Recolha registos do Symantec CloudSOC CASB

Este documento explica como carregar registos do Symantec CloudSOC para o Google Security Operations através do Bindplane. O analisador extrai registos de mensagens formatadas em syslog ou JSON. Executa várias operações importantes: analisar o campo de mensagem, converter a mensagem em JSON, se necessário, extrair campos, mapeá-los para o modelo de dados unificado (UDM) e enriquecer o evento com contexto adicional, como indicações de tempo e detalhes dos resultados de segurança. O analisador também processa vários formatos de registo e executa ações específicas com base no campo activity_type para categorizar o evento corretamente.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Instância do Google SecOps
• Windows 2016 ou posterior, ou um anfitrião Linux com systemd
• Se estiver a ser executado através de um proxy, as portas da firewall estão abertas
• Acesso privilegiado ao Symantec CloudSOC

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

       receivers:
           udplog:
               # Replace the port and IP address as required
               listen_address: "0.0.0.0:514"
   
       exporters:
           chronicle/chronicle_w_labels:
               compression: gzip
               # Adjust the path to the credentials file you downloaded in Step 1
               creds: '/path/to/ingestion-authentication-file.json'
               # Replace with your actual customer ID from Step 2
               customer_id: <customer_id>
               endpoint: malachiteingestion-pa.googleapis.com
               # Add optional ingestion labels for better organization
               ingestion_labels:
                   log_type: 'SYMANTEC_CASB'
                   raw_log_field: body
   
       service:
           pipelines:
               logs/source0__chronicle_w_labels-0:
                   receivers:
                       - udplog
                   exporters:
                       - chronicle/chronicle_w_labels
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID de cliente real.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configure o Syslog no Symantec CASB

1. Inicie sessão no anfitrião do Symantec CloudSOC.

2. Execute o seguinte comando para identificar que registador o sistema usa:

   ls –d /etc/*syslog*
   

3. Aceda à secção correspondente, de acordo com a resposta ao comando anterior:

   • syslog.conf: Syslog antigo.
   • syslog-ng.conf: Syslog-ng.

Configuração do Syslog antigo

1. Abra o ficheiro syslogd, normalmente localizado no diretório /etc/default, através do editor vi.

   vi /etc/default/syslogd
   

2. Certifique-se de que o valor SYSLOGD contém a flag -r.

   SYSLOGD="-r"
   

3. Guarde o ficheiro e saia do editor:

   • Mude para o modo de comando premindo a tecla Esc.
   • Prima : (dois pontos) para abrir a barra de comandos.
   • Escreva wq depois dos dois pontos e prima Enter.

4. Abra o ficheiro services, normalmente localizado no diretório /etc, através do editor vi.

   vi /etc/services
   

5. Edite o valor da porta para o serviço syslog:

   syslog 514/udp
   

6. Guarde o ficheiro e saia do editor:

   • Mude para o modo de comando premindo a tecla Esc.
   • Prima : (dois pontos) para abrir a barra de comandos.
   • Escreva wq depois dos dois pontos e prima Enter.

7. Abra o ficheiro syslog.conf, normalmente localizado no diretório /etc, através do editor vi.

   vi /etc/syslog.conf
   

8. Atualize a configuração para encaminhar todos os registos para o Google SecOps.

   *.* @bindplane_agent_host
   

9. Guarde o ficheiro e saia do editor:

   • Mude para o modo de comando premindo a tecla Esc.
   • Prima : (dois pontos) para abrir a barra de comandos.
   • Escreva wq depois dos dois pontos e prima Enter.

10. Abra o ficheiro hosts, normalmente localizado no diretório /etc, através do editor vi.

    vi /etc/hosts
    

11. Crie uma entrada DNS local para bindplane_agent_host.

    0.0.0.0 bindplane_agent_host
    

12. Guarde o ficheiro e saia do editor:

    • Mude para o modo de comando premindo a tecla Esc.
    • Prima : (dois pontos) para abrir a barra de comandos.
    • Escreva wq depois dos dois pontos e prima Enter.

13. Reinicie o serviço de daemon syslog.

Configuração do Syslog-ng

1. Abra o ficheiro syslog-ng.conf, normalmente localizado no diretório /etc, através do editor vi.

   vi /etc/syslog-ng.conf
   

2. Adicione o seguinte código ao final do ficheiro:

   destination d____ { udp("bindplane_agent_host" port(514));}; log {source(s_src);
   destination(d____);};
   

3. Abra o ficheiro hosts, normalmente localizado no diretório /etc, através do editor vi.

   vi /etc/hosts
   

4. Crie uma entrada DNS local para bindplane_agent_host.

   0.0.0.0 bindplane_agent_host
   

5. Guarde o ficheiro e saia do editor:

   • Mude para o modo de comando premindo a tecla Esc.
   • Prima : (dois pontos) para abrir a barra de comandos.
   • Escreva wq depois dos dois pontos e prima Enter.

6. Reinicie o serviço de daemon syslog-ng.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.