Mengumpulkan log CASB Symantec CloudSOC

Dokumen ini menjelaskan cara menyerap log Symantec CloudSOC ke Google Security Operations menggunakan Bindplane. Parser mengekstrak log dari syslog atau pesan berformat JSON. Proses ini melakukan beberapa operasi utama: mengurai kolom pesan, mengonversi pesan ke JSON jika perlu, mengekstrak kolom, memetakannya ke Model Data Terpadu (UDM), dan memperkaya peristiwa dengan konteks tambahan seperti stempel waktu dan detail hasil keamanan. Parser juga menangani berbagai format log dan melakukan tindakan tertentu berdasarkan kolom activity_type untuk mengategorikan peristiwa dengan benar.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

• Instance Google SecOps
• Windows 2016 atau yang lebih baru, atau host Linux dengan systemd
• Jika dijalankan di belakang proxy, port firewall terbuka
• Akses istimewa ke Symantec CloudSOC

Mendapatkan file autentikasi penyerapan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan.

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:
   • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

       receivers:
           udplog:
               # Replace the port and IP address as required
               listen_address: "0.0.0.0:514"
   
       exporters:
           chronicle/chronicle_w_labels:
               compression: gzip
               # Adjust the path to the credentials file you downloaded in Step 1
               creds: '/path/to/ingestion-authentication-file.json'
               # Replace with your actual customer ID from Step 2
               customer_id: <customer_id>
               endpoint: malachiteingestion-pa.googleapis.com
               # Add optional ingestion labels for better organization
               ingestion_labels:
                   log_type: 'SYMANTEC_CASB'
                   raw_log_field: body
   
       service:
           pipelines:
               logs/source0__chronicle_w_labels-0:
                   receivers:
                       - udplog
                   exporters:
                       - chronicle/chronicle_w_labels
   

3. Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.

4. Ganti <customer_id> dengan ID pelanggan yang sebenarnya.

5. Perbarui /path/to/ingestion-authentication-file.json ke jalur tempat file autentikasi disimpan di bagian Dapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart bindplane-agent
  

• Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Mengonfigurasi Syslog di Symantec CASB

1. Login ke host Symantec CloudSOC Anda.

2. Jalankan perintah berikut untuk mengidentifikasi logger yang digunakan sistem:

   ls –d /etc/*syslog*
   

3. Buka bagian yang sesuai, sesuai dengan respons untuk perintah sebelumnya:

   • syslog.conf: Syslog Lama.
   • syslog-ng.conf: Syslog-ng.

Konfigurasi Syslog lama

1. Buka file syslogd, yang biasanya terletak di direktori /etc/default menggunakan editor vi.

   vi /etc/default/syslogd
   

2. Pastikan nilai SYSLOGD berisi tanda -r.

   SYSLOGD="-r"
   

3. Simpan file dan keluar dari editor:

   • Beralih ke mode perintah dengan menekan tombol Esc.
   • Tekan : (titik dua) untuk membuka kolom perintah.
   • Ketik wq setelah titik dua, lalu tekan Enter.

4. Buka file services, yang biasanya terletak di direktori /etc menggunakan editor vi.

   vi /etc/services
   

5. Edit nilai port untuk layanan syslog:

   syslog 514/udp
   

6. Simpan file dan keluar dari editor:

   • Beralih ke mode perintah dengan menekan tombol Esc.
   • Tekan : (titik dua) untuk membuka kolom perintah.
   • Ketik wq setelah titik dua, lalu tekan Enter.

7. Buka file syslog.conf, yang biasanya berada di direktori /etc menggunakan editor vi.

   vi /etc/syslog.conf
   

8. Perbarui konfigurasi untuk meneruskan semua log ke Google SecOps.

   *.* @bindplane_agent_host
   

9. Simpan file dan keluar dari editor:

   • Beralih ke mode perintah dengan menekan tombol Esc.
   • Tekan : (titik dua) untuk membuka kolom perintah.
   • Ketik wq setelah titik dua, lalu tekan Enter.

10. Buka file hosts, yang biasanya berada di direktori /etc menggunakan editor vi.

    vi /etc/hosts
    

11. Buat entri DNS lokal untuk bindplane_agent_host.

    0.0.0.0 bindplane_agent_host
    

12. Simpan file dan keluar dari editor:

    • Beralih ke mode perintah dengan menekan tombol Esc.
    • Tekan : (titik dua) untuk membuka kolom perintah.
    • Ketik wq setelah titik dua, lalu tekan Enter.

13. Mulai ulang layanan daemon syslog.

Konfigurasi syslog-ng

1. Buka file syslog-ng.conf, yang biasanya berada di direktori /etc menggunakan editor vi.

   vi /etc/syslog-ng.conf
   

2. Tambahkan kode berikut ke bagian akhir file:

   destination d____ { udp("bindplane_agent_host" port(514));}; log {source(s_src);
   destination(d____);};
   

3. Buka file hosts, yang biasanya berada di direktori /etc menggunakan editor vi.

   vi /etc/hosts
   

4. Buat entri DNS lokal untuk bindplane_agent_host.

   0.0.0.0 bindplane_agent_host
   

5. Simpan file dan keluar dari editor:

   • Beralih ke mode perintah dengan menekan tombol Esc.
   • Tekan : (titik dua) untuk membuka kolom perintah.
   • Ketik wq setelah titik dua, lalu tekan Enter.

6. Mulai ulang layanan daemon syslog-ng.

Tabel pemetaan UDM

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.