Collecter les journaux d'accès Web Broadcom Symantec SiteMinder

Ce document explique comment collecter les journaux d'accès Web Broadcom Symantec SiteMinder dans Google Security Operations à l'aide d'un agent Bindplane. L'analyseur transforme les journaux bruts au format JSON en un modèle de données unifié (UDM) structuré. Il extrait les champs des messages de journaux bruts à l'aide de modèles Grok, les renomme et les mappe au schéma UDM, gère différents types d'événements et formats d'utilisateur, et enrichit finalement les données pour l'analyse de sécurité.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous d'utiliser Windows 2016 ou une version ultérieure, ou un hôte Linux avec systemd.
• Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
• Assurez-vous de disposer d'un accès privilégié à Symantec SiteMinder.

Obtenir le fichier d'authentification d'ingestion Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Profil.
3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installation de fenêtres

1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec les droits root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

• Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   1. Recherchez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
   2. Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: CA_SSO_WEB
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.

4. Remplacez <customer_id> par le numéro client réel.

5. Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

• Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

  sudo systemctl restart bindplane-agent
  

• Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurer Syslog sur Symantec SiteMinder – 12.8

1. Vérifiez qu'un serveur X-windows est en cours d'exécution sur votre système.
2. Ouvrez une fenêtre de terminal.

3. Définissez la variable DISPLAY à l'aide de la commande suivante :

   export DISPLAY=<IP_ADDRESS>:0.0
   

   • Remplacez <IP_ADDRESS> par l'adresse IP du système à partir duquel vous vous connectez à la console. (par exemple, 192.168.1.100).

4. Connectez-vous au système hébergeant la console.

5. Accédez au répertoire <installation_directory>/siteminder/bin.

   • Remplacez <installation_directory> par l'emplacement dans le système de fichiers où Policy Server est installé. (par exemple, /opt/CA/siteminder).

6. Ouvrez la console en exécutant la commande suivante :

   ./smconsole
   

7. Cliquez sur l'onglet Données.

8. Cliquez sur la liste déroulante Base de données, puis sélectionnez Journaux d'audit.

9. Cliquez sur la liste déroulante Stockage, puis sélectionnez Syslog.

10. Sélectionnez la valeur LOG_INFO dans le champ Priority (Priorité).

11. Sélectionnez la valeur LOG_LOCAL0 dans le champ Facility (Établissement).

12. Cliquez sur OK.

Redémarrer le serveur de règles UNIX

1. Connectez-vous au système hébergeant le serveur de règles avec le même compte utilisateur que celui utilisé pour installer le serveur de règles.
2. Ouvrez la console de gestion.
3. Cliquez sur l'onglet État, puis sur les boutons Arrêter.
4. Attendez que tous les services s'arrêtent.
5. Dans l'onglet Status (État), cliquez sur les boutons Start (Démarrer).

Table de mappage UDM

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.