Recopila registros de la base de datos de Oracle

Compatible con:

En este documento, se explica cómo transferir registros de la base de datos de Oracle a Google Security Operations con Bindplane. El analizador extrae campos de los mensajes de SYSLOG y controla varios formatos con patrones de Grok y análisis de par clave-valor. Luego, asigna estos campos extraídos al modelo de datos unificado (UDM), enriquece los datos con metadatos estáticos, como los nombres de proveedores y productos, y establece tipos de eventos de forma dinámica según valores de campos específicos, como ACTION y USERID. El analizador también controla varias operaciones de limpieza de datos, como reemplazar caracteres y convertir tipos de datos.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si se ejecuta detrás de un proxy, los puertos del firewall están abiertos.
  • Acceso con privilegios (rol AUDIT_SYSTEM) a la base de datos de Oracle

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instalación de Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de Bindplane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'ORACLE_DB'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

  4. Reemplaza <customer_id> por el ID de cliente real.

  5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Obtén el archivo de autenticación de transferencia de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios.

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Services o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Habilita la auditoría para la base de datos de Oracle

  1. Conéctate a la base de datos de Oracle con SQLplus.

  2. Apaga la base de datos con el siguiente comando:

    shutdown immediate

  3. Para detener el servicio de objeto de escucha de Oracle, escribe el siguiente comando:

    lsnrctl stop

  4. Opcional: Solo si corresponde, detén el Administrador de Enterprise con los siguientes comandos:

    cd /u01/app/oracle/product/middleware/oms

export OMS_HOME=/u01/app/oracle/product/middleware/oms

$OMS_HOME/bin/emctl stop oms

  5. Vincula la base de datos de Oracle con la opción uniaud con los siguientes comandos:

    cd $ORACLE_HOME/rdbms/lib

make -f ins_rdbms.mk uniaud_on ioracle

  6. Conéctate a la base de datos de Oracle con SQLplus.

  7. Reinicia la base de datos con el siguiente comando:

    startup

  8. Reinicia el servicio de objeto de escucha de Oracle con el siguiente comando:

    lsnrctl start

  9. Opcional: Solo si corresponde, reinicia el Administrador de Enterprise con los siguientes comandos:

    cd /u01/app/oracle/product/middleware/oms

export OMS_HOME=/u01/app/oracle/product/middleware/oms

$OMS_HOME/bin/emctl start oms

  10. Verifica que la auditoría unificada esté habilitada, conéctate a la base de datos de Oracle con SQLplus y, luego, escribe el siguiente comando:

    select * from v$option where PARAMETER = 'Unified Auditing';

  11. Verifica que el comando muestre una fila con el valor “VERDADERO”.

Configura Syslog para la base de datos de Oracle

  1. Accede a la instancia de Oracle.

  2. Abre el siguiente archivo con vi:

    vi ${ORACLE_HOME}/dbs/init${ORACLE_SID}.ora

  3. Ingresa los siguientes comandos para configurar syslog:

    *.audit_trail='os'
*.audit_syslog_level='local0.info'

