Esta página se ha traducido con Cloud Translation API.

Recoger registros de VMware Workspace ONE UEM

Disponible en:

SecOps de Google SIEM

Este analizador extrae registros de VMware Workspace ONE UEM (antes conocido como VMware AirWatch) en formatos Syslog, CEF o de pares clave-valor. Normaliza campos como nombres de usuario, marcas de tiempo y detalles de eventos, y los asigna al UDM. El analizador gestiona varios tipos de eventos de Workspace ONE UEM y rellena los campos principal, target y otros campos de UDM en función de datos de eventos y lógica específicos para diferentes formatos de registro.

Antes de empezar

Asegúrate de que tienes una instancia de Google Security Operations.
Asegúrate de que tienes acceso con privilegios a la consola de VMware Workspace ONE.
Asegúrate de que tienes un host Windows o Linux con systemd.
Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.

Obtener el archivo de autenticación de ingestión de Google SecOps

Inicia sesión en la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recogida.
Descarga el archivo de autenticación de ingestión.

Obtener el ID de cliente de Google SecOps

Inicia sesión en la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Para instalar en Windows, ejecuta la siguiente secuencia de comandos:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Para instalar Linux, ejecuta la siguiente secuencia de comandos:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
Puedes consultar otras opciones de instalación en esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

Accede al equipo en el que está instalado Bindplane.

Edita el archivo config.yaml de la siguiente manera:

receivers:
  tcplog:
    # Replace the below port <54525> and IP (0.0.0.0) with your specific values
    listen_address: "0.0.0.0:54525" 

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the creds location below according the placement of the credentials file you downloaded
        creds: '{ json file for creds }'
        # Replace <customer_id> below with your actual ID that you copied
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # You can apply ingestion labels below as preferred
        ingestion_labels:
        log_type: SYSLOG
        namespace: 
        raw_log_field: body
service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios con el siguiente comando: sudo systemctl bindplane restart

Configurar syslog en VMware Workspace ONE UEM

Inicia sesión en la consola de Workspace ONE UEM:
Ve a Ajustes > Sistema > Avanzado > Syslog.
Marca la opción Habilitar Syslog.
Especifique valores para los siguientes parámetros de entrada:
- Dirección IP o nombre de host: introduce la dirección de tu agente de Bindplane.
- Puerto: introduce el puerto designado (predeterminado: 514).
- Protocolo: selecciona UDP o TCP en función de la configuración de tu agente de Bindplane.
- Seleccionar tipos de registro: selecciona los registros que quieras enviar a Google SecOps (registros de gestión de dispositivos, registros de actividad de la consola, registros de cumplimiento y registros de eventos).
- Define el nivel de registro (por ejemplo, Info, Warning o Error).
Haga clic en Guardar para aplicar la configuración.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`AdminAccount`	`principal.user.userid`	El `AdminAccount` del registro sin procesar se asigna al campo `principal.user.userid`.
`Application`	`target.application`	El campo `Application` del registro sin procesar se asigna al campo `target.application`.
`ApplicationUUID`	`additional.fields`	El campo `ApplicationUUID` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` de UDM. La clave es "ApplicationUUID".
`BytesReceived`	`network.received_bytes`	El campo `BytesReceived` del registro sin procesar se asigna al campo `network.received_bytes`.
`Device`	`target.hostname`	El campo `Device` del registro sin procesar se asigna al campo `target.hostname`.
`FriendlyName`	`target.hostname`	El campo `FriendlyName` del registro sin procesar se asigna al campo `target.hostname` cuando `Device` no está disponible.
`GroupManagementData`	`security_result.description`	El campo `GroupManagementData` del registro sin procesar se asigna al campo `security_result.description`.
`Hmac`	`additional.fields`	El campo `Hmac` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` de UDM. La clave es "Hmac".
`LoginSessionID`	`network.session_id`	El campo `LoginSessionID` del registro sin procesar se asigna al campo `network.session_id`.
`LogDescription`	`metadata.description`	El campo `LogDescription` del registro sin procesar se asigna al campo `metadata.description`.
`MessageText`	`metadata.description`	El campo `MessageText` del registro sin procesar se asigna al campo `metadata.description`.
`OriginatingOrganizationGroup`	`principal.user.group_identifiers`	El campo `OriginatingOrganizationGroup` del registro sin procesar se asigna al campo `principal.user.group_identifiers`.
`OwnershipType`	`additional.fields`	El campo `OwnershipType` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` de UDM. La clave es "OwnershipType".
`Profile`	`target.resource.name`	El campo `Profile` del registro sin procesar se asigna al campo `target.resource.name` cuando `ProfileName` no está disponible.
`ProfileName`	`target.resource.name`	El campo `ProfileName` del registro sin procesar se asigna al campo `target.resource.name`.
`Request Url`	`target.url`	El campo `Request Url` del registro sin procesar se asigna al campo `target.url`.
`SmartGroupName`	`target.group.group_display_name`	El campo `SmartGroupName` del registro sin procesar se asigna al campo `target.group.group_display_name`.
`Tags`	`additional.fields`	El campo `Tags` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` de UDM. La clave es "Tags".
`User`	`target.user.userid`	El campo `User` del registro sin procesar se asigna al campo `target.user.userid`. El `Event Category` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` del UDM. La clave es "Categoría del evento". El `Event Module` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` del UDM. La clave es "Event Module". El `Event Source` del registro sin procesar se añade como par clave-valor a la matriz `additional.fields` del UDM. La clave es "Event Source". El analizador lo define como "SSO" para eventos específicos. Derivado de la marca de tiempo del registro sin procesar. El analizador extrae la fecha y la hora del registro sin procesar y las convierte en una marca de tiempo UDM. Determinado por el analizador en función de `event_name` y otros campos. Consulta el código del analizador para ver la lógica de asignación. El analizador le asigna el valor "AIRWATCH". El `event_name` del registro sin procesar se asigna al campo `metadata.product_event_type`. El analizador lo define como "AirWatch". El analizador lo define como "VMWare". El `domain` del registro sin procesar se asigna al campo `principal.administrative_domain`. El `hostname` se extrae del campo `device_name` del registro sin procesar o se asigna a los campos `Device` o `FriendlyName`. El `sys_ip` del registro sin procesar se asigna al campo `principal.ip`. Se extrae del registro sin procesar de determinados tipos de eventos. Se extrae del registro sin procesar de determinados tipos de eventos. El `user_name` del registro sin procesar se asigna al campo `principal.user.userid`. Se extrae del registro sin procesar de determinados tipos de eventos. Definido por el analizador para eventos específicos. Definido por el analizador para eventos específicos. El `event_category` del registro sin procesar se asigna al campo `security_result.category_details`. Se extrae del registro sin procesar de determinados tipos de eventos. Se extrae del registro sin procesar de determinados tipos de eventos. El `domain` del registro sin procesar se asigna al campo `target.administrative_domain`. Se construye combinando `DeviceSerialNumber` y `DeviceUdid` del registro sin procesar del evento "DeleteDeviceRequested". Se extrae del registro sin procesar de determinados tipos de eventos. Se extrae del registro sin procesar de determinados tipos de eventos. La `sys_ip` u otras direcciones IP del registro sin procesar se asignan al campo `target.ip`. Se extrae del registro sin procesar de determinados tipos de eventos. Se extrae del registro sin procesar de determinados tipos de eventos. Definido por el analizador para eventos específicos. Se extrae del registro sin procesar de determinados tipos de eventos. Se extrae del registro sin procesar de determinados tipos de eventos. Se extrae del registro sin procesar de determinados tipos de eventos.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.