Absolute Secure Endpoint-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Absolute Secure Endpoint-Logs (früher Absolute Data & Device Security) mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den SIEM-Connector-Logs im SYSLOG- oder KV-Format (CEF). Dabei werden Grok-Muster verwendet, um Felder zu identifizieren und zu extrahieren. Anschließend wird anhand bedingter Logik, die auf dem Vorhandensein von kv_pair- oder cef-Daten basiert, eine Zuordnung der extrahierten Felder zum UDM-Schema vorgenommen. Je nach den identifizierten Feldern und ihren Werten werden spezifische Zuordnungen und Transformationen angewendet, die sowohl Status-Heartbeat- als auch Sicherheitsereignisdaten verarbeiten.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Windows 2016- oder höher- oder Linux-Host mit systemd zum Ausführen des Bindplane-Agents
  • Ein Windows-Server (2012 oder höher) zum Hosten des Absolute SIEM Connector-Dienstes
  • Microsoft .NET Framework 4.0 oder höher ist auf dem Windows-Server installiert, auf dem der SIEM-Connector gehostet wird.
  • Privilegierter Zugriff auf die Absolute Secure Endpoint-Konsole mit aktivierter SIEM-Integration
  • Wenn Sie den Agent hinter einem Proxy ausführen, achten Sie darauf, dass die Firewallports gemäß den Anforderungen des BindPlane-Agents geöffnet sind.

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Konfigurationsdatei aufrufen:

    1. Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    2. Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ABSOLUTE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Get Google SecOps ingestion authentication file (Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen) gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Um den Bindplane-Agent unter Windows neu zu starten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Absolute SIEM Connector auf Windows Server installieren

Der Absolute SIEM-Connector ist ein Windows-Dienst, der Benachrichtigungsereignisdaten aus dem Absolute Monitoring Center abruft und sie über Syslog im CEF-Format weiterleitet. Der SIEM-Connector wird als MSI-Installer bereitgestellt und ist für Kunden von Absolute Data & Device Security (DDS) Professional und Premium über das Absolute Customer Center kostenlos verfügbar.

  1. Melden Sie sich unter https://cc.absolute.com/ in der Absolute Secure Endpoint Console an.
  2. Rufen Sie das Kundencenter oder den Bereich Downloads auf.
  3. Laden Sie das MSI-Installationsprogramm für Absolute SIEM Connector herunter.
  4. Übertragen Sie das Installationsprogramm auf Ihren Windows-Server.
  5. Führen Sie das Installationsprogramm auf Ihrem Windows Server als Administrator aus.
  6. Folgen Sie dem Installationsassistenten, um die Installation abzuschließen.
  7. Notieren Sie sich das Installationsverzeichnis (in der Regel C:\Program Files\Absolute Software\Absolute SIEM Connector).

SIEM-Integration in der Absolute Secure Endpoint Console aktivieren

Bevor der SIEM-Connector Ereignisse abrufen kann, müssen Sie die SIEM-Integration in der Absolute Secure Endpoint Console aktivieren.

  1. Melden Sie sich unter https://cc.absolute.com/ in der Absolute Secure Endpoint Console an.
  2. Rufen Sie den Bereich Einstellungen oder Verwaltung auf.
  3. Suchen Sie die Einstellungen für die SIEM-Integration.
  4. Klicken Sie auf SIEM-Integration aktivieren oder stellen Sie die SIEM-Integration auf Ein.
  5. Wählen Sie die Ereignistypen aus, die Sie an Ihr SIEM weiterleiten möchten:
    • Sie können auch Alle Ereignistypen auswählen, um alle verfügbaren Logs weiterzuleiten.
  6. Klicken Sie auf Speichern oder Übernehmen, um die Konfiguration zu speichern.

Absolute SIEM Connector konfigurieren

Nachdem Sie den SIEM-Connector installiert und die SIEM-Integration in der Konsole aktiviert haben, konfigurieren Sie den Connector so, dass Ereignisse an den BindPlane-Agent gesendet werden.

