Mengumpulkan log AC-Hunter Active Countermeasures

Versi Parser: 3.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Active Countermeasures AC-Hunter ke Google Security Operations menggunakan Bindplane.

AC-Hunter adalah platform deteksi ancaman jaringan dari Active Countermeasures yang melakukan perburuan ancaman otomatis dengan menganalisis traffic jaringan untuk mengidentifikasi sistem yang disusupi yang berkomunikasi dengan server command and control. AC-Hunter berjalan di container Docker di server Linux dan dapat meneruskan pemberitahuan ancaman melalui protokol syslog ke SIEM atau server pencatatan terpusat.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd.
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane.
• Akses istimewa (SSH dengan sudo) ke server Active Countermeasures AC-Hunter untuk mengedit file konfigurasi.
• AC-Hunter versi 5.3.0 atau yang lebih baru (versi sebelumnya berisi bug yang memblokir pengiriman pesan syslog).
• Jalur jaringan dari server AC-Hunter ke host agen Bindplane di port syslog yang Anda pilih (UDP atau TCP).
• Penerusan IP diaktifkan di host AC-Hunter untuk mengizinkan container Docker mengirim syslog ke server eksternal.

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Service account description: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON dan klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori kolektor Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang telah dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan > Administrasi > Profil. Jika Anda menggunakan platform khusus SIEM, buka Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi pemasangan tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan kolektor Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/ac_hunter:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: AI_HUNTER
      raw_log_field: body
  
  service:
    pipelines:
      logs/ac_hunter_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/ac_hunter
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • udplog: Gunakan udplog untuk syslog UDP atau tcplog untuk syslog TCP. Cocokkan protokol yang dikonfigurasi di AC-Hunter.
  • 0.0.0.0:514: Alamat IP dan port untuk diproses. Gunakan 0.0.0.0 untuk memproses semua antarmuka.

• Konfigurasi pengekspor:

  • <CUSTOMER_ID>: ID Pelanggan Google SecOps yang disalin di langkah sebelumnya.
  • /opt/observiq-otel-collector/ingestion-auth.json: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1).
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/ac_hunter:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: AI_HUNTER
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Restart.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog di Active Countermeasures AC-Hunter

1. Login ke server AC-Hunter melalui SSH dengan akses istimewa.

2. Cadangkan file konfigurasi yang ada:

   sudo cp /etc/AI-Hunter/config.yaml /etc/AI-Hunter/config.yaml.backup
   

3. Buka file konfigurasi di editor teks:

   sudo nano /etc/AI-Hunter/config.yaml
   

4. Temukan bagian Alert: dan bagian Syslog: bertingkat. Berikan detail konfigurasi berikut:

   Alert:
       Syslog:
           Threshold: 20
           Protocol: "udp"
           Address: "BINDPLANE_IP:514"
           Tag: " AC-Hunter "
   

   • Threshold: Masukkan skor ancaman minimum untuk memicu pemberitahuan (misalnya, 20). Sistem dengan skor pada atau di atas nilai ini akan menghasilkan pemberitahuan syslog.
   • Protocol: Pilih "udp" atau "tcp" agar sesuai dengan konfigurasi penerima agen Bindplane. Gunakan "" (string kosong) untuk menulis ke host /dev/log untuk penerusan rsyslog.
   • Address: Masukkan alamat IP dan port agen Bindplane (misalnya, "10.1.2.3:514").
   • Tag: Masukkan tag opsional untuk identifikasi log (misalnya, " AC-Hunter "). Sertakan spasi di akhir sebelum tanda kutip penutup agar tag tidak masuk ke teks pesan.
   Catatan: Indentasi sangat penting dalam file YAML ini. Baris dengan indentasi tunggal menggunakan 4 spasi, baris dengan indentasi ganda menggunakan 8 spasi. Jangan gunakan tab. Validasi file di yamllint.com sebelum menyimpan.

5. Simpan file konfigurasi dan keluar dari editor.

6. Mulai ulang AC-Hunter untuk menerapkan perubahan:

   hunt up -d --force-recreate
   

7. Tunggu hingga sekitar 20 menit setelah jam berikutnya. AC-Hunter mengimpor log baru setiap jam dari sensor dan mengirimkan pemberitahuan syslog untuk sistem yang melebihi nilai minimum yang dikonfigurasi selama siklus impor ini.

8. Pastikan pesan syslog sampai di host agen Bindplane dengan memeriksa file log syslog lokal:

   sudo tail -f /var/log/syslog
   

   Catatan: Pesan syslog AC-Hunter menggunakan fasilitas user.alert dan mengikuti format ini: <timestamp> <hostname> AI-Hunter[<pid>]: Host: <IP> Score: <score> PreviousScore: <prev_score> Database: <db_name>

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
api_msg_label	additional.fields	Digabung
prev_score	metadata.description	Dipetakan secara langsung
score	metadata.description	Dipetakan secara langsung
ts_date	metadata.event_timestamp	Diurai sebagai MMM dd HH:mm:ss
ts_iso8601	metadata.event_timestamp	Diurai sebagai ISO8601
has_principal	metadata.event_type	Dipetakan: true → STATUS_UNCATEGORIZED
src_ip	principal.asset.ip	Digabung
src_ip	principal.ip	Digabung
blacklist_avg_bytes_label	principal.labels	Digabung
blacklist_in_label	principal.labels	Digabung
blacklist_out_label	principal.labels	Digabung
database_label	principal.labels	Digabung
dns_txt_query_label	principal.labels	Digabung
invalid_cert_label	principal.labels	Digabung
max_beacon_label	principal.labels	Digabung
max_duration_label	principal.labels	Digabung
prev_score_label	principal.labels	Digabung
rare_client_label	principal.labels	Digabung
score_label	principal.labels	Digabung
unexpected_proto_label	principal.labels	Digabung
source_module_label	principal.resource.attribute.labels	Digabung
domain	target.asset.hostname	Dipetakan secara langsung
domain	target.hostname	Dipetakan secara langsung
T/A	metadata.event_type	Konstanta: STATUS_UNCATEGORIZED
T/A	metadata.product_name	Konstanta: AI hunter
T/A	metadata.vendor_name	Konstanta: Active Countermeasures

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.