Recopila registros de VMware ESXi

Descripción general

Este analizador extrae campos de los registros con formato JSON y syslog de VMware ESXi. Normaliza la variedad de formatos de registro de ESXi en una estructura común y, luego, propaga los campos del UDM según los valores extraídos, lo que incluye el control de casos específicos para diferentes servicios de ESXi, como crond, named y sshd, con archivos de inclusión.

Antes de comenzar

• Asegúrate de tener una instancia de Google SecOps.
• Asegúrate de tener acceso con privilegios a VMWare ESX.
• Asegúrate de tener un host de Windows 2012 SP2 o posterior, o bien un host de Linux con systemd.
• Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a SIEM Settings > Collection Agents.
3. Descarga el archivo de autenticación de transferencia.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración del SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

1. Para la instalación en Windows, ejecuta la siguiente secuencia de comandos: msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet.
2. Para la instalación en Linux, ejecuta la siguiente secuencia de comandos: sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh.
3. Puedes encontrar opciones de instalación adicionales en esta guía de instalación.

Configura el agente de Bindplane para que ingiera Syslog y lo envíe a Google SecOps

1. Accede a la máquina en la que está instalado el agente de BindPlane.

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Permite la regla de firewall de syslog de ESXi

1. Ve a Redes > Reglas de firewall.
2. Busca syslog en la columna Nombre.
3. Haz clic en Editar la configuración.
4. Actualiza el puerto tcp o udp que configuraste en Bindplane.
5. Haz clic en Guardar.
6. Mantén seleccionada la línea de syslog.
7. Selecciona Acciones > Habilitar.

Exporta Syslog desde VMware ESXi con vSphere Client

1. Accede a tu host ESXi con vSphere Client.
2. Ve a Administrar > Sistema > Configuración avanzada.
3. Busca la clave Syslog.global.logHost en la lista.
4. Selecciona la clave y haz clic en Editar opción.
5. Ingresa <protocol>://<destination_IP>:<port>.
   • Reemplaza <protocol> por tcp (si configuraste el agente de BindPlane para que use UDP, escribe udp).
   • Reemplaza <destination_IP> por la dirección IP de tu agente de Bindplane.
   • Reemplaza <port> por el puerto configurado anteriormente en el agente de Bindplane.
6. Haz clic en Guardar.

Opcional: Exporta Syslog desde VMware ESXi con SSH

1. Conéctate a tu host ESXi con SSH.
2. Usa el comando esxcli system syslog config set --loghost=<protocol>://<destination_IP>:<port>.
   • Reemplaza <protocol> por tcp (si configuraste el agente de BindPlane para que use UDP, escribe udp).
   • Reemplaza <destination_IP> por la dirección IP de tu agente de Bindplane.
   • Reemplaza <port> por el puerto que configuraste anteriormente en Bindplane.
3. Para reiniciar el servicio syslog, ingresa el comando /etc/init.d/syslog restart.

Tabla de asignación de UDM

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.