Collecter les journaux ManageEngine ADAudit Plus

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux ManageEngine ADAudit Plus dans Google Security Operations à l'aide d'un agent Bindplane. L'analyseur traite les journaux d'ADAudit Plus et les convertit au format UDM. Il utilise des modèles grok pour extraire les champs des messages au format SYSLOG (CEF) et clé-valeur, en les mappant aux champs UDM en fonction des types d'événements dérivés des profils d'alerte et de rapport, et en enrichissant les données avec un contexte supplémentaire. L'analyseur gère également des scénarios spécifiques tels que les échecs de connexion, les modifications d'utilisateurs et les modifications de fichiers, en ajustant le mappage UDM en conséquence.

Avant de commencer

• Assurez-vous de disposer d'une instance Google SecOps.
• Assurez-vous d'utiliser Windows 2016 ou une version ultérieure, ou un hôte Linux avec systemd.
• Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
• Assurez-vous de disposer d'un accès privilégié à ManageEngine ADAudit.

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte Bindplane et faites tourner la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API Ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu la fin de vie le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation sous Linux

1. Ouvrez un terminal avec des privilèges root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

• Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite le collecteur Bindplane version 1.106.0 ou ultérieure. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   1. Trouvez le fichier config.yaml. En général, il se trouve dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   2. Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Bloc-notes).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: chronicle.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: ADAUDIT_PLUS
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.

4. Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com.

5. Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.

6. Remplacez <customer_id> par le numéro client réel.

7. Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès où le fichier de clé du compte de service (option 1) a été enregistré dans la section Obtenir les identifiants Google SecOps pour l'agent Bindplane.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          # Adjust the path to the credentials file you downloaded in Step 1
          creds: '/path/to/ingestion-authentication-file.json'
          # Replace with your actual customer ID from Step 2
          customer_id: <customer_id>
          endpoint: malachiteingestion-pa.googleapis.com
          # Add optional ingestion labels for better organization
          ingestion_labels:
              log_type: ADAUDIT_PLUS
              raw_log_field: body
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Redémarrez l'agent Bindplane pour appliquer les modifications.

• Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

  sudo systemctl restart bindplane-agent
  

• Pour redémarrer l'agent BindPlane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurer le syslog ManageEngine ADAudit Plus

