Coletar registros do VMware Workspace ONE UEM

Esse analisador extrai registros do VMware Workspace ONE UEM (antigo VMware AirWatch) nos formatos Syslog, CEF ou par de chave-valor. Ele normaliza campos como nomes de usuários, carimbos de data/hora e detalhes de eventos, mapeando-os para a UDM. O analisador processa vários tipos de eventos do Workspace ONE UEM, preenchendo os campos principal, destino e outros do UDM com base em dados e lógica de eventos específicos para diferentes formatos de registro.

Antes de começar

• Verifique se você tem uma instância do Google Security Operations.
• Confirme que você tem acesso privilegiado ao console do VMware Workspace ONE.
• Verifique se você tem um host Windows ou Linux com systemd.
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.

Receber o arquivo de autenticação de ingestão do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão.

Receber o ID do cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

1. Para instalação no Windows, execute o seguinte script:
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Para instalação no Linux, execute o seguinte script:
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. Outras opções de instalação estão disponíveis neste guia de instalação.

Configurar o agente do Bindplane para ingerir Syslog e enviar ao Google SecOps

1. Acesse a máquina em que o Bindplane está instalado.

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reinicie o agente do Bindplane para aplicar as mudanças usando o seguinte comando: sudo systemctl bindplane restart

Como configurar o syslog no VMware Workspace ONE UEM

1. Faça login no console do Workspace ONE UEM:
2. Acesse Configurações > Sistema > Avançado > Syslog.
3. Marque a opção Ativar Syslog.
4. Especifique valores para os seguintes parâmetros de entrada:
   • Endereço IP/nome do host: insira o endereço do seu agente do Bindplane.
   • Porta: insira a porta designada (padrão: 514).
   • Protocolo: selecione UDP ou TCP, dependendo da configuração do agente do Bindplane.
   • Selecionar tipos de registros: escolha os registros que você quer enviar para o Google SecOps: registros de gerenciamento de dispositivos, registros de atividade do console, registros de compliance e registros de eventos.
   • Defina o nível de registro (por exemplo, Info, Warning, Error).
5. Clique em Salvar para aplicar as configurações.

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.