Mengumpulkan log Active Countermeasures AC-Hunter

Versi Parser: 3.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Active Countermeasures AC-Hunter ke Google Security Operations menggunakan Bindplane.

AC-Hunter adalah platform deteksi ancaman jaringan dari Active Countermeasures yang melakukan perburuan ancaman otomatis dengan menganalisis traffic jaringan untuk mengidentifikasi sistem yang terinfeksi yang berkomunikasi dengan server perintah dan kontrol. AC-Hunter berjalan dalam container Docker di server Linux dan dapat meneruskan pemberitahuan ancaman melalui protokol syslog ke SIEM atau server pencatatan terpusat.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd.
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane.
• Akses istimewa (SSH dengan sudo) ke server Active Countermeasures AC-Hunter untuk mengedit file konfigurasi.
• AC-Hunter versi 5.3.0 atau yang lebih baru (versi sebelumnya berisi bug yang memblokir pengiriman pesan syslog).
• Jalur jaringan dari server AC-Hunter ke host agen Bindplane di port syslog yang Anda pilih (UDP atau TCP).
• Penerusan IP diaktifkan di host AC-Hunter untuk memungkinkan container Docker mengirim syslog ke server eksternal.

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih Google Cloud project yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project , klik Select a role , lalu pilih Chronicle Editor.
7. Klik Continue, lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON , lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings , lalu salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download ingestion authentication file.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang telah dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan Customer ID dari bagian Organization Details.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak akses root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi pemasangan tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya menginstal rilis terbaru. Jika Anda memperbarui penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirim ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/ac_hunter:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: AI_HUNTER
      raw_log_field: body
  
  service:
    pipelines:
      logs/ac_hunter_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/ac_hunter
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • udplog: Gunakan udplog untuk syslog UDP atau tcplog untuk syslog TCP. Cocokkan protokol yang dikonfigurasi di AC-Hunter.
  • 0.0.0.0:514: Alamat IP dan port untuk diproses. Gunakan 0.0.0.0 untuk diproses di semua antarmuka.

• Konfigurasi pengekspor:

  • <CUSTOMER_ID>: ID Pelanggan Google SecOps yang disalin pada langkah sebelumnya.
  • /opt/observiq-otel-collector/ingestion-auth.json: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1).
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetapkan ke chronicle.googleapis.com.

Pengekspor Ingestion API lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan blok berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/ac_hunter:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: AI_HUNTER
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Memulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Temukan observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog di Active Countermeasures AC-Hunter

1. Login ke server AC-Hunter melalui SSH dengan akses istimewa.

2. Buat cadangan file konfigurasi yang ada:

   sudo cp /etc/AI-Hunter/config.yaml /etc/AI-Hunter/config.yaml.backup
   

3. Buka file konfigurasi di editor teks:

   sudo nano /etc/AI-Hunter/config.yaml
   

4. Temukan bagian Alert: dan bagian Syslog: bertingkat. Berikan detail konfigurasi berikut:

   Alert:
       Syslog:
           Threshold: 20
           Protocol: "udp"
           Address: "BINDPLANE_IP:514"
           Tag: " AC-Hunter "
   

   • Threshold: Masukkan skor ancaman minimum untuk memicu pemberitahuan (misalnya, 20). Sistem dengan skor yang sama atau lebih tinggi dari nilai ini akan menghasilkan pemberitahuan syslog.
   • Protokol: Pilih "udp" atau "tcp" agar sesuai dengan konfigurasi penerima agen Bindplane. Gunakan "" (string kosong) untuk menulis ke /dev/log host untuk penerusan rsyslog.
   • Alamat: Masukkan alamat IP dan port agen Bindplane (misalnya, "10.1.2.3:514").
   • Tag: Masukkan tag opsional untuk identifikasi log (misalnya, " AC-Hunter "). Sertakan spasi di akhir sebelum tanda kutip penutup agar tag tidak berjalan ke teks pesan.
   Catatan: Indentasi sangat penting dalam file YAML ini. Baris yang diindentasi satu kali menggunakan 4 spasi, baris yang diindentasi dua kali menggunakan 8 spasi. Jangan gunakan tab. Validasi file di yamllint.com sebelum menyimpan.

5. Simpan file konfigurasi dan keluar dari editor.

6. Mulai ulang AC-Hunter untuk menerapkan perubahan:

   hunt up -d --force-recreate
   

7. Tunggu hingga sekitar 20 menit setelah jam berikutnya. AC-Hunter mengimpor log per jam baru dari sensor dan mengirim pemberitahuan syslog untuk sistem yang melebihi nilai minimum yang dikonfigurasi selama siklus impor ini.

8. Pastikan pesan syslog tiba di host agen Bindplane dengan memeriksa file log syslog lokal:

   sudo tail -f /var/log/syslog
   

   Catatan: Pesan syslog AC-Hunter menggunakan fasilitas user.alert dan mengikuti format ini: <timestamp> <hostname> AI-Hunter[<pid>]: Host: <IP> Score: <score> PreviousScore: <prev_score> Database: <db_name>

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
api_msg_label	additional.fields	Digabungkan
prev_score	metadata.description	Dipetakan langsung
score	metadata.description	Dipetakan langsung
ts_date	metadata.event_timestamp	Diuraikan sebagai MMM dd HH:mm:ss
ts_iso8601	metadata.event_timestamp	Diuraikan sebagai ISO8601
has_principal	metadata.event_type	Dipetakan: true → STATUS_UNCATEGORIZED
src_ip	principal.asset.ip	Digabungkan
src_ip	principal.ip	Digabungkan
blacklist_avg_bytes_label	principal.labels	Digabungkan
blacklist_in_label	principal.labels	Digabungkan
blacklist_out_label	principal.labels	Digabungkan
database_label	principal.labels	Digabungkan
dns_txt_query_label	principal.labels	Digabungkan
invalid_cert_label	principal.labels	Digabungkan
max_beacon_label	principal.labels	Digabungkan
max_duration_label	principal.labels	Digabungkan
prev_score_label	principal.labels	Digabungkan
rare_client_label	principal.labels	Digabungkan
score_label	principal.labels	Digabungkan
unexpected_proto_label	principal.labels	Digabungkan
source_module_label	principal.resource.attribute.labels	Digabungkan
domain	target.asset.hostname	Dipetakan langsung
domain	target.hostname	Dipetakan langsung
T/A	metadata.event_type	Konstanta: STATUS_UNCATEGORIZED
T/A	metadata.product_name	Konstanta: AI hunter
T/A	metadata.vendor_name	Konstanta: Active Countermeasures

Log Perubahan

Lihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.