Recopila registros de Absolute Secure Endpoint

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de Absolute Secure Endpoint (anteriormente, Absolute Data & Device Security) a Google Security Operations con Bindplane. El analizador extrae campos de los registros del conector de SIEM en formato SYSLOG + KV (CEF). Utiliza patrones de grok para identificar y extraer campos, y, luego, usa lógica condicional basada en la presencia de datos de kv_pair o cef para asignar los campos extraídos al esquema del UDM. Se aplican asignaciones y transformaciones específicas según los campos identificados y sus valores, y se controlan los datos de eventos de seguridad y de señal de monitoreo de funcionamiento.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Un host de Windows 2016 o posterior, o Linux con systemd para ejecutar el agente de Bindplane
  • Un servidor de Windows (2012 o posterior) para alojar el servicio del conector de Absolute SIEM
  • Microsoft .NET Framework 4.0 o una versión posterior instalado en el servidor de Windows que aloja el conector del SIEM
  • Acceso privilegiado a la consola de Absolute Secure Endpoint con la integración de SIEM habilitada
  • Si ejecutas el agente detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de BindPlane.

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:

    1. Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    2. Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ABSOLUTE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Instala el conector de Absolute SIEM en Windows Server

El conector de SIEM de Absolute es un servicio de Windows que recupera datos de eventos de alertas del Centro de supervisión de Absolute y los reenvía con syslog en formato CEF. El conector de SIEM se entrega como un instalador MSI y está disponible como descarga gratuita para los clientes de Absolute Data & Device Security (DDS) Professional y Premium a través del Centro de clientes de Absolute.

  1. Accede a la consola de Absolute Secure Endpoint en https://cc.absolute.com/.
  2. Ve a la sección Centro de clientes o Descargas.
  3. Descarga el instalador MSI de Absolute SIEM Connector.
  4. Transfiere el instalador a tu servidor de Windows.
  5. Ejecuta el instalador en tu Windows Server como administrador.
  6. Sigue el asistente de instalación para completar la instalación.
  7. Anota el directorio de instalación (por lo general, C:\Program Files\Absolute Software\Absolute SIEM Connector).

Habilita la integración del SIEM en la consola de Absolute Secure Endpoint

Antes de que el conector de SIEM pueda recuperar eventos, debes habilitar la integración de SIEM en la consola de Absolute Secure Endpoint.

  1. Accede a la consola de Absolute Secure Endpoint en https://cc.absolute.com/.
  2. Ve a la sección Configuración o Administración.
  3. Ubica la configuración de Integración de SIEM.
  4. Haz clic en Habilitar la integración del SIEM o activa el parámetro de configuración de la integración del SIEM en Activado.
  5. Selecciona los tipos de eventos que deseas reenviar a tu SIEM:
    • También puedes seleccionar Todos los tipos de eventos para reenviar todos los registros disponibles.
  6. Haz clic en Guardar o Aplicar la configuración.

Configura el conector de SIEM absoluta

Después de instalar el conector de SIEM y habilitar la integración de SIEM en la consola, configura el conector para que envíe eventos al agente de BindPlane.

