Coletar registros do SAN da NetApp

Compatível com:

Este documento explica como transferir os registros do NetApp SAN para o Google Security Operations usando um agente do Bindplane. O analisador extrai campos dos registros do NetApp SAN usando padrões Grok e os mapeia para o UDM do Google SecOps, enriquecendo os dados com informações estáticas de fornecedores e produtos para uma análise de segurança padronizada. Se a entrada de registro não corresponder ao padrão esperado, ela será descartada como não tendo valor de segurança.

Antes de começar

  • Verifique se você tem uma instância do Google SecOps.
  • Verifique se você está usando o Windows 2016 ou uma versão mais recente ou um host Linux com systemd.
  • Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
  • Verifique se você tem acesso privilegiado ao NetApp SAN.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de transferência. Salve o arquivo com segurança no sistema em que o BindPlane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

  1. Abra o Prompt de Comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Configurar o agente do Bindplane para processar o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:

    1. Localize o arquivo config.yaml. Normalmente, ele está no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    2. Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Notepad).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: NETAPP_SAN
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

  4. Substitua <customer_id> pelo ID real do cliente.

  5. Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber o arquivo de autenticação de transferência do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane no Windows, use o console Services ou digite o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar o Syslog na NetApp SAN

  1. Faça login na interface da Web da NetApp SAN.
  2. Acesse Configuração > Monitoramento > Auditoria e servidor syslog.
  3. Clique em Configurar servidor syslog externo ou Editar servidor syslog externo.
  4. Informe os seguintes detalhes de configuração:
    • Host: insira o endereço IP do Bindplane.
    • Porta: insira o número da porta do Bindplane. Por exemplo, 514 para UDP.
    • Protocolo: selecione UDP.
  5. Clique em Continuar.
  6. Ative e selecione o seguinte conteúdo do Syslog:
    • Enviar registros de auditoria: ative e configure Severity:Informational(6), facility:local7.
    • Enviar eventos de segurança: ative e configure Severity:Passthrough, facility:Passthrough.
    • Enviar registros do aplicativo: mantenha essa opção desativada.
  7. Clique em Continuar.
  8. Enviar uma mensagem de teste de registro.
  9. Clique em Salvar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
datetime metadata.event_timestamp.seconds Extraídos da mensagem de registro usando o padrão grok %{SYSLOGTIMESTAMP:datetime} e convertidos em segundos de época.
desc metadata.description Extraídos da mensagem de registro usando o padrão grok %{GREEDYDATA:desc}.
ip principal.ip Extraídos da mensagem de registro usando o padrão grok %{IP:ip}.
log_level Usado para determinar o valor de security_result.severity.
porta principal.port Extraídos da mensagem de registro usando o padrão grok %{INT:port} e convertidos em um número inteiro.
solicitação security_result.summary Extraídos da mensagem de registro usando o padrão grok %{DATA:request}.
userid principal.user.userid Extraídos da mensagem de registro usando o padrão grok %{WORD:userid}.
N/A metadata.event_type Definido como STATUS_UPDATE pelo analisador.
N/A metadata.log_type Preenchido com os metadados de registro recebidos.
N/A metadata.product_name Definido como Storage Area Network pelo analisador.
N/A metadata.vendor_name Definido como NetApp pelo analisador.
N/A security_result.severity Defina como ERROR se log_level for Error.

Alterações

2023-04-25

  • Parser recém-criado.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.