Collecter les journaux Nutanix Prism

Présentation

Ce parseur traite les journaux Nutanix Prism, en gérant les formats JSON et syslog. Il extrait les champs de différentes structures de journaux, les normalise dans l'UDM et enrichit les données avec un contexte supplémentaire, comme les informations sur les utilisateurs, les détails du réseau et le niveau de gravité de la sécurité. Le parseur effectue également des actions spécifiques en fonction de la méthode HTTP et du niveau de journalisation, en classant les événements dans des types d'événements UDM tels que USER_LOGIN, STATUS_UPDATE et GENERIC_EVENT.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous de disposer d'un accès privilégié à Nutanix Prism Central.
• Assurez-vous de disposer d'un hôte Windows 2012 SP2 ou version ultérieure, ou d'un hôte Linux avec systemd.
• Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent BindPlane

1. Pour l'installation sous Windows, exécutez le script suivant : msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Pour installer Linux, exécutez le script suivant : sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Vous trouverez d'autres options d'installation dans ce guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

1. Accédez à la machine sur laquelle l'agent Bindplane est installé.

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Namespace
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Redémarrez l'agent Bindplane pour appliquer les modifications à l'aide de la commande suivante : sudo systemctl bindplane restart

Exporter Syslog depuis Nutanix Prism

1. Connectez-vous à Prism Central à l'aide d'un compte privilégié.
2. Sélectionnez Paramètres Prism Central dans le menu.
3. Accédez à Serveur Syslog.
4. Cliquez sur + Configurer le serveur Syslog.
5. Spécifiez les valeurs des paramètres d'entrée dans la boîte de dialogue Serveurs Syslog :
   • Nom du serveur : saisissez un nom pour le serveur (par exemple, Serveur Google SecOps Bindplane).
   • Adresse IP : saisissez l'adresse IP de votre agent Bindplane.
   • Port : saisissez le port sur lequel l'agent Bindplane écoute.
   • Protocole de transport : sélectionnez TCP.
   • Cliquez sur Configurer.
6. Cliquez sur + Modifier dans l'option Sources de données.
7. Spécifiez les valeurs des paramètres d'entrée dans la boîte de dialogue Sources de données et niveau de gravité correspondant :
   • Sélectionnez Audit de l'API, Audit et Flux.
   • Définissez le niveau de gravité de chacun sur 6 – Informationnel.
   • Cliquez sur Enregistrer.

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.