Coletar registros do 1Password

Este documento explica como ingerir registros do 1Password no Google Security Operations usando o Bindplane. O analisador transforma dados de registro brutos formatados em JSON em um formato estruturado compatível com o modelo de dados unificado (UDM) do Google SecOps. Ele se concentra especificamente na normalização e no enriquecimento de eventos relacionados a tentativas de login do usuário, extraindo detalhes sobre o usuário, a localização dele, informações do cliente e o resultado da tentativa.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps
• Host Windows 2016 ou mais recente ou Linux com systemd
• Se estiver executando por trás de um proxy, as portas do firewall estarão abertas.
• Acesso privilegiado ao 1Password

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instalação do Windows

1. Abra o Prompt de Comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:
   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'ONEPASSWORD'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID do cliente real.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Gerar o token da API do 1Password

1. Faça login na UI da Web do 1Password.
2. Acesse Integrações.
3. Clique em Diretório na parte de cima da página.
4. Digite um nome para o token e defina a expiração dele.
5. Em Relatórios de eventos, clique em Outros.
6. Selecione os Tipos de evento correspondentes.
7. Clique em Emitir token para gerar a chave do token de acesso.
8. Clique em Salvar no 1Password e selecione em qual cofre salvar o token.
9. Clique em Ver detalhes da integração para conferir o token.

Configure um host Linux para executar o seguinte:

• Execute este comando:

    import datetime
    import requests
    import os
    import socket
    import json
  
  # For more information, check out the support page: https://support.1password.com/events-reporting
  
    api_token = os.environ.get('EVENTS_API_TOKEN')
    url = "https://events.1password.com"
    if not api_token:
        print("Please set the EVENTS_API_TOKEN environment variable.")
        exit(1)
    start_time = datetime.datetime.now() - datetime.timedelta(hours=24)
  
  # Define the bindplane agent details
  
    syslog_server_ip = <ip-address> # Replace with your Bindplane IP
    syslog_server_port = <port-number> # Replace with your Bindplane port
    headers = {
        "Content-Type": "application/json",
        "Authorization": f"Bearer {api_token}"
    payload = {
        "limit": 20,
        "start_time": start_time.astimezone().replace(microsecond=0).isoformat()
  
  # Alternatively, use the cursor returned from previous responses to get any new events
    # payload = { "cursor": cursor }
    try:
        r = requests.post(f"{url}/api/v1/signinattempts", headers=headers, json=payload)
        r.raise_for_status()  # Raise an exception if the request fails
        if r.status_code == requests.codes.ok:
  
  # Send the response to the bindplane server
            syslog_message = f"{json.dumps(r.json())}"
            with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as sock:
                sock.connect((syslog_server_ip, syslog_server_port))
                sock.sendall(f"{syslog_message}\n".encode())
        else:
            print(f"Error getting sign-in attempts: status code {r.status_code}")
    except requests.exceptions.RequestException as e:
        print(f"Request error: {e}")
    except Exception as e:
        print(f"Error during syslog logging: {e}")
  

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.