Recopila registros de la plataforma de servicios de archivos de Nasuni

Compatible con:

En este documento, se explica cómo transferir registros de la plataforma de servicios de archivos de Nasuni a Google Security Operations con un agente de Bindplane. El analizador extrae campos de los registros de SYSLOG y JSON. Utiliza patrones de Grok para analizar el mensaje inicial y, luego, aprovecha un filtro JSON para los datos JSON incorporados, asigna los campos extraídos al UDM, controla varios tipos de eventos, como lecturas de archivos, modificaciones y eventos genéricos, y enriquece los datos con información del proveedor y del producto. También realiza una lógica condicional basada en los campos extraídos para categorizar eventos y completar los metadatos del UDM.

Antes de comenzar

  • Asegúrate de tener una instancia de Google SecOps.
  • Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
  • Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
  • Asegúrate de tener acceso con privilegios a Claroty CTD.

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    1. Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: NASUNI_FILE_SERVICES
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Reemplaza <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Cómo obtener el archivo de autenticación de la transferencia de datos de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog en la plataforma de Nasuni File Service

  1. Accede a la IU web de Nasuni Console.
  2. Ve a Configuración de la consola > Exportaciones de Syslog.
  3. Ingresa los siguientes detalles de configuración en la sección Red:
    • Nombre de host: Ingresa un nombre único y significativo (por ejemplo, syslog de Google SecOps).
    • Dirección IP: Ingresa la dirección IP de Bindplane.
    • Puerto: Ingresa el número de puerto de configuración de BindPlane (por ejemplo, 514 para UDP).
    • Protocolo: Selecciona UDP (también puedes seleccionar TCP, según la configuración de Bindplane).
    • Formato: Selecciona SYSLOG+JSON.
  4. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
application target.application Se completa cuando el campo msg existe y no es JSON, y el campo application no está vacío.
event_type metadata.product_event_type Se asigna directamente desde el campo event_type en el registro sin procesar.
gid target.group.product_object_id Se asigna directamente desde el campo gid en el registro sin procesar y se convierte en una cadena.
groupname target.group.group_display_name Se asigna directamente desde el campo groupname en el registro sin procesar.
host principal.hostname Se asigna directamente desde el campo host en el registro sin procesar.
ipaddr principal.ip Se asigna directamente desde el campo ipaddr en el registro sin procesar.
is_dir additional.fields.value.string_value (donde la clave es is_dir) Se asigna directamente desde el campo is_dir en el registro sin procesar y se convierte en una cadena. Se agregó como un campo adicional.
msg metadata.description Se completa cuando existe el campo msg, no es JSON y no se extraen ipaddr ni prin_port de él. También se usa para los eventos STATUS_UPDATE.
newpath additional.fields.value.string_value (donde la clave es newpath) Se asigna directamente desde el campo newpath en el registro sin procesar. Se agregó como un campo adicional.
offset additional.fields.value.string_value (donde la clave es offset) Se asigna directamente desde el campo offset en el registro sin procesar y se convierte en una cadena. Se agregó como un campo adicional.
path target.file.full_path Se asigna directamente desde el campo path en el registro sin procesar.
pid target.process.pid Se asigna directamente desde el campo pid en el registro sin procesar y se convierte en una cadena.
prin_port principal.port Se extrae del campo msg con grok cuando msg no es JSON y se convierte en un número entero.
proc_id principal.process.pid Se asigna directamente desde el campo proc_id en el registro sin procesar.
product_log_id metadata.product_log_id Se asigna directamente desde el campo product_log_id en el registro sin procesar.
proto metadata.description Se asigna directamente desde el campo proto en el registro sin procesar.
resource target.resource.resource_subtype Se asigna directamente desde el campo resource en el registro sin procesar.
sequence additional.fields.value.string_value (donde la clave es sequence) Se asigna directamente desde el campo sequence en el registro sin procesar y se convierte en una cadena. Se agregó como un campo adicional.
sid principal.user.windows_sid Se asigna directamente desde el campo sid en el registro sin procesar.
tid target.resource.product_object_id Se asigna directamente desde el campo tid en el registro sin procesar y se convierte en una cadena.
time metadata.event_timestamp.seconds, timestamp.seconds La parte de los segundos de la marca de tiempo se extrae del campo time y se usa para completar metadata.event_timestamp y el campo timestamp de nivel superior. Se determina según la lógica basada en los valores de ipaddr, path y event_type. Puede ser FILE_READ, FILE_MODIFICATION, FILE_UNCATEGORIZED, STATUS_UPDATE o GENERIC_EVENT. Se codificó como NASUNI_FILE_SERVICES. Se codificó como Nasuni File Services Platform. Se codificó como Nasuni.
uid additional.fields.value.string_value (donde la clave es uid) Se asigna directamente desde el campo uid en el registro sin procesar y se convierte en una cadena. Se agregó como un campo adicional.
username principal.user.user_display_name Se asigna directamente desde el campo username en el registro sin procesar.
volume additional.fields.value.string_value (donde la clave es volume) Se asigna directamente desde el campo volume en el registro sin procesar. Se agregó como un campo adicional.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.