Recoger registros de Absolute Secure Endpoint

Disponible en:

SecOps de Google SIEM

Nota: Esta función está cubierta por los Términos de las Ofertas Previas a la Disponibilidad General de los Términos Específicos del Servicio de Google Security Operations. Las funciones previas a la disponibilidad general pueden tener una asistencia limitada y los cambios que se produzcan en ellas podrían no ser compatibles con otras versiones previas a la disponibilidad general. Para obtener más información, consulta las directrices del servicio de asistencia técnica de Google SecOps y los Términos Específicos de los Servicios de Google SecOps.

En este documento se explica cómo ingerir registros de Absolute Secure Endpoint (antes Absolute Data & Device Security) en Google Security Operations mediante Bindplane. El analizador extrae campos de los registros del conector SIEM en formato SYSLOG + KV (CEF). Usa patrones grok para identificar y extraer campos. Después, usa una lógica condicional basada en la presencia de datos kv_pair o cef para asignar los campos extraídos al esquema de UDM. Se aplican asignaciones y transformaciones específicas en función de los campos identificados y sus valores, y se gestionan tanto los datos de latido de estado como los datos de eventos de seguridad.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un host con Windows 2016 o una versión posterior, o Linux con systemd para ejecutar el agente de Bindplane
• Un servidor Windows (2012 o una versión posterior) para alojar el servicio Absolute SIEM Connector
• Microsoft .NET Framework 4.0 o una versión posterior instalado en el servidor Windows que aloja el conector SIEM
• Acceso privilegiado a la consola de Absolute Secure Endpoint con la integración de SIEM habilitada
• Si se ejecuta a través de un proxy, asegúrese de que los puertos del cortafuegos estén abiertos según los requisitos del agente BindPlane.

Obtener el archivo de autenticación de ingestión de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recogida.
3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

1. Inicia sesión en la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

1. Abre la petición de comando o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre un terminal con privilegios de root o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para ver otras opciones de instalación, consulta esta guía de instalación.

Configurar el agente de Bindplane para ingerir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   1. Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'ABSOLUTE'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sustituye el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Sustituye <CUSTOMER_ID> por el ID de cliente real.
   • Actualiza /path/to/ingestion-authentication-file.json a la ruta donde se guardó el archivo de autenticación en la sección Obtener el archivo de autenticación de ingestión de Google SecOps.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Instalar el conector de Absolute SIEM en Windows Server

Absolute SIEM Connector es un servicio de Windows que obtiene datos de eventos de alerta de Absolute Monitoring Center y los reenvía mediante syslog en formato CEF. El conector SIEM se proporciona como un instalador MSI y se puede descargar de forma gratuita en el Centro de Clientes de Absolute para los clientes de Absolute Data & Device Security (DDS) Professional y Premium.

1. Inicia sesión en la consola de Absolute Secure Endpoint en https://cc.absolute.com/.
2. Ve a la sección Centro de Clientes o Descargas.
3. Descarga el instalador MSI de Absolute SIEM Connector.
4. Transfiere el instalador a tu servidor Windows.
5. Ejecuta el instalador en tu servidor Windows como administrador.
6. Sigue las instrucciones del asistente de instalación para completar el proceso.
7. Anota el directorio de instalación (normalmente, C:\Program Files\Absolute Software\Absolute SIEM Connector).

Habilitar la integración de SIEM en la consola de Absolute Secure Endpoint

Para que el conector SIEM pueda recuperar eventos, debe habilitar la integración de SIEM en la consola de Absolute Secure Endpoint.

1. Inicia sesión en la consola de Absolute Secure Endpoint en https://cc.absolute.com/.
2. Ve a la sección Configuración o Administración.
3. Busca los ajustes de Integración de SIEM.
4. Haz clic en Enable SIEM Integration (Habilitar la integración de SIEM) o activa la opción de integración de SIEM.
5. Selecciona los tipos de eventos que quieras reenviar a tu SIEM:
   • También puede seleccionar Todos los tipos de eventos para reenviar todos los registros disponibles.
6. Haz clic en Guardar o en Aplicar para guardar la configuración.

Configurar el conector de SIEM de Absolute

Después de instalar el conector SIEM y habilitar la integración de SIEM en la consola, configura el conector para que envíe eventos al agente de BindPlane.

