收集 Nasuni File Services Platform 日志

支持的平台：

本文档介绍了如何使用 Bindplane 代理将 Nasuni 文件服务平台日志提取到 Google 安全运营中心。解析器会从 SYSLOG 和 JSON 日志中提取字段。它使用 grok 模式解析初始消息，然后对嵌入的 JSON 数据使用 JSON 过滤器，将提取的字段映射到 UDM，处理文件读取、修改和通用事件等各种事件类型，并使用供应商和产品信息丰富数据。它还会根据提取的字段执行条件逻辑，以对事件进行分类并填充 UDM 元数据。

准备工作

  • 确保您拥有 Google SecOps 实例。
  • 确保您使用的是 Windows 2016 或更高版本，或者使用了带有 systemd 的 Linux 主机。
  • 如果在代理后面运行，请确保防火墙端口处于打开状态。
  • 确保您拥有对 Claroty CTD 的特权访问权限。

获取 Google SecOps 提取身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载提取身份验证文件。将该文件安全地保存在将安装 BindPlane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次选择 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安装资源

  • 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：

    1. 找到 config.yaml 文件。通常，在 Linux 上，该目录位于 /etc/bindplane-agent/ 目录中；在 Windows 上，该目录位于安装目录中。
    2. 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: NASUNI_FILE_SERVICES
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. 根据基础架构中的需要替换端口和 IP 地址。

  4. 将 <customer_id> 替换为实际的客户 ID。

  5. 在获取 Google SecOps 提取身份验证文件部分中，将 /path/to/ingestion-authentication-file.json 更新为身份验证文件的保存路径。

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart bindplane-agent

  • 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop BindPlaneAgent && net start BindPlaneAgent

在 Nasuni File Services 平台中配置 Syslog

  1. 登录 Nasuni 控制台 Web 界面。
  2. 依次前往控制台设置 > Syslog 导出。
  3. 在“网络”部分中，输入以下配置详细信息：
    • 主机名：输入一个具有意义且不重复的名称（例如 Google SecOps syslog）。
    • IP 地址：输入绑定平面 IP 地址。
    • 端口：输入 BindPlane 配置端口号（例如，对于 UDP，为 514）。
    • 协议：选择 UDP（您也可以选择 TCP，具体取决于您的绑定层配置）。
    • 格式：选择 SYSLOG+JSON。
  4. 点击保存。

UDM 映射表

日志字段 UDM 映射 逻辑
application target.application 当 msg 字段存在且不是 JSON，并且 application 字段不为空时，系统会填充此字段。
event_type metadata.product_event_type 直接从原始日志中的 event_type 字段映射。
gid target.group.product_object_id 直接从原始日志中的 gid 字段映射，并转换为字符串。
groupname target.group.group_display_name 直接从原始日志中的 groupname 字段映射。
host principal.hostname 直接从原始日志中的 host 字段映射。
ipaddr principal.ip 直接从原始日志中的 ipaddr 字段映射。
is_dir additional.fields.value.string_value（其中键为 is_dir） 直接从原始日志中的 is_dir 字段映射，并转换为字符串。已添加为其他字段。
msg metadata.description 当 msg 字段存在且不是 JSON，并且未从中提取 ipaddr 和 prin_port 时，系统会填充此字段。也适用于 STATUS_UPDATE 事件。
newpath additional.fields.value.string_value（其中键为 newpath） 直接从原始日志中的 newpath 字段映射而来。已添加为其他字段。
offset additional.fields.value.string_value（其中键为 offset） 直接从原始日志中的 offset 字段映射，并转换为字符串。已添加为其他字段。
path target.file.full_path 直接从原始日志中的 path 字段映射。
pid target.process.pid 直接从原始日志中的 pid 字段映射，并转换为字符串。
prin_port principal.port 当 msg 不是 JSON 时，使用 grok 从 msg 字段中提取，并转换为整数。
proc_id principal.process.pid 直接从原始日志中的 proc_id 字段映射。
product_log_id metadata.product_log_id 直接从原始日志中的 product_log_id 字段映射。
proto metadata.description 直接从原始日志中的 proto 字段映射。
resource target.resource.resource_subtype 直接从原始日志中的 resource 字段映射。
sequence additional.fields.value.string_value（其中键为 sequence） 直接从原始日志中的 sequence 字段映射，并转换为字符串。已添加为其他字段。
sid principal.user.windows_sid 直接从原始日志中的 sid 字段映射。
tid target.resource.product_object_id 直接从原始日志中的 tid 字段映射，并转换为字符串。
time metadata.event_timestamp.seconds，timestamp.seconds 系统会从 time 字段中提取时间戳的秒数部分，并将其用于填充 metadata.event_timestamp 和顶级 timestamp。由逻辑根据 ipaddr、path 和 event_type 的值确定。可以是 FILE_READ、FILE_MODIFICATION、FILE_UNCATEGORIZED、STATUS_UPDATE 或 GENERIC_EVENT。已硬编码为 NASUNI_FILE_SERVICES。已硬编码为 Nasuni File Services Platform。已硬编码为 Nasuni。
uid additional.fields.value.string_value（其中键为 uid） 直接从原始日志中的 uid 字段映射，并转换为字符串。已添加为其他字段。
username principal.user.user_display_name 直接从原始日志中的 username 字段映射。
volume additional.fields.value.string_value（其中键为 volume） 直接从原始日志中的 volume 字段映射而来。已添加为其他字段。

变化

2022-08-21

  • 将 newpath 映射到 additional.fields。

2022-08-08

增强功能：

  • 添加了 Grok 模式来处理新的 SYSLOG 日志。
  • 为 event_type FILE_UNCATEGORIZED 添加了条件检查。
  • 添加了 event_type STATUS_UPDATE
  • 将 application 映射到 target.application。
  • 将 prin_port 映射到 principal.port。
  • 将 host 映射到 principal.hostname。
  • 将 proc_id 映射到 principal.process.pid。

2022-07-07

  • 新创建的解析器。

需要更多帮助？向社区成员和 Google SecOps 专业人士寻求解答。