Raccogliere i log di Nix System Red Hat

Questo documento spiega come importare i log di RHEL Server (Unix System) in Google Security Operations utilizzando Bindplane. Il parser acquisisce i log formattati in formato syslog e JSON, inizializza un'ampia gamma di campi UDM con stringhe vuote, esegue diverse sostituzioni di stringhe nel campo message e poi tenta di analizzare il messaggio come JSON. Se l'analisi JSON non va a buon fine, utilizza i pattern grok per estrarre i campi in base ai contenuti di message e event_details.original, mappando i campi estratti all'UDM in base al tipo di evento e a vari controlli condizionali, gestendo diversi formati e strutture di log da vari processi e servizi del sistema Unix.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Istanza Google SecOps
• Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
• Accesso con privilegi a un server RHEL

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Linux

1. Apri un terminale con privilegi di root o sudo.

2. Esegui questo comando:

   sudo sh -c `$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)` install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:
   • Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux.
   • Apri il file utilizzando un editor di testo (ad esempio nano o vi).

2. Modifica il file config.yaml come segue:

         receivers:
             filelog/linux:
             include:
               - /var/log/messages
               - /var/log/lastlog
               - /var/log/btmp
               - /var/log/wtmp
               - /var/log/secure
               - /var/log/cron
               - /var/log/maillog
               - /var/log/boot
             start_at: end
             poll_interval: 5s
   
         exporters:
             chronicle/linux:
                 # Adjust the path to the credentials file you downloaded in Step 1
                 creds: '/path/to/ingestion-authentication-file.json'
                 # Replace with your actual customer ID from Step 2
                 customer_id: <customer_id>
                 endpoint: malachiteingestion-pa.googleapis.com
                 # Add optional ingestion labels for better organization
                 log_type: 'NIX_SYSTEM'
                 override_log_type: false
                 raw_log_field: body
   
         service:
           pipelines:
             logs/linux:
               receivers:
               - filelog/linux
           exporters: [chronicle/linux]
         ```
   

1. Sostituisci <customer_id> con l'ID cliente effettivo.

2. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

   Avvia l'agente Bindplane e applica le modifiche

3. Avvia l'agente Bindplane:

   sudo systemctl start bindplane-agent
   

4. Attiva il servizio di raccolta otel di observIQ:

   systemctl enable --now bindplane-agent
   

5. Se necessario, riavvia l'agente Bindplane:

   sudo systemctl restart bindplane-agent
   

Tabella di mappatura UDM

• event.idm.read_only_udm.metadata.event_type: inizialmente impostato su GENERIC_EVENT, poi sovrascritto in base alla logica del parser.
• event.idm.read_only_udm.metadata.product_name: Codificato su Unix System.
• event.idm.read_only_udm.extensions.auth.type: imposta su MACHINE per determinati tipi di eventi.
• event.idm.read_only_udm.target.asset.attribute.cloud.environment: impostato su GOOGLE_CLOUD_PLATFORM per i log di controllo di Google Cloud .
• event.idm.read_only_udm.target.resource.resource_type: impostato su VIRTUAL_MACHINE per i log di controllo di Google Cloud .
• event.idm.read_only_udm.extensions.auth.mechanism: imposta su USERNAME_PASSWORD per gli eventi di accesso.
• has_target_resource: imposta su true se è presente resource.labels.instance_id o _Internal_WorkspaceResourceId.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.