  1. En el servidor de Windows en el que está instalado el conector de Absolute SIEM, abre la Herramienta de configuración del conector de Absolute SIEM.
    • Puedes encontrarlo en el menú Inicio en Absolute Software o en el directorio de instalación.
  2. Proporciona los siguientes detalles de configuración:
    • Host del servidor Syslog: Ingresa la dirección IP o el nombre de host del agente de Bindplane.
    • Puerto del servidor de Syslog: Ingresa 514 (o el puerto configurado en BindPlane).
    • Protocolo: Selecciona UDP o TCP según la configuración real de Bindplane.
    • Formato: Confirma que esté seleccionado CEF (formato de evento común).
    • Intervalo de actualización: Establece la frecuencia con la que el conector recupera eventos de Absolute (mínimo 2 minutos, máximo 1,440 minutos/24 horas; el valor predeterminado es de 60 minutos).
    • Zona horaria: Los eventos se transmiten en la zona horaria UTC para garantizar la coherencia universal en todos los sistemas.
  3. Haz clic en Guardar.
  4. Inicia o reinicia el servicio Absolute SIEM Connector:
    • Abre Servicios (services.msc).
    • Ubica el servicio Absolute SIEM Connector.
    • Haz clic en Iniciar o Reiniciar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
actorID principal.user.product_object_id El valor de actorID del registro sin procesar se asigna a este campo del UDM.
actorName principal.hostname Si actorType es "Device", el valor de actorName se asigna a este campo de UDM.
actorName principal.user.userid Si actorType es "Usuario", el valor de actorName se asigna a este campo del UDM.
actorType principal.user.attribute.roles.name El valor de actorType se asigna a este campo de UDM.
Alert ID security_result.threat_id El valor de Alert ID del registro sin procesar se asigna a este campo del UDM.
Alert Name security_result.threat_name El valor de Alert Name del registro sin procesar se asigna a este campo del UDM.
Alert Time metadata.event_timestamp El valor de Alert Time del registro sin procesar se analiza y se asigna a este campo del UDM. Se usa como alternativa si el campo date no está presente o no es válido.
cef metadata.product_event_type El campo eventType extraído de la cadena de CEF se asigna a este campo de UDM.
cef principal.hostname El campo objectName extraído de la cadena de CEF se asigna a este campo de UDM.
cef principal.resource.product_object_id El campo objectID extraído de la cadena de CEF se asigna a este campo de UDM.
cef principal.user.product_object_id El campo actorID extraído de la cadena de CEF se asigna a este campo de UDM.
cef principal.user.userid El campo actorName extraído de la cadena de CEF se asigna a este campo de UDM si actorType es "User".
cef security_result.summary El campo verb extraído de la cadena de CEF se asigna a este campo de UDM.
cef target.labels.key El analizador establece el valor en "objectProperties".
cef target.labels.value El campo objectProperties extraído de la cadena de CEF se asigna a este campo de UDM.
Computer Name principal.hostname El valor de Computer Name del registro sin procesar se asigna a este campo del UDM.
Condition security_result.description El valor de Condition del registro sin procesar se asigna a este campo del UDM.
date metadata.event_timestamp El valor de date del registro sin procesar se analiza y se asigna a este campo del UDM.
datetime timestamp.seconds Los segundos de época extraídos del campo datetime se usan para propagar el campo timestamp.seconds.
dvc_ip intermediary.ip El valor de dvc_ip del registro sin procesar se asigna a este campo del UDM.
device_product metadata.product_name El valor se establece en "ABSOLUTE_PLATFORM".
device_vendor metadata.vendor_name El valor se establece en "ABSOLUTE".
device_version metadata.product_version El valor de device_version del registro sin procesar se asigna a este campo del UDM.
ESN security_result.detection_fields.key El analizador establece el valor en "ESN".
ESN security_result.detection_fields.value El valor de ESN extraído del campo kv_pair se asigna a este campo de UDM.
event_class metadata.product_event_type El valor de event_class del registro sin procesar se asigna a este campo del UDM si eventType no está presente.
eventType metadata.product_event_type El valor de eventType del registro sin procesar se asigna a este campo del UDM.
hostname intermediary.hostname El valor de hostname del registro sin procesar se asigna a este campo del UDM.
is_alert is_alert El valor se establece en "true" y se convierte en booleano.
is_significant is_significant El valor se establece en "true" y se convierte en booleano.
kv_pair metadata.event_type Si kv_pair está presente, metadata.event_type se establece en "STATUS_HEARTBEAT".
kv_pair principal.asset.asset_id El valor de Serial Number extraído del campo kv_pair se usa para construir el ID del activo en el formato "serialNumber:".
log_type metadata.log_type El valor se establece en "ABSOLUTE".
objectID principal.resource.product_object_id El valor de objectID del registro sin procesar se asigna a este campo del UDM.
objectName principal.hostname El valor de objectName del registro sin procesar se asigna a este campo del UDM.
objectProperties target.labels.key El analizador establece el valor en "objectProperties".
objectProperties target.labels.value El valor de objectProperties del registro sin procesar se asigna a este campo del UDM.
objectType principal.resource.resource_type Si objectType es "Device", se convierte a mayúsculas ("DEVICE") y se asigna a este campo del UDM.
pid about.process.pid El valor de pid del registro sin procesar se asigna a este campo del UDM.
Serial Number principal.asset.asset_id El valor de Serial Number del registro sin procesar se usa para construir el ID del activo en el formato "serialNumber:".
verb security_result.summary El valor de verb del registro sin procesar se asigna a este campo del UDM.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.