1. En el servidor Windows en el que esté instalado Absolute SIEM Connector, abre la herramienta de configuración de Absolute SIEM Connector.
   • Puedes encontrarlo en el menú Inicio, en Absolute Software, o en el directorio de instalación.
2. Proporcione los siguientes detalles de configuración:
   • Host del servidor Syslog: introduce la dirección IP o el nombre de host del agente de Bindplane.
   • Puerto del servidor Syslog: introduce 514 (o el puerto configurado en Bindplane).
   • Protocolo: selecciona UDP o TCP en función de la configuración de Bindplane.
   • Formato: compruebe que esté seleccionado CEF (Common Event Format).
   • Intervalo de actualización: define la frecuencia con la que el conector recupera eventos de Absolute (el mínimo es de 2 minutos y el máximo, de 1440 minutos o 24 horas; el valor predeterminado es de 60 minutos).
   • Zona horaria: los eventos se transmiten en la zona horaria UTC para que haya coherencia universal entre los sistemas.
3. Haz clic en Guardar.
4. Inicia o reinicia el servicio Absolute SIEM Connector:
   • Abre Servicios (services.msc).
   • Busca el servicio Absolute SIEM Connector.
   • Haz clic en Iniciar o Reiniciar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
actorID	principal.user.product_object_id	El valor de actorID del registro sin procesar se asigna a este campo de UDM.
actorName	principal.hostname	Si actorType es "Device", el valor de actorName se asigna a este campo de UDM.
actorName	principal.user.userid	Si actorType es "User", el valor de actorName se asigna a este campo de UDM.
actorType	principal.user.attribute.roles.name	El valor de actorType se asigna a este campo de UDM.
Alert ID	security_result.threat_id	El valor de Alert ID del registro sin procesar se asigna a este campo de UDM.
Alert Name	security_result.threat_name	El valor de Alert Name del registro sin procesar se asigna a este campo de UDM.
Alert Time	metadata.event_timestamp	El valor de Alert Time del registro sin procesar se analiza y se asigna a este campo de UDM. Se usa como alternativa si el campo date no está presente o no es válido.
cef	metadata.product_event_type	El campo eventType extraído de la cadena CEF se asigna a este campo de UDM.
cef	principal.hostname	El campo objectName extraído de la cadena CEF se asigna a este campo de UDM.
cef	principal.resource.product_object_id	El campo objectID extraído de la cadena CEF se asigna a este campo de UDM.
cef	principal.user.product_object_id	El campo actorID extraído de la cadena CEF se asigna a este campo de UDM.
cef	principal.user.userid	El campo actorName extraído de la cadena CEF se asigna a este campo de UDM si actorType es "User".
cef	security_result.summary	El campo verb extraído de la cadena CEF se asigna a este campo de UDM.
cef	target.labels.key	El analizador asigna el valor "objectProperties".
cef	target.labels.value	El campo objectProperties extraído de la cadena CEF se asigna a este campo de UDM.
Computer Name	principal.hostname	El valor de Computer Name del registro sin procesar se asigna a este campo de UDM.
Condition	security_result.description	El valor de Condition del registro sin procesar se asigna a este campo de UDM.
date	metadata.event_timestamp	El valor de date del registro sin procesar se analiza y se asigna a este campo de UDM.
datetime	timestamp.seconds	Los segundos de época extraídos del campo datetime se usan para rellenar el campo timestamp.seconds.
dvc_ip	intermediary.ip	El valor de dvc_ip del registro sin procesar se asigna a este campo de UDM.
device_product	metadata.product_name	El valor es "ABSOLUTE_PLATFORM".
device_vendor	metadata.vendor_name	El valor se ha definido como "ABSOLUTE".
device_version	metadata.product_version	El valor de device_version del registro sin procesar se asigna a este campo de UDM.
ESN	security_result.detection_fields.key	El analizador asigna el valor "ESN".
ESN	security_result.detection_fields.value	El valor de ESN extraído del campo kv_pair se asigna a este campo de UDM.
event_class	metadata.product_event_type	El valor de event_class del registro sin procesar se asigna a este campo de UDM si eventType no está presente.
eventType	metadata.product_event_type	El valor de eventType del registro sin procesar se asigna a este campo de UDM.
hostname	intermediary.hostname	El valor de hostname del registro sin procesar se asigna a este campo de UDM.
is_alert	is_alert	El valor se define como "true" y se convierte en booleano.
is_significant	is_significant	El valor se define como "true" y se convierte en booleano.
kv_pair	metadata.event_type	Si kv_pair está presente, metadata.event_type se define como "STATUS_HEARTBEAT".
kv_pair	principal.asset.asset_id	El valor de Serial Number extraído del campo kv_pair se usa para crear el ID de recurso con el formato "serialNumber:".
log_type	metadata.log_type	El valor se ha definido como "ABSOLUTE".
objectID	principal.resource.product_object_id	El valor de objectID del registro sin procesar se asigna a este campo de UDM.
objectName	principal.hostname	El valor de objectName del registro sin procesar se asigna a este campo de UDM.
objectProperties	target.labels.key	El analizador asigna el valor "objectProperties".
objectProperties	target.labels.value	El valor de objectProperties del registro sin procesar se asigna a este campo de UDM.
objectType	principal.resource.resource_type	Si objectType es "Device", se convierte a mayúsculas ("DEVICE") y se asigna a este campo de UDM.
pid	about.process.pid	El valor de pid del registro sin procesar se asigna a este campo de UDM.
Serial Number	principal.asset.asset_id	El valor de Serial Number del registro sin procesar se usa para crear el ID de recurso con el formato "serialNumber:".
verb	security_result.summary	El valor de verb del registro sin procesar se asigna a este campo de UDM.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.