Recopila registros de Red Hat del sistema Nix

En este documento, se explica cómo transferir registros de RHEL Server (sistema Unix) a Google Security Operations con Bindplane. El analizador ingiere registros con formato syslog y JSON, inicializa una amplia variedad de campos del UDM en cadenas vacías, realiza varias sustituciones de cadenas en el campo message y, luego, intenta analizar el mensaje como JSON. Si falla el análisis de JSON, se usan patrones de Grok para extraer campos según el contenido de message y event_details.original, y se asignan los campos extraídos al UDM según el tipo de evento y varias verificaciones condicionales, lo que permite controlar diferentes formatos y estructuras de registros de varios procesos y servicios del sistema Unix.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Instancia de Google SecOps
• Si se ejecuta detrás de un proxy, los puertos de firewall están abiertos.
• Acceso privilegiado a un servidor de RHEL

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Collection Agents.
3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Profile.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:
   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux.
   • Abre el archivo con un editor de texto (por ejemplo, nano o vi).

2. Edita el archivo config.yaml de la siguiente manera:

         receivers:
             filelog/linux:
             include:
               - /var/log/messages
               - /var/log/lastlog
               - /var/log/btmp
               - /var/log/wtmp
               - /var/log/secure
               - /var/log/cron
               - /var/log/maillog
               - /var/log/boot
             start_at: end
             poll_interval: 5s
   
         exporters:
             chronicle/linux:
                 # Adjust the path to the credentials file you downloaded in Step 1
                 creds: '/path/to/ingestion-authentication-file.json'
                 # Replace with your actual customer ID from Step 2
                 customer_id: <customer_id>
                 endpoint: malachiteingestion-pa.googleapis.com
                 # Add optional ingestion labels for better organization
                 log_type: 'NIX_SYSTEM'
                 override_log_type: false
                 raw_log_field: body
   
         service:
           pipelines:
             logs/linux:
               receivers:
               - filelog/linux
           exporters: [chronicle/linux]
         ```
   

1. Reemplaza <customer_id> por el ID de cliente real.

2. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Cómo obtener el archivo de autenticación de la transferencia de datos de Google SecOps.

   Inicia el agente de Bindplane y aplica los cambios

3. Inicia el agente de Bindplane:

   sudo systemctl start bindplane-agent
   

4. Habilita el servicio de recopilador de observIQ otel:

   systemctl enable --now bindplane-agent
   

5. Si es necesario, reinicia el agente de Bindplane:

   sudo systemctl restart bindplane-agent
   

Tabla de asignación de UDM

• event.idm.read_only_udm.metadata.event_type: Se establece en GENERIC_EVENT de forma inicial y, luego, se reemplaza según la lógica del analizador.
• event.idm.read_only_udm.metadata.product_name: Se codifica como Unix System.
• event.idm.read_only_udm.extensions.auth.type: Se establece en MACHINE para ciertos tipos de eventos.
• event.idm.read_only_udm.target.asset.attribute.cloud.environment: Se establece en GOOGLE_CLOUD_PLATFORM para los registros de auditoría de Google Cloud .
• event.idm.read_only_udm.target.resource.resource_type: Se establece en VIRTUAL_MACHINE para los registros de auditoría de Google Cloud .
• event.idm.read_only_udm.extensions.auth.mechanism: Se establece en USERNAME_PASSWORD para los eventos de acceso.
• has_target_resource: Se establece en true si resource.labels.instance_id o _Internal_WorkspaceResourceId están presentes.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.