  1. Öffnen Sie auf dem Windows-Server, auf dem der Absolute SIEM Connector installiert ist, das Absolute SIEM Connector Configuration Tool.
    • Sie finden diese im Startmenü unter Absolute Software oder im Installationsverzeichnis.
  2. Geben Sie die folgenden Konfigurationsdetails an:
    • Syslog Server Host (Syslog-Serverhost): Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agents ein.
    • Syslog-Serverport: Geben Sie 514 ein (oder den in BindPlane konfigurierten Port).
    • Protokoll: Wählen Sie je nach der tatsächlichen Bindplane-Konfiguration UDP oder TCP aus.
    • Format: Prüfen Sie, ob CEF (Common Event Format) ausgewählt ist.
    • Aktualisierungsintervall: Legen Sie fest, wie oft der Connector Ereignisse von Absolute abruft (mindestens 2 Minuten, maximal 1.440 Minuten/24 Stunden; Standardwert ist 60 Minuten).
    • Zeitzone: Ereignisse werden in der Zeitzone UTC übertragen, um eine universelle Konsistenz zwischen den Systemen zu gewährleisten.
  3. Klicken Sie auf Speichern.
  4. Starten Sie den Dienst Absolute SIEM Connector oder starten Sie ihn neu:
    • Öffnen Sie Dienste (services.msc).
    • Suchen Sie den Dienst Absolute SIEM Connector.
    • Klicken Sie auf Starten oder Neu starten.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
actorID principal.user.product_object_id Der Wert von actorID aus dem Rohlog wird diesem UDM-Feld zugeordnet.
actorName principal.hostname Wenn actorType „Device“ ist, wird der Wert von actorName diesem UDM-Feld zugeordnet.
actorName principal.user.userid Wenn actorType „User“ ist, wird der Wert von actorName diesem UDM-Feld zugeordnet.
actorType principal.user.attribute.roles.name Der Wert von actorType wird diesem UDM-Feld zugeordnet.
Alert ID security_result.threat_id Der Wert von Alert ID aus dem Rohlog wird diesem UDM-Feld zugeordnet.
Alert Name security_result.threat_name Der Wert von Alert Name aus dem Rohlog wird diesem UDM-Feld zugeordnet.
Alert Time metadata.event_timestamp Der Wert von Alert Time aus dem Rohlog wird geparst und diesem UDM-Feld zugeordnet. Wird als Fallback verwendet, wenn das Feld date nicht vorhanden oder ungültig ist.
cef metadata.product_event_type Das Feld eventType, das aus dem CEF-String extrahiert wurde, wird diesem UDM-Feld zugeordnet.
cef principal.hostname Das Feld objectName, das aus dem CEF-String extrahiert wurde, wird diesem UDM-Feld zugeordnet.
cef principal.resource.product_object_id Das Feld objectID, das aus dem CEF-String extrahiert wurde, wird diesem UDM-Feld zugeordnet.
cef principal.user.product_object_id Das Feld actorID, das aus dem CEF-String extrahiert wurde, wird diesem UDM-Feld zugeordnet.
cef principal.user.userid Das Feld actorName, das aus dem CEF-String extrahiert wird, wird diesem UDM-Feld zugeordnet, wenn actorType „User“ ist.
cef security_result.summary Das Feld verb, das aus dem CEF-String extrahiert wurde, wird diesem UDM-Feld zugeordnet.
cef target.labels.key Der Parser legt den Wert auf „objectProperties“ fest.
cef target.labels.value Das Feld objectProperties, das aus dem CEF-String extrahiert wurde, wird diesem UDM-Feld zugeordnet.
Computer Name principal.hostname Der Wert von Computer Name aus dem Rohlog wird diesem UDM-Feld zugeordnet.
Condition security_result.description Der Wert von Condition aus dem Rohlog wird diesem UDM-Feld zugeordnet.
date metadata.event_timestamp Der Wert von date aus dem Rohlog wird geparst und diesem UDM-Feld zugeordnet.
datetime timestamp.seconds Die aus dem Feld datetime extrahierten Epochensekunden werden verwendet, um das Feld timestamp.seconds auszufüllen.
dvc_ip intermediary.ip Der Wert von dvc_ip aus dem Rohlog wird diesem UDM-Feld zugeordnet.
device_product metadata.product_name Der Wert ist auf „ABSOLUTE_PLATFORM“ festgelegt.
device_vendor metadata.vendor_name Der Wert wird auf „ABSOLUTE“ festgelegt.
device_version metadata.product_version Der Wert von device_version aus dem Rohlog wird diesem UDM-Feld zugeordnet.
ESN security_result.detection_fields.key Der Parser legt den Wert auf „ESN“ fest.
ESN security_result.detection_fields.value Der aus dem Feld kv_pair extrahierte Wert von ESN wird diesem UDM-Feld zugeordnet.
event_class metadata.product_event_type Der Wert von event_class aus dem Rohlog wird diesem UDM-Feld zugeordnet, wenn eventType nicht vorhanden ist.
eventType metadata.product_event_type Der Wert von eventType aus dem Rohlog wird diesem UDM-Feld zugeordnet.
hostname intermediary.hostname Der Wert von hostname aus dem Rohlog wird diesem UDM-Feld zugeordnet.
is_alert is_alert Der Wert wird auf „true“ gesetzt und in einen booleschen Wert konvertiert.
is_significant is_significant Der Wert wird auf „true“ gesetzt und in einen booleschen Wert konvertiert.
kv_pair metadata.event_type Wenn kv_pair vorhanden ist, wird metadata.event_type auf „STATUS_HEARTBEAT“ festgelegt.
kv_pair principal.asset.asset_id Der aus dem Feld kv_pair extrahierte Wert von Serial Number wird verwendet, um die Asset-ID im Format „serialNumber:“ zu erstellen.
log_type metadata.log_type Der Wert wird auf „ABSOLUTE“ festgelegt.
objectID principal.resource.product_object_id Der Wert von objectID aus dem Rohlog wird diesem UDM-Feld zugeordnet.
objectName principal.hostname Der Wert von objectName aus dem Rohlog wird diesem UDM-Feld zugeordnet.
objectProperties target.labels.key Der Parser legt den Wert auf „objectProperties“ fest.
objectProperties target.labels.value Der Wert von objectProperties aus dem Rohlog wird diesem UDM-Feld zugeordnet.
objectType principal.resource.resource_type Wenn objectType „Device“ ist, wird es in Großbuchstaben („DEVICE“) umgewandelt und diesem UDM-Feld zugeordnet.
pid about.process.pid Der Wert von pid aus dem Rohlog wird diesem UDM-Feld zugeordnet.
Serial Number principal.asset.asset_id Der Wert von Serial Number aus dem Rohlog wird verwendet, um die Asset-ID im Format „serialNumber:“ zu erstellen.
verb security_result.summary Der Wert von verb aus dem Rohlog wird diesem UDM-Feld zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten