Recolha registos de DHCP da Sophos

Este documento explica como carregar registos do Protocolo de Configuração Dinâmica de Anfitriões (DHCP) da Sophos para o Google Security Operations através do Bindplane. O analisador primeiro normaliza as mensagens syslog do DHCP da Sophos numa estrutura de chave-valor e, em seguida, mapeia os campos extraídos para o esquema do modelo de dados unificado (UDM). Processa diferentes tipos de mensagens DHCP (DHCPREQUEST, DHCPACK, DHCPOFFER, DHCPNAK) e extrai informações relevantes, como endereços IP, endereços MAC e opções DHCP.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Uma instância do Google SecOps.
• Um anfitrião Windows 2016 ou posterior, ou Linux com systemd.
• Se estiver a ser executado através de um proxy, certifique-se de que as portas da firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso privilegiado à consola de gestão do Sophos UTM ou à consola de administração Web do Sophos Firewall (SFOS).

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento.
   • Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente na secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação do Windows

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'SOPHOS_DHCP'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
   • Substitua <CUSTOMER_ID> pelo ID de cliente real.
   • Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente BindPlane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

• Para reiniciar o agente BindPlane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

  sc stop observiq-otel-collector && sc start observiq-otel-collector
  

Opção 2: configure o encaminhamento do Syslog na firewall da Sophos

1. Inicie sessão na consola de administração Web da firewall da Sophos.
2. Aceda a Configurar > Serviços do sistema > Definições de registo.
3. Clique em Adicionar para configurar um servidor Syslog.
4. Indique os seguintes detalhes de configuração:
   • Nome: introduza um nome exclusivo para o coletor do Google SecOps (por exemplo, Google SecOps BindPlane DHCP).
   • Endereço IP/domínio: introduza o endereço IP do BindPlane.
   • Porta: introduza o número da porta do BindPlane (por exemplo, 514).
   • Instalação: selecione DAEMON.
   • Nível de gravidade: selecione Informações.
   • Formatar: selecione Formato padrão do dispositivo.
5. Clique em Guardar.
6. Regresse à página Definições de registo e selecione os tipos de registos específicos a encaminhar para o servidor syslog.
7. Selecione as categorias de registo adequadas que incluem eventos DHCP. Os registos DHCP são gerados pelo serviço dhcpd e fazem parte dos registos de rede ou do sistema que são encaminhados quando as categorias de registos correspondentes estão ativadas.
8. Clique em Aplicar para guardar a configuração.

Opção 1: configure o encaminhamento do Syslog no Sophos UTM

1. Inicie sessão na Sophos UTM Management Console.
2. Aceda a Registo e relatórios > Definições de registo > Servidor Syslog remoto.
3. Clique no botão de ativação/desativação para ativar o Syslog remoto. A área Definições de Syslog remoto torna-se editável.
4. No campo Servidores Syslog, clique em + Adicionar servidor Syslog.
5. Na caixa de diálogo Adicionar servidor Syslog, indique os seguintes detalhes de configuração:
   • Nome: introduza um nome descritivo (por exemplo, Google SecOps BindPlane DHCP).
   • Servidor: clique no ícone + (mais) junto ao campo Servidor. Crie ou selecione um Anfitrião nas Definições de rede com o endereço IP do agente BindPlane e clique em Guardar.
   • Porta: clique no ícone + (mais) junto ao campo Porta. Crie ou selecione uma definição de serviço com o protocolo e a porta adequados (por exemplo, UDP/514) e clique em Guardar.
6. Clique em Guardar na caixa de diálogo Adicionar servidor Syslog.
7. Clique em Aplicar na secção Definições de Syslog remoto.

1. Opcional: ajuste a definição Buffer de Syslog remoto (o valor predefinido é 1000 linhas) e clique em Aplicar.
2. Na secção Seleção de registos Syslog remotos, selecione Servidor DHCP e as categorias de registos necessárias.
3. Clique em Aplicar para guardar as definições de seleção de registos.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.