Raccogliere i log di Nutanix Prism

Panoramica

Questo parser elabora i log di Nutanix Prism, gestendo sia i formati JSON che syslog. Estrae i campi da varie strutture di log, li normalizza in UDM e arricchisce i dati con un contesto aggiuntivo, come informazioni utente, dettagli di rete e gravità della sicurezza. Il parser esegue anche azioni specifiche in base al metodo HTTP e al livello di log, classificando gli eventi in tipi di eventi UDM come USER_LOGIN, STATUS_UPDATE e GENERIC_EVENT.

Prima di iniziare

• Assicurati di avere un'istanza Google SecOps.
• Assicurati di disporre dell'accesso con privilegi a Nutanix Prism Central.
• Assicurati di avere un host Windows 2012 SP2 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

1. Per l'installazione di Windows, esegui il seguente script: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Per l'installazione di Linux, esegui lo script seguente: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Ulteriori opzioni di installazione sono disponibili in questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi alla macchina in cui è installato l'agente Bindplane.

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Namespace
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Riavvia Bindplane Agent per applicare le modifiche utilizzando il seguente comando: sudo systemctl bindplane restart

Esportazione di Syslog da Nutanix Prism

1. Accedi a Prism Central utilizzando un account con privilegi.
2. Seleziona Impostazioni di Prism Central dal menu.
3. Vai a Syslog Server.
4. Fai clic su + Configura server Syslog.
5. Specifica i valori per i parametri di input nella finestra di dialogo Server Syslog:
   • Nome server: inserisci un nome per il server (ad esempio Server Bindplane di Google SecOps)
   • Indirizzo IP: inserisci l'IP dell'agente Bindplane.
   • Porta: inserisci la porta su cui Bindplane Agent è in ascolto.
   • Protocollo di trasporto: seleziona TCP.
   • Fai clic su Configura.
6. Fai clic su + Modifica nell'opzione Origini dati.
7. Specifica i valori per i parametri di input nella finestra di dialogo Origini dati e livello di gravità corrispondente:
   • Seleziona API Audit, Audit e Flow.
   • Imposta il livello di gravità per ciascuno su 6 - Informazioni.
   • Fai clic su Salva.

Tabella di mappatura UDM

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.