Raccogliere i log di Varonis

Supportato in:

Questo documento spiega come importare i log di Varonis in Google Security Operations utilizzando Bindplane. Il parser estrae i campi dai log (SYSLOG + KV (CEF), LEEF) utilizzando i pattern Grok, gestendo in modo specifico CEF, LEEF e altri formati specifici di Varonis. Dopodiché, mappa i campi estratti nel modello Unified Data Model (UDM), gestendo vari formati di dati e casi limite per garantire una rappresentazione coerente.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Host Windows 2016 o versioni successive o Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, le porte del firewall sono aperte
  • Accesso con privilegi a Varonis

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi di root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio "nano", "vi" o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'VARONIS'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.

  4. Sostituisci <customer_id> con l'ID cliente effettivo.

  5. Aggiorna /path/to/ingestion-authentication-file.json al percorso in cui è stato salvato il file di autenticazione nella sezione Recupera il file di autenticazione per l'importazione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare l'esportazione Syslog in Varonis

  1. Accedi all'UI web di Varonis.
  2. Vai a Strumenti > DatAlert > Seleziona DatAlert.
  3. Seleziona Configurazione.
  4. Fornisci i seguenti dettagli di configurazione:
    • Indirizzo IP del messaggio Syslog: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta: inserisci il numero di porta dell'agente Bindplane (ad esempio, 514 per UDP).
    • Nome struttura: seleziona una struttura.
  5. Fai clic su Applica.

Configurare il formato Syslog in Varonis

  1. Vai a Strumenti > DatAlert > Modelli di avviso.
  2. Fai clic su Modifica modello di avviso e seleziona Modello predefinito del sistema esterno.
  3. In Applica ai metodi di avviso, seleziona Messaggio Syslog dall'elenco.
  4. Seleziona Regole > Metodo di avviso dal menu.
  5. Seleziona Messaggio Syslog.
  6. Fai clic su OK.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
act security_result.summary Valore del campo act nel messaggio CEF.
cn1 security_result.rule_id Valore del campo cn1 nel messaggio CEF.
cs1 network.email.to Valore del campo cs1 nel messaggio CEF, in particolare il destinatario dell'email.
cs2 security_result.rule_name Valore del campo cs2 nel messaggio CEF.
device_version metadata.product_version Valore del campo device_version nel messaggio CEF.
dhost principal.hostname Valore del campo dhost nel messaggio CEF, che rappresenta il nome host principale. Se file_server è presente e non è "DirectoryServices", questo valore viene sovrascritto.
duser target.user.userid Valore del campo duser nel messaggio CEF. Subisce la trasformazione gsub per rimuovere le barre rovesciate e dividere in target.user.userid e target.administrative_domain.
dvchost target.hostname Valore del campo dvchost nel messaggio CEF.
filePath target.file.full_path Valore del campo filePath nel messaggio CEF.
rt metadata.event_timestamp Valore del campo rt nel messaggio CEF, analizzato come timestamp.
severity security_result.severity Valore del campo severity nel messaggio CEF o LEEF. Convertito in maiuscolo. Mappato ai valori di gravità UDM (LOW, INFORMATIONAL, MEDIUM, HIGH, CRITICAL) in base al valore numerico o alla parola chiave.
Acting Object target.user.user_display_name Valore del campo Acting Object nei dati chiave-valore. Dividi per "\" per estrarre il nome visualizzato.
Acting Object SAM Account Name target.user.userid Valore del campo Acting Object SAM Account Name nei dati chiave-valore.
Device hostname target.hostname Valore del campo Device hostname nei dati chiave-valore.
Device IP address target.ip Valore del campo Device IP address nei dati chiave-valore.
Event Time metadata.event_timestamp Valore del campo Event Time nei dati chiave-valore, analizzato come timestamp.
Event Type target.application, metadata.event_type Valore del campo Event Type nei dati chiave-valore. Utilizzato per derivare metadata.event_type (FILE_OPEN, USER_CHANGE_PERMISSIONS, USER_CHANGE_PASSWORD, USER_UNCATEGORIZED).
File Server/Domain principal.hostname Valore del campo File Server/Domain nei dati chiave-valore. Se non è "DirectoryServices", sovrascrive principal.hostname derivato da dhost.
Path target.file.full_path Valore del campo Path nei dati chiave-valore.
Rule Description metadata.description Valore del campo Rule Description nei dati chiave-valore.
Rule ID security_result.rule_id Valore del campo Rule ID nei dati chiave-valore.
Rule Name security_result.rule_name Valore del campo Rule Name nei dati chiave-valore.
intermediary_host intermediary.hostname Valore estratto da grok, che rappresenta il nome host intermedio.
log_type metadata.log_type Codificato in modo permanente su VARONIS.
metadata.event_type metadata.event_type Derivato in base ai valori di evt_typ, act e filepath. Il valore predefinito è STATUS_UPDATE se event_type è GENERIC_EVENT e principal_hostname è presente.
metadata.product_name metadata.product_name Codificato in modo permanente su VARONIS, ma può essere sovrascritto dal campo product_name del messaggio LEEF.
metadata.vendor_name metadata.vendor_name Codificato in modo permanente su VARONIS, ma può essere sovrascritto dal campo vendor del messaggio LEEF.
prin_host principal.hostname Valore estratto da grok, che rappresenta il nome host dell'entità.
product_name metadata.product_name Valore ottenuto dal messaggio LEEF.
security_result.action security_result.action Derivato dal campo result o Event Status. Imposta il valore su "ALLOW" se il risultato è Success, altrimenti impostalo su BLOCK.
timestamp timestamp, metadata.event_timestamp Il timestamp dell'evento viene derivato da vari campi (datetime1, event_time, start_datetime, datetime2) in base alla disponibilità. create_time del log non elaborato viene utilizzato come fallback e mappato sia a timestamp che a metadata.event_timestamp se non sono disponibili altri campi timestamp.
vendor metadata.vendor_name Valore ottenuto dal messaggio LEEF.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.