Recoger registros de VMware ESXi

Información general

Este analizador extrae campos de registros con formato JSON y syslog de VMware ESXi. Normaliza la variedad de formatos de registro de ESXi en una estructura común y, a continuación, rellena los campos de UDM en función de los valores extraídos, incluidos los casos específicos de diferentes servicios de ESXi, como crond, named y sshd, mediante archivos de inclusión.

Antes de empezar

• Asegúrate de que tienes una instancia de Google SecOps.
• Asegúrate de que tienes acceso con privilegios a VMWare ESX.
• Asegúrate de tener un host Windows 2012 SP2 o posterior, o un host Linux con systemd.
• Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

1. Para instalar en Windows, ejecuta la siguiente secuencia de comandos: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para instalar Linux, ejecuta la siguiente secuencia de comandos: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al equipo en el que está instalado el agente de Bindplane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Permitir la regla de cortafuegos de syslog de ESXi

1. Ve a Redes > Reglas de firewall.
2. Busque syslog en la columna Nombre.
3. Haz clic en Editar configuración.
4. Actualiza el puerto tcp o udp que hayas configurado en Bindplane.
5. Haz clic en Guardar.
6. Mantén seleccionada la línea syslog.
7. Seleccione Acciones > Habilitar.

Exportar Syslog desde VMware ESXi con vSphere Client

1. Inicia sesión en tu host ESXi con vSphere Client.
2. Ve a Gestionar > Sistema > Ajustes avanzados.
3. Busca la clave Syslog.global.logHost en la lista.
4. Selecciona la clave y haz clic en Editar opción.
5. Introduce <protocol>://<destination_IP>:<port>.
   • Sustituye <protocol> por tcp (si has configurado el agente de Bindplane para que use UDP, escribe udp).
   • Sustituye <destination_IP> por la dirección IP de tu agente de Bindplane.
   • Sustituye <port> por el puerto configurado anteriormente en el agente de Bindplane.
6. Haz clic en Guardar.

Opcional: Exportar Syslog desde VMware ESXi mediante SSH

1. Conéctate a tu host ESXi mediante SSH.
2. Usa el comando esxcli system syslog config set --loghost=<protocol>://<destination_IP>:<port>.
   • Sustituye <protocol> por tcp (si has configurado el agente de Bindplane para que use UDP, escribe udp).
   • Sustituye <destination_IP> por la dirección IP de tu agente de Bindplane.
   • Sustituye <port> por el puerto configurado anteriormente en Bindplane.
3. Reinicia el servicio syslog introduciendo el comando /etc/init.d/syslog restart.

Tabla de asignación de UDM

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.