Coletar registros do Nutanix Prism

Visão geral

Esse analisador processa registros do Nutanix Prism, lidando com formatos JSON e syslog. Ele extrai campos de várias estruturas de registros, normaliza-os no UDM e enriquece os dados com contexto adicional, como informações do usuário, detalhes da rede e gravidade da segurança. O analisador também realiza ações específicas com base no método HTTP e no nível de registro, categorizando eventos em tipos de eventos da UDM, como USER_LOGIN, STATUS_UPDATE e GENERIC_EVENT.

Antes de começar

• Verifique se você tem uma instância do Google SecOps.
• Verifique se você tem acesso privilegiado ao Nutanix Prism Central.
• Verifique se você tem um host Windows 2012 SP2 ou mais recente ou Linux com systemd.
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

1. Para instalação no Windows, execute o seguinte script: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para instalação no Linux, execute o seguinte script: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Outras opções de instalação estão disponíveis neste guia de instalação.

Configurar o agente do Bindplane para ingerir Syslog e enviar ao Google SecOps

1. Acesse a máquina em que o agente do Bindplane está instalado.

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: Namespace
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicie o agente do Bindplane para aplicar as mudanças usando o seguinte comando: sudo systemctl bindplane restart

Exportar Syslog do Nutanix Prism

1. Faça login no Prism Central usando uma conta privilegiada.
2. Selecione Configurações do Prism Central no menu.
3. Acesse Servidor Syslog.
4. Clique em + Configurar servidor Syslog.
5. Especifique valores para os parâmetros de entrada na caixa de diálogo Servidores Syslog:
   • Nome do servidor: insira um nome para o servidor (por exemplo, Servidor do Bindplane SecOps do Google).
   • Endereço IP: insira o IP do seu agente do Bindplane.
   • Porta: insira a porta em que o Bindplane Agent está detectando.
   • Protocolo de transporte: selecione TCP.
   • Clique em Configurar.
6. Clique em + Editar na opção Origens de dados.
7. Especifique valores para os parâmetros de entrada na caixa de diálogo Fontes de dados e nível de gravidade respectivo:
   • Selecione Auditoria de API, Auditoria e Fluxo.
   • Defina o nível de gravidade de cada um como 6: informativo.
   • Clique em Salvar.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.