Recopila registros de Absolute Secure Endpoint

Versión del analizador: 2.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Absolute Secure Endpoint (antes conocido como Absolute Data & Device Security) a Google Security Operations con el agente de Bindplane. El analizador extrae campos de los registros del conector de SIEM en formato SYSLOG + o KV (CEF). Usa patrones de grok para identificar y extraer campos, y, luego, usa la lógica condicional basada en la presencia de datos de kv_pair o cef para asignar los campos extraídos al esquema de UDM. Se aplican asignaciones y transformaciones específicas según los campos identificados y sus valores, lo que permite controlar los datos de eventos de seguridad y de latidos de estado.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un host de Windows 2016 o posterior, o Linux con systemd para ejecutar el agente de Bindplane
• Un Windows Server (2012 o posterior) para alojar el servicio de Absolute SIEM Connector
• Microsoft .NET Framework 4.0 o una versión posterior instalado en el Windows Server que aloja el conector de SIEM
• Acceso con privilegios a la consola de Absolute Secure Endpoint con la integración de SIEM habilitada
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendado)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración de datos > Agentes de recopilación. Si estás en una plataforma solo de SIEM, ve a Configuración > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para que deje de estar disponible el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén tu ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación del agente de Bindplane.

Nota: La configuración del exportador de la API de Chronicle requiere la versión 1.106.0 o posterior del recopilador de Bindplane. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de Bindplane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración de la siguiente manera:

   • Abre el archivo config.yaml: /opt/observiq-otel-collector/config.yaml en Linux o C:\Program Files\observIQ OpenTelemetry Collector\config.yaml en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o el Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       endpoint: chronicle.googleapis.com
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       # Replace with your actual customer ID
       customer_id: '<CUSTOMER_ID>'
       # Adjust the path to the service account key file you saved in Option 1
       creds_file_path: '/path/to/secops-key.json'
       compression: gzip
       log_type: 'ABSOLUTE'
       raw_log_field: body
       # Add optional ingestion labels for better organization
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Reemplaza <LOCATION> por la región de tu instancia de Google SecOps. El exportador agrega el prefijo chronicle.googleapis.com con este valor.
   • Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
   • Reemplaza <CUSTOMER_ID> por el ID de cliente real.
   • Actualiza /path/to/secops-key.json a la ruta de acceso del archivo en la que se guardó el archivo de claves de la cuenta de servicio (opción 1).

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the ingestion authentication file you downloaded in Option 2
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'ABSOLUTE'
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios.

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Instala Absolute SIEM Connector en Windows Server

Absolute SIEM Connector es un servicio de Windows que recupera datos de eventos de alerta del centro de supervisión de Absolute y los reenvía a través de syslog en formato CEF. El conector de SIEM se entrega como un instalador MSI y está disponible como descarga gratuita para los clientes de Absolute Data & Device Security (DDS) Professional y Premium desde el Centro de clientes de Absolute.

1. Accede a la consola de Absolute Secure Endpoint en https://cc.absolute.com/.
2. Ve a la sección Centro de clientes o Descargas.
3. Descarga el instalador MSI de Absolute SIEM Connector.
4. Transfiere el instalador a tu Windows Server.
5. Ejecuta el instalador en tu Windows Server como administrador.
6. Sigue el asistente de instalación para completar el proceso.
7. Toma nota del directorio de instalación (por lo general, C:\Program Files\Absolute Software\Absolute SIEM Connector).

Habilita la integración de SIEM en la consola de Absolute Secure Endpoint

Antes de que el conector de SIEM pueda recuperar eventos, debes habilitar la integración de SIEM en la consola de Absolute Secure Endpoint.

1. Accede a la consola de Absolute Secure Endpoint en https://cc.absolute.com/.
2. Ve a la sección Configuración o Administración.
3. Ve a la configuración de Integración de SIEM.
4. Haz clic en Habilitar la integración de SIEM o activa el parámetro de configuración de la integración de SIEM en Activado.
5. Selecciona los tipos de eventos que quieres reenviar a tu SIEM.
   • También puedes seleccionar Todos los tipos de eventos para reenviar todos los registros disponibles.
6. Haz clic en Guardar o Aplicar la configuración.

Configura el conector de SIEM de Absolute

Después de instalar el conector de SIEM y habilitar la integración de SIEM en la consola, configura el conector para que envíe eventos al agente de Bindplane de la siguiente manera:

1. En el servidor de Windows en el que está instalado Absolute SIEM Connector, abre la herramienta de configuración de Absolute SIEM Connector.
   • Puedes encontrarlo en el menú de inicio, en Absolute Software, o en el directorio de instalación.
2. Proporciona los siguientes detalles de configuración:
   • Servidor Syslog: Ingresa la dirección IP o el nombre de host del host del agente de Bindplane.
   • Puerto del servidor Syslog: Ingresa 514 (o el puerto configurado en Bindplane).
   • Protocolo: Selecciona UDP o TCP según tu configuración de Bindplane.
   • Formato: Confirma que esté seleccionado CEF (formato de evento común).
   • Intervalo de actualización: Establece la frecuencia con la que el conector recupera eventos de Absolute. El mínimo es de 2 minutos y el máximo es de 1,440 minutos o 24 horas. El valor predeterminado es 60 minutos.
   • Zona horaria: Los eventos se transmiten en la zona horaria UTC para garantizar la coherencia universal en todos los sistemas.
3. Haz clic en Guardar.
4. Inicia o reinicia el servicio Absolute SIEM Connector:
   • Abre Servicios (services.msc).
   • Selecciona el servicio Absolute SIEM Connector.
   • Haz clic en Iniciar o Reiniciar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
pid	about.process.pid	Asignada directamente
hostname	intermediary.hostname	Asignada directamente
dvc_ip	intermediary.ip	Combinado
Alert Time	metadata.event_timestamp	Analizado como RFC3339
date	metadata.event_timestamp	Analizado como yyyy-MM-dd HH:mm:ss UTC
event_type	metadata.event_type	Asignada directamente
eventType	metadata.product_event_type	Asignada directamente
event_class	metadata.product_event_type	Asignada directamente
device_version	metadata.product_version	Asignada directamente
Serial Number	principal.asset.asset_id	Asignada directamente
Computer Name	principal.hostname	Asignada directamente
actorName	principal.hostname	Asignada directamente
objectName	principal.hostname	Asignada directamente
objectID	principal.resource.product_object_id	Asignada directamente
objectType	principal.resource.resource_type	Asignada directamente
roles	principal.user.attribute.roles	Combinado
actorID	principal.user.product_object_id	Asignada directamente
actorName	principal.user.userid	Asignada directamente
Condition	security_result.description	Asignada directamente
esn_label	security_result.detection_fields	Combinado
kv_pair	security_result.detection_fields	Asignado: ESN → esn_label
verb	security_result.summary	Asignada directamente
Alert ID	security_result.threat_id	Asignada directamente
Alert Name	security_result.threat_name	Asignada directamente
field_	target.resource.attribute.labels	Combinado
N/A	metadata.event_type	Constante: GENERIC_EVENT
N/A	metadata.product_name	Constante: ABSOLUTE_PLATFORM
N/A	metadata.vendor_name	Constante: ABSOLUTE

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.