1. Connectez-vous à l'UI Web ManageEngine ADAudit Plus.
2. Accédez à Admin> Configuration > Intégration SIEM.
3. Sélectionnez Activer pour envoyer les journaux ADAudit Plus.
4. Sélectionnez le format ArcSight (CEF).
5. Fournissez les informations de configuration suivantes :
   • Adresse IP : adresse IP de l'agent Bindplane.
   • Port : numéro de port Bindplane, par exemple 514 pour UDP.
   • Type de cible : sélectionnez UDP (vous pouvez également sélectionner TCP, selon la configuration de votre agent Bindplane).
6. Cliquez sur Enregistrer.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
ACCOUNT_DOMAIN	principal.administrative_domain	La valeur de ACCOUNT_DOMAIN du journal brut est attribuée à ce champ UDM.
ACCOUNT_NAME	principal.user.userid	La valeur de ACCOUNT_NAME du journal brut est attribuée à ce champ UDM.
ALERT_PROFILE	security_result.summary	La valeur de ALERT_PROFILE du journal brut est attribuée à ce champ UDM.
APPLICATION_NAME	target.resource.name	La valeur de APPLICATION_NAME du journal brut est attribuée à ce champ UDM. Définit également target.resource.resource_type sur TASK et has_target_resource sur "true".
CALLER_DISPLAY_NAME	target.user.user_display_name	La valeur de CALLER_DISPLAY_NAME du journal brut est attribuée à ce champ UDM.
CALLER_USER_NAME	target.user.userid	La valeur de CALLER_USER_NAME du journal brut est attribuée à ce champ UDM.
CALLER_USER_SID	target.group.windows_sid	La valeur de CALLER_USER_SID du journal brut est attribuée à ce champ UDM après la suppression des caractères [%,{,}]. Cette opération n'est effectuée que si la valeur correspond à un modèle de SID Windows.
Category	metadata.product_event_type	La valeur de Category du journal brut est attribuée à ce champ UDM.
CLIENT_HOST_NAME	target.hostname, target.asset.hostname	La valeur de CLIENT_HOST_NAME du journal brut est attribuée à ces champs UDM.
CLIENT_IP_ADDRESS	target.ip, target.asset.ip	La valeur de CLIENT_IP_ADDRESS du journal brut est attribuée à ces champs UDM après validation de l'adresse IP.
CLIENT_PORT	target.port	La valeur de CLIENT_PORT du journal brut est attribuée à ce champ UDM après avoir été convertie en entier.
DOMAIN	target.administrative_domain	La valeur de DOMAIN du journal brut est attribuée à ce champ UDM. Cette valeur peut être écrasée ultérieurement par ACCOUNT_DOMAIN, le cas échéant.
FILE_LOCATION	target.file.full_path	La valeur de FILE_LOCATION du journal brut est attribuée à ce champ UDM.
FILE_NAME	target.file.full_path	La valeur FILE_NAME du journal brut est attribuée à ce champ UDM si FILE_LOCATION n'est pas présent.
FORMAT_MESSAGE	security_result.description	La valeur de FORMAT_MESSAGE du journal brut est attribuée à ce champ UDM. Certaines parties de ce champ peuvent être utilisées pour renseigner d'autres champs UDM, puis supprimées de la description.
IP	principal.ip, principal.asset.ip	La valeur de IP du journal brut est attribuée à ces champs UDM après validation de l'adresse IP.
loggerHost	intermediary.hostname, intermediary.asset.hostname	La valeur de loggerHost extraite du champ de message du journal brut est attribuée à ces champs UDM.
login_name	target.user.userid, target.user.email_addresses ou target.user.user_display_name	Si la valeur contient @, elle est traitée comme une adresse e-mail. S'il contient des espaces, il est traité comme un nom à afficher. Sinon, il est traité comme un ID utilisateur. Définit également event_type sur USER_LOGIN, extensions.auth.type sur MACHINE et extensions.auth.mechanism sur USERNAME_PASSWORD.
RECORD_NUMBER	principal.process.pid	La valeur de RECORD_NUMBER du journal brut est attribuée à ce champ UDM.
REPORT_PROFILE	metadata.description	La valeur de REPORT_PROFILE du journal brut est attribuée à ce champ UDM.
SEVERITY	security_result.severity	La valeur de SEVERITY détermine la valeur de ce champ UDM : 1 correspond à "LOW", 2 à "MEDIUM" et 3 à "HIGH".
SOURCE	principal.hostname, principal.asset.hostname	La valeur de SOURCE du journal brut, combinée à DOMAIN si SOURCE ne contient pas de partie de domaine, est attribuée à ces champs UDM. Définit également has_principal_host sur "true".
TIME_GENERATED	metadata.event_timestamp.seconds	La valeur de TIME_GENERATED du journal brut est utilisée comme code temporel de l'événement.
UNIQUE_ID	metadata.product_log_id	La valeur de UNIQUE_ID du journal brut est attribuée à ce champ UDM.
USERNAME	principal.user.userid	La valeur USERNAME du journal brut est attribuée à ce champ UDM si ACCOUNT_NAME n'est pas présent.
USER_OU_GUID	metadata.product_log_id	La valeur USER_OU_GUID du journal brut, après suppression des accolades, est attribuée à ce champ UDM si UNIQUE_ID n'est pas présent.
access_mode	security_result.detection_fields.value	La valeur de access_mode du journal brut est attribuée à ce champ UDM, avec la clé définie sur ACCESS_MODE.
action_name	security_result.description	La valeur de action_name du journal brut est attribuée à ce champ UDM.
domain_name	principal.administrative_domain	La valeur de domain_name du journal brut est attribuée à ce champ UDM.
event.idm.read_only_udm.extensions.auth.mechanism	event.idm.read_only_udm.extensions.auth.mechanism	Définie sur USERNAME_PASSWORD si login_name est présent ou si event_type est USER_LOGIN.
event.idm.read_only_udm.extensions.auth.type	event.idm.read_only_udm.extensions.auth.type	Définie sur MACHINE si login_name est présent ou si event_type est USER_LOGIN.
event.idm.read_only_udm.metadata.event_type	event.idm.read_only_udm.metadata.event_type	Déterminé par l'analyseur en fonction des valeurs de ALERT_PROFILE, REPORT_PROFILE et FORMAT_MESSAGE. Il peut s'agir de l'une des valeurs suivantes : USER_CHANGE_PERMISSIONS, USER_STATS, USER_LOGIN, USER_CHANGE_PASSWORD, SETTING_MODIFICATION, FILE_DELETION, FILE_MODIFICATION, STATUS_SHUTDOWN, SCHEDULED_TASK_CREATION, FILE_READ, NETWORK_CONNECTION, GENERIC_EVENT, USER_UNCATEGORIZED ou STATUS_UPDATE.
event.idm.read_only_udm.metadata.log_type	event.idm.read_only_udm.metadata.log_type	Toujours défini sur ADAUDIT_PLUS.
event.idm.read_only_udm.metadata.product_name	event.idm.read_only_udm.metadata.product_name	Toujours défini sur ADAudit Plus.
event.idm.read_only_udm.metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	Toujours défini sur Zoho Corporation.
host	principal.hostname, principal.asset.hostname	La valeur de host du journal brut est attribuée à ces champs UDM. Définit également has_principal_host sur "true".
intermediary.hostname, intermediary.asset.hostname	intermediary.hostname, intermediary.asset.hostname	Définissez la valeur sur loggerHost.
principalHost	principal.hostname, principal.asset.hostname	La valeur de principalHost du journal brut est attribuée à ces champs UDM après vérification qu'il s'agit d'une adresse IP. Définit également has_principal_host sur "true".
security_result.action	security_result.action	Définie sur ALLOW si outcome ou msg_data_2 contient Success, ou si FORMAT_MESSAGE contient Status:Success. Définissez sur BLOCK si status contient denied, locked out, incorrect, does not meet ou Unable to validate. Définie sur BLOCK, si ALERT_PROFILE est Logon Failures for Admin Users.
security_result.category	security_result.category	Définie sur POLICY_VIOLATION si event_type est USER_STATS ou si ALERT_PROFILE est Logon Failures for Admin Users.
security_result.rule_name	security_result.rule_name	Extrait du champ FORMAT_MESSAGE s'il contient Reason:.
status	security_result.summary	La valeur de status du journal brut est attribuée à ce champ UDM.
targetHost	target.hostname, target.asset.hostname ou target.ip, target.asset.ip	La valeur de targetHost du journal brut est attribuée à ces champs UDM après vérification de l'adresse IP.
targetUser	target.user.userid	La valeur de targetUser du journal brut est attribuée à ce champ UDM.
_CNtargetUser	target.user.user_display_name	La valeur de _CNtargetUser du journal brut est attribuée à ce champ UDM.
_user	principal.user.userid ou target.user.userid	La valeur de _user du journal brut est attribuée à principal.user.userid, sauf si event_type est USER_CHANGE_PASSWORD, auquel cas elle est attribuée à target.user.userid.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.