  4. Asegúrate de que el daemon de syslog en el host de Oracle esté configurado para reenviar el registro de auditoría.

  5. En Red Hat Enterprise, abre el siguiente archivo /etc/syslog.conf con vi y, luego, ingresa la siguiente línea:

    local0.info @ <bindplane-ip>:514

  6. Guarda y sal del archivo:

    :wq

  7. En Red Hat Enterprise, escribe el siguiente comando para volver a cargar la configuración de syslog:

    kill -HUP /var/run/syslogd.pid

  8. Conéctate a SQLplus y accede como sysdba para reiniciar:

    sys as sysdba

  9. Apaga la base de datos con el siguiente comando:

    shutdown immediate

  10. Reinicia la base de datos con el siguiente comando:

    startup

Tabla de asignación de la UDM

Campo de registro Asignación de UDM Lógica
ACTION security_result.action_details El valor de ACTION del registro sin procesar se asigna directamente a este campo de la AUA. Se aplica una lógica adicional para determinar security_result.action y security_result.description en función del valor de ACTION (p.ej., 100 se asigna a ALLOW y Success).
ACTION_NAME metadata.product_event_type Se asignan directamente.
ACTION_NUMBER additional.fields[action_number].value.string_value Se asignan directamente con la clave Source Event. También se usa en combinación con otros campos para derivar metadata.event_type y metadata.product_event_type.
APPLICATION_CONTEXTS additional.fields[application_contexts_label].value.string_value Se asignan directamente con la clave APPLICATION_CONTEXTS.
AUDIT_POLICY additional.fields[audit_policy_label].value.string_value o additional.fields[AUDIT_POLICY_#].value.string_value Si AUDIT_POLICY contiene una coma, se divide en varias etiquetas con claves como AUDIT_POLICY_0, AUDIT_POLICY_1, etc. De lo contrario, se asigna directamente con la clave AUDIT_POLICY.
AUDIT_TYPE additional.fields[audit_type_label].value.string_value Se asignan directamente con la clave AUDIT_TYPE.
AUTHENTICATION_TYPE metadata.event_type, extensions.auth.type Se usa para derivar metadata.event_type como USER_LOGIN si auth_type (extraido de AUTHENTICATION_TYPE) no está vacío y se cumplen otras condiciones. extensions.auth.type se establece en AUTHTYPE_UNSPECIFIED.
CLIENT_ADDRESS principal.ip, principal.port, network.ip_protocol, intermediary[host].user.userid La IP, el puerto y el protocolo se extraen con patrones grok. Si hay un nombre de usuario en el campo CLIENT_ADDRESS, se asigna a intermediary[host].user.userid.
CLIENT_ID target.user.userid Se asignan directamente.
CLIENT_PROGRAM_NAME additional.fields[client_program_name_label].value.string_value Se asignan directamente con la clave CLIENT_PROGRAM_NAME.
CLIENT_TERMINAL additional.fields[CLIENT_TERMINAL_label].value Se asignan directamente con la clave CLIENT_TERMINAL.
CLIENT_USER target.user.user_display_name Se asignan directamente.
COMMENT$TEXT additional.fields[comment_text_label].value.string_value Se asigna directamente con la clave comment_text después de reemplazar "+" por ":".
CURRENT_USER additional.fields[current_user_label].value.string_value Se asignan directamente con la clave current_user.
CURUSER additional.fields[current_user_label].value.string_value Se asignan directamente con la clave current_user.
DATABASE_USER principal.user.user_display_name Se asigna directamente si no está vacío o es /.
DBID metadata.product_log_id Se asigna directamente después de quitar las comillas simples.
DBNAME target.resource.resource_type, target.resource.resource_subtype, target.resource.name Establece resource_type en DATABASE, resource_subtype en Oracle Database y asigna DBNAME a name.
DBPROXY_USERRNAME intermediary[dbproxy].user.userid Se asignan directamente.
DBUSERNAME target.user.user_display_name Se asignan directamente.
ENTRYID target.resource.attribute.labels[entry_id_label].value Se asignan directamente con la clave Entry Id.
EXTERNAL_USERID additional.fields[external_userid_label].value.string_value Se asignan directamente con la clave EXTERNAL_USERID.
LENGTH additional.fields[length_label].value.string_value Se asignan directamente con la clave length.
LOGOFF$DEAD target.resource.attribute.labels[LOGOFFDEAD_label].value Se asignan directamente con la clave LOGOFFDEAD.
LOGOFF$LREAD target.resource.attribute.labels[LOGOFFLREAD_label].value Se asignan directamente con la clave LOGOFFLREAD.
LOGOFF$LWRITE target.resource.attribute.labels[LOGOFFLWRITE_label].value Se asignan directamente con la clave LOGOFFLWRITE.
LOGOFF$PREAD target.resource.attribute.labels[LOGOFFPREAD_label].value Se asignan directamente con la clave LOGOFFPREAD.
NTIMESTAMP# metadata.event_timestamp Se analiza y se convierte al formato RFC 3339 o ISO8601.
