Valore estratto dal campo DST, se esistente, altrimenti dal campo DstIP
DstPort target.port Valore estratto dal campo DPT se esiste, altrimenti dal campo DstPort, altrimenti dal campo destination_port
EgressInterface additional.fields.value.string_value Mappato direttamente a UDM
EgressZone target.location.name Mappato direttamente a UDM
EventPriority security_result.severity Mappato a diversi livelli di gravità in base al valore del campo EventPriority.
exe principal.process.command_line Mappato direttamente a UDM
geoip.city_name principal.location.city Mappato direttamente a UDM
geoip.country_name principal.location.country_or_region Mappato direttamente a UDM
geoip.latitude principal.location.region_latitude Mappato direttamente a UDM
geoip.longitude principal.location.region_longitude Mappato direttamente a UDM
http_status network.http.response_code Mappato direttamente a UDM
ID metadata.product_log_id Mappato direttamente a UDM
IngressInterface additional.fields.value.string_value Mappato direttamente a UDM
IngressZone principal.location.name Mappato direttamente a UDM
LEN additional.fields.value.string_value Mappato direttamente a UDM
message_number Non mappato
NAPPolicy security_result.rule_labels.value Valore estratto dal campo NAPPolicy
network_direction network.direction Mappato direttamente a UDM
OUT additional.fields.value.string_value Mappato direttamente a UDM
pid target.process.pid Mappato direttamente a UDM
ppid target.process.parent_process.pid Mappato direttamente a UDM
PREC additional.fields.value.string_value Mappato direttamente a UDM
principal_hostname principal.hostname Mappato direttamente a UDM
product_event_type metadata.product_event_type Mappato direttamente a UDM
protocollo network.ip_protocol Utilizzato per compilare il campo PROTO e poi mappato all'UDM utilizzando una tabella di ricerca.
PROTO network.ip_protocol Mappato a UDM utilizzando una tabella di ricerca basata sul numero di protocollo.
request_method network.http.method Mappato direttamente a UDM
rule_name security_result.rule_name Valore estratto dal campo AccessControlRuleName, se esistente, altrimenti dal campo rule_name
ses network.session_id Valore estratto dal campo connection_id se esiste, altrimenti dal campo ConnectionID, altrimenti dal campo ses
source_ip principal.ip Mappato direttamente a UDM
source_port principal.port Mappato direttamente a UDM
SPT principal.port Valore estratto dal campo SPT se esiste, altrimenti dal campo SrcPort, altrimenti dal campo source_port
SRC principal.ip Valore estratto dal campo SRC se esiste, altrimenti dal campo SrcIP, altrimenti dal campo client_ip
SrcIP principal.ip Valore estratto dal campo SRC se esiste, altrimenti dal campo SrcIP, altrimenti dal campo client_ip
SrcPort principal.port Valore estratto dal campo SPT se esiste, altrimenti dal campo SrcPort, altrimenti dal campo source_port
timestamp metadata.event_timestamp Mappato direttamente a UDM
TOS additional.fields.value.string_value Mappato direttamente a UDM
TTL additional.fields.value.string_value Mappato direttamente a UDM
URL target.url Mappato direttamente a UDM
user_agent network.http.user_agent Mappato direttamente a UDM
WINDOW additional.fields.value.string_value Mappato direttamente a UDM
metadata.vendor_name Il valore è hardcoded su MANAGE_ENGINE_AD360
metadata.product_name Il valore è hardcoded su MANAGE_ENGINE_AD360
metadata.log_type Il valore è hardcoded su MANAGE_ENGINE_AD360
metadata.event_type Il valore è impostato su NETWORK_CONNECTION se sono presenti entrambi i campi SRC e DST, altrimenti è impostato su STATUS_UPDATE se è presente SRC o principal_hostname. Se nessuna di queste condizioni viene soddisfatta, il valore predefinito è GENERIC_EVENT.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.