Coletar registros do RSA Authentication Manager

Este documento descreve como coletar registros do RSA Authentication Manager usando um encaminhador do Google Security Operations.

Para mais informações, consulte Ingestão de dados no Google Security Operations.

Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão RSA_AUTH_MANAGER.

Configurar o RSA Authentication Manager

1. Faça login no console do RSA Authentication Manager Security usando credenciais de administrador.
2. No menu Configuração, clique em Configurações do sistema.
3. Na janela Configurações do sistema, na seção Configurações básicas, selecione Registro em log.
4. Na seção Selecionar instância, escolha o tipo de instância Principal configurado no seu ambiente e clique em Próxima para continuar.
5. Na seção Configurar definições, configure os registros das seguintes seções que são exibidas:
   • Níveis de registro
   • Destino dos dados de registro
   • Mascaramento de dados de registros
6. Na seção Níveis de registro, configure os seguintes registros:
   • Defina Registro de rastreamento como Fatal.
   • Defina Registro de auditoria administrativa como Sucesso.
   • Defina Registro de auditoria de tempo de execução como Sucesso.
   • Defina Registro do sistema como Aviso.

7. Na seção Destino dos dados de registro, para os seguintes dados de nível de registro, selecione Salvar no banco de dados interno e no syslog remoto para o seguinte nome de host ou endereço IP e insira o endereço IP do Google Security Operations:

   • Dados do registro de auditoria administrativa
   • Dados do registro de auditoria de tempo de execução
   • Dados de registros do sistema

   As mensagens do Syslog são transmitidas por um número de porta mais alto para UDP.

8. Na seção Mascaramento de dados de registro, no campo Mascarar número de série do token: número de dígitos do número de série do token a serem exibidos, insira o valor máximo, que é igual ao número de dígitos que aparecem nos tokens disponíveis, como 12.

   Para mais informações, consulte Mascaramento de dados de registro.

9. Clique em Salvar.

Configurar o encaminhador e o syslog do Google Security Operations para ingerir registros do RSA Authentication Manager

1. Selecione Configurações do SIEM > Encaminhadores.
2. Clique em Adicionar novo encaminhador.
3. No campo Nome do encaminhador, insira um nome exclusivo para ele.
4. Clique em Enviar e em Confirmar. O encaminhador é adicionado, e a janela Adicionar configuração do coletor aparece.
5. No campo Nome do coletor, digite um nome exclusivo para ele.
6. Selecione RSA como o Tipo de registro.
7. Selecione Syslog como o Tipo de coletor.
8. Configure os seguintes parâmetros de entrada obrigatórios:
   • Protocolo: especifique o protocolo de conexão que o coletor vai usar para detectar dados do syslog.
   • Endereço: especifique o endereço IP ou o nome do host de destino em que o coletor reside e aguarda dados do syslog.
   • Porta: especifique a porta de destino em que o coletor reside e detecta dados do syslog.
9. Clique em Enviar.

Para mais informações sobre encaminhadores do Google Security Operations, consulte a documentação sobre encaminhadores do Google Security Operations. Para informações sobre os requisitos de cada tipo de encaminhador, consulte Configuração do encaminhador por tipo. Se você tiver problemas ao criar encaminhadores, entre em contato com o suporte do Google Security Operations.

Referência de mapeamento de campos

Esse analisador extrai campos de registros CSV do RSA Authentication Manager, processando variações no formato do registro. Ele usa o grok para analisar inicialmente as linhas de registro e aproveita a filtragem de CSV para extrair campos individuais, mapeando-os para nomes padronizados como username, clientip e operation_status para compatibilidade com a UDM.

Tabela de mapeamento da UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.