OBJCREATOR target.resource.attribute.labels[obj_creator_label].value Se asignan directamente con la clave OBJ Creator.
OBJNAME target.resource.attribute.labels[obj_name_label].value Se asignan directamente con la clave OBJ Name.
OS_USERNAME principal.user.user_display_name Se asignan directamente.
OSUSERID target.user.userid Se asignan directamente.
PDB_GUID principal.resource.product_object_id Se asignan directamente.
PRIV$USED additional.fields[privused_label].value.string_value Se asignan directamente con la clave privused.
PRIVILEGE principal.user.attribute.permissions.name Se asignan directamente.
RETURN_CODE security_result.summary Se asignan directamente. Se aplica la lógica para derivar security_result.action y security_result.description.
RETURNCODE security_result.summary Se asignan directamente. Se aplica la lógica para derivar security_result.action y security_result.description.
RLS_INFO additional.fields[rls_info_label].value.string_value Se asignan directamente con la clave RLS_INFO.
SCHEMA additional.fields[schema_label].value.string_value Se asignan directamente con la clave schema.
SESSIONCPU target.resource.attribute.labels[SESSIONCPU_label].value Se asignan directamente con la clave SESSIONCPU.
SESSIONID network.session_id Se asignan directamente.
SESID network.session_id Se asignan directamente.
SQL_TEXT target.process.command_line Se asignan directamente.
SQLTEXT target.process.command_line Se asignan directamente.
STATEMENT target.resource.attribute.labels[statement_label].value Se asignan directamente con la clave STATEMENT.
STATUS security_result.summary Se asignan directamente. Se aplica la lógica para derivar security_result.action y security_result.description.
SYSTEM_PRIVILEGE_USED additional.fields[system_privilege_used_label].value.string_value Se asignan directamente con la clave SYSTEM_PRIVILEGE_USED.
TARGET_USER additional.fields[target_user_label].value.string_value Se asignan directamente con la clave TARGET_USER.
TERMINAL additional.fields[CLIENT_TERMINAL_label].value Se asignan directamente con la clave CLIENT_TERMINAL.
TYPE additional.fields[type_label].value.string_value Se asignan directamente con la clave type.
USERHOST principal.hostname, principal.administrative_domain El nombre de host y el dominio se extraen con patrones de grok.
USERID principal.user.userid Se asignan directamente.
device_host_name target.hostname Se asignan directamente.
event_name metadata.product_event_type Se asigna directamente después de convertirlos a mayúsculas.
file_name target.file.full_path Se asignan directamente.
hostname principal.hostname Se asignan directamente.
length additional.fields[length_label].value.string_value Se asignan directamente con la clave length.
log_source_name principal.application Se asignan directamente.
message Varios Se usa para el análisis de Grok para extraer varios campos.
returncode RETURNCODE Se asignan directamente.
src_ip principal.ip Se asignan directamente.
t_hostname target.hostname Se asignan directamente.
(lógica del analizador) metadata.vendor_name Se codifica en Oracle.
(lógica del analizador) metadata.product_name Se codifica en Oracle DB.
(lógica del analizador) metadata.event_type Se determina en función de los valores de ACTION, ACTION_NUMBER, source_event, OSUSERID, USERID, SQLTEXT, AUTHENTICATION_TYPE, DBUSERNAME, device_host_name y database_name. El valor predeterminado es USER_RESOURCE_ACCESS si no se cumple una condición específica.
(lógica del analizador) metadata.product_event_type Se determina en función de los valores de ACTION, ACTION_NUMBER, source_event, p_event_type y ACTION_NAME.
(lógica del analizador) metadata.log_type Se codifica en ORACLE_DB.
(lógica del analizador) extensions.auth.mechanism Se establece en USERNAME_PASSWORD en determinadas condiciones según ACTION, ACTION_NUMBER, source_event y OSUSERID.
(lógica del analizador) extensions.auth.type Se establece en AUTHTYPE_UNSPECIFIED en determinadas condiciones según ACTION, ACTION_NUMBER y AUTHENTICATION_TYPE.
(lógica del analizador) security_result.description Se deriva de RETURNCODE o STATUS.
(lógica del analizador) security_result.action Se deriva de RETURNCODE o STATUS.
(lógica del analizador) target.resource.attribute.labels Se agregan varias etiquetas según la presencia y los valores de varios campos de registro.
(lógica del analizador) additional.fields Se agregan varios campos como pares clave-valor según la presencia y los valores de varios campos de registro.
(lógica del analizador) intermediary Se crean y completan en función de la presencia y los valores de DBPROXY_USERRNAME y CLIENT_ADDRESS.
(lógica del analizador) network.ip_protocol Se deriva de protocol extraído de CLIENT_ADDRESS con un archivo de inclusión parse_ip_protocol.include.

