Coletar registros do Wazuh

Visão geral

Esse analisador do Wazuh ingere registros formatados em SYSLOG e JSON, normaliza campos em um formato comum e os enriquece com metadados específicos do Wazuh. Em seguida, ele usa uma série de instruções condicionais com base nos campos event_type e rule_id para mapear os dados de registro brutos para o tipo e os campos de evento da UDM adequados, processando vários formatos de registro e casos extremos no ecossistema do Wazuh.

Antes de começar

Verifique se você atende aos seguintes pré-requisitos:

• Instância do Google SecOps.
• Uma instância ativa do Wazuh.
• Acesso privilegiado aos arquivos de configuração do Wazuh.

Configurar feeds

Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:

• Configurações do SIEM > Feeds
• Central de conteúdo > Pacotes de conteúdo

Configure feeds em "Configurações do SIEM" > "Feeds".

Para configurar um feed, siga estas etapas:

1. Acesse Configurações do SIEM > Feeds.
2. Clique em Adicionar novo feed.
3. Na próxima página, clique em Configurar um único feed.
4. No campo Nome do feed, insira um nome para o feed, por exemplo, Registros do Wazuh.
5. Selecione Webhook como o Tipo de origem.
6. Selecione Wazuh como o Tipo de registro.
7. Clique em Próxima.
8. Opcional: especifique valores para os seguintes parâmetros de entrada:
   • Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.
9. Clique em Próxima.
10. Revise a configuração do feed na tela Finalizar e clique em Enviar.
11. Clique em Gerar chave secreta para autenticar o feed.
12. Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.
13. Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.
14. Clique em Concluído.

Configurar feeds na Central de conteúdo

Especifique valores para os seguintes campos:

• Delimitador de divisão: o delimitador usado para separar linhas de registro, como \n.

  Opções avançadas

• Nome do feed: um valor pré-preenchido que identifica o feed.

• Tipo de origem: método usado para coletar registros no Google SecOps.

• Namespace do recurso: namespace associado ao feed.

• Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.

• Clique em Gerar chave secreta para autenticar o feed.

• Copie e armazene a chave secreta. Não é possível ver essa chave secreta novamente. Se necessário, você pode gerar uma nova chave secreta, mas isso torna a anterior obsoleta.

• Na guia Detalhes, copie o URL do endpoint do feed no campo Informações do endpoint. É necessário especificar esse URL de endpoint no aplicativo cliente.

Criar uma chave de API para o feed de webhook

1. Acesse **Google Cloud console > Credenciais.

   Ir para Credenciais

2. Clique em Criar credenciais e, em seguida, selecione Chave de API.

3. Restrinja o acesso da chave de API à API Google Security Operations.

Especifique o URL do endpoint

1. No aplicativo cliente, especifique o URL do endpoint HTTPS fornecido no feed do webhook.

2. Ative a autenticação especificando a chave de API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   Recomendação: especifique a chave de API como um cabeçalho em vez de no URL. Se o cliente de webhook não aceitar cabeçalhos personalizados, especifique a chave de API e a chave secreta usando parâmetros de consulta no seguinte formato:

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

Substitua:

• ENDPOINT_URL: o URL do endpoint do feed.
• API_KEY: a chave de API para autenticar no Google Security Operations.
• SECRET: a chave secreta gerada para autenticar o feed.

Configurar o webhook do Wazuh Cloud

Conclua as etapas a seguir para configurar o webhook da nuvem do Wazuh:

1. Faça login no Wazuh Cloud.
2. Acesse Configurações, localizado no menu do painel à esquerda em Gerenciamento do servidor.
3. Clique em Editar configuração.

4. Adicione o seguinte bloco de integração na seção <integration> da configuração.

   • Se a seção não existir, copie todo o bloco com <integration> para criar um.
   • Substitua os valores de marcador pelos detalhes reais do Google SecOps:

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

• CHRONICLE_REGION: sua região do Google SecOps (por exemplo, us, europe-west1).
• GOOGLE_PROJECT_NUMBER: o número do seu projeto do Google Cloud.
• LOCATION: sua região do Google SecOps (por exemplo, us, europe-west1).
• CUSTOMER_ID: seu ID de cliente do Google SecOps.
• FEED_ID: o ID do seu feed do Google SecOps.
• API_KEY: a chave de API do Google Cloud que hospeda o Google SecOps.
• SECRET: o segredo do seu feed do Google SecOps.
• alert_format: defina como json para compatibilidade com o Google SecOps.
• level: especifica o nível mínimo de alerta a ser encaminhado. O 0 envia todos os alertas.

1. Clique no botão Salvar.
2. Clique em Reiniciar wazuh-manager.

Configurar o webhook local do Wazuh

Siga estas etapas para configurar o webhook local do Wazuh:

1. Acesse seu gerenciador do Wazuh no local.
2. Acesse o diretório /var/ossec/etc/.
3. Abra o arquivo ossec.conf usando um editor de texto (por exemplo, nano, vim).

4. Adicione o seguinte bloco de integração na seção <integration> da configuração.

   • Se a seção não existir, copie todo o bloco com <integration> para criar um.
   • Substitua os valores de marcador pelos detalhes reais do Google SecOps:

   <integration>
      <name>google-chronicle</name>
      <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
      <alert_format>json</alert_format>
      <level>0</level>  <!-- Adjust the level as needed -->
   </integration>
   

   • CHRONICLE_REGION: sua região do Google SecOps (por exemplo, us, europe-west1).
   • GOOGLE_PROJECT_NUMBER: o número do seu projeto do Google Cloud.
   • LOCATION: sua região do Google SecOps (por exemplo, us, europe-west1).
   • CUSTOMER_ID: seu ID de cliente do Google SecOps.
   • FEED_ID: o ID do seu feed do Google SecOps.
   • API_KEY: a chave de API do Google Cloud que hospeda o Google SecOps.
   • SECRET: o segredo do seu feed do Google SecOps.
   • alert_format: defina como json para compatibilidade com o Google SecOps.
   • level: especifica o nível mínimo de alerta a ser encaminhado. O 0 envia todos os alertas.

5. Reinicie o gerenciador do Wazuh para aplicar as mudanças:

   sudo systemctl restart wazuh-manager
   

Tabela de mapeamento do UDM

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.