Recoger registros de Nutanix Prism

Información general

Este analizador procesa los registros de Nutanix Prism y gestiona los formatos JSON y syslog. Extrae campos de varias estructuras de registro, los normaliza en UDM y enriquece los datos con contexto adicional, como información de usuario, detalles de la red y gravedad de la seguridad. El analizador también realiza acciones específicas en función del método HTTP y del nivel de registro, clasificando los eventos en tipos de eventos de UDM, como USER_LOGIN, STATUS_UPDATE y GENERIC_EVENT.

Antes de empezar

• Asegúrate de que tienes una instancia de Google SecOps.
• Asegúrate de que tienes acceso con privilegios a Nutanix Prism Central.
• Asegúrate de tener un host Windows 2012 SP2 o posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al equipo en el que está instalado el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Namespace
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Exportar Syslog desde Nutanix Prism

1. Inicia sesión en Prism Central con una cuenta con privilegios.
2. En el menú, selecciona Prism Central Settings (Configuración de Prism Central).
3. Ve a Servidor Syslog.
4. Haz clic en + Configurar servidor Syslog.
5. Especifica los valores de los parámetros de entrada en el cuadro de diálogo Servidores Syslog:
   • Nombre del servidor: introduce un nombre para el servidor (por ejemplo, Servidor Bindplane de Google SecOps).
   • Dirección IP: introduce la IP de tu agente de Bindplane.
   • Puerto: introduce el puerto en el que escucha el agente de BindPlane.
   • Protocolo de transporte: selecciona TCP.
   • Haz clic en Configurar.
6. Haga clic en + Editar en la opción Fuentes de datos.
7. Especifica los valores de los parámetros de entrada en el cuadro de diálogo Fuentes de datos y nivel de gravedad correspondiente:
   • Selecciona API Audit (Auditoría de APIs), Audit (Auditoría) y Flow (Flujo).
   • Establece el nivel de gravedad de cada uno en 6 - Informativo.
   • Haz clic en Guardar.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.