Cambios

2025-03-18

Mejora:

  • Se agregó un patrón Grok para analizar los registros de SYSLOG.
  • Se asignaron org_id y comp_id a additional.fields.
  • Se asignó host_addr a principal.ip y principal.asset.ip.
  • Se asignó host_id a principal.hostname y principal.asset.hostname.
  • Se asignó level a security_result.severity_details.

2025-02-12

Mejora:

  • Se agregó un filtro de fecha para admitir el nuevo patrón de registros de syslog.

2025-01-15

Mejora:

  • Se asignó ID a metadata.event_timestamp.

2024-12-19

Mejora:

  • Se agregó compatibilidad con el nuevo patrón de registros de syslog.

2024-12-12

Mejora:

  • Se agregó el patrón gsub para controlar el nuevo formato de los registros de KV.
  • Se agregó un nuevo patrón de Grok para controlar el nuevo formato de los registros de KV.
  • Se asignó ORACLE_DB a metadata.log_type.

2024-10-25

Mejora:

  • Si ACTION es GRANT, establece metadata.event_type como USER_RESOURCE_UPDATE_PERMISSIONS.
  • Si ACTION es DROP o DELETE, establece metadata.event_type en USER_RESOURCE_DELETION.
  • Si ACTION es CREATE, establece metadata.event_type como USER_RESOURCE_CREATION.
  • Si ACTION es ALTER o INSERT, establece metadata.event_type como USER_RESOURCE_UPDATE_CONTENT.

2024-09-25

Mejora:

  • Se agregó compatibilidad con el nuevo patrón de registros de KV.

2024-07-24

Mejora:

  • Se asignó AUDIT_POLICY como una sola cadena a additional.fields en lugar de dividirla en varios valores.

2024-06-06

Mejora:

  • Cambio menor en principal.user.user_display_name.

2024-05-30

Mejora:

  • Se agregó compatibilidad con campos de Exadata.

2024-04-03

Mejora:

  • Se agregó compatibilidad con algunos atributos que no se habían cubierto.

2023-10-25

Mejora:

  • Se asignaron LENGTH, LOGOFFDEAD, LOGOFFLREAD, LOGOFFLWRITE, LOGOFFPREAD, SESSIONCPU, CLIENT_TERMINAL a target.resource.attribute.labels.
  • Se asignó ACTION a security_result.summary.
  • Establece security_result.description como Success cuando RETURNCODE sea 0 o STATUS sea 0.
  • Establece security_result.description en Failure cuando RETURNCODE sea 1 o -1, o STATUS sea 1 o -1.
  • Se asignaron principal.ip y principal.port desde CLIENT_ADDRESS.

2022-10-13

Mejora:

  • Se agregó un patrón de Grok para controlar los registros SYSLOG y KV.

2022-08-01

Mejora:

  • Se agregó la asignación para los siguientes campos:
  • hostname se asignó a principal.hostname.
  • Si returncode es 0, security_result.action se asigna a ALLOW; de lo contrario, si es -1, se asigna a BLOCK.
  • ACTION se asignó a metadata.product_event_type.
  • DATABASE USER se asignó a principal.user.user_display_name.
  • PRIVILEGE se asignó a principal.user.attribute.permissions.
  • CLIENT USER se asignó a target.user.user_display_name.
  • file_name se asignó a target.file.full_path.
  • event_name se asignó a metadata.product_event_type.
  • ACTION_NUMBER se asignó a event.idm.read_only_udm.additional.fields.
  • length se asignó a event.idm.read_only_udm.additional.fields.
  • DBID se asignó a metadata.product_log_id.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.