Coletar registros do AI-Hunter de contramedidas ativas

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Active Countermeasures AI-Hunter no Google Security Operations usando o Bindplane. O analisador extrai dados de alertas de segurança das mensagens do syslog. Ele analisa campos como endereço IP, pontuações atuais e anteriores e vários fatores que contribuem para a pontuação. Em seguida, mapeia esses campos para o UDM, enriquecendo o principal com rótulos que representam os pontos de dados extraídos.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Um host Windows 2016 ou mais recente ou Linux com systemd
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso privilegiado ao servidor Active Countermeasures AI-Hunter para editar o arquivo de configuração

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o Prompt de Comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

Acesse o arquivo de configuração:
1. Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
2. Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

Edite o arquivo config.yaml da seguinte forma:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AI_HUNTER'
    raw_log_field: body

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <CUSTOMER_ID> pelo ID do cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configurar o encaminhamento de syslog no Active Countermeasures AI-Hunter

Faça login no servidor AI-Hunter via SSH com acesso privilegiado.

Faça backup do arquivo de configuração atual:

sudo cp /etc/AI-Hunter/config.yaml /etc/AI-Hunter/config.yaml.backup

Edite o arquivo de configuração:
```
sudo nano /etc/AI-Hunter/config.yaml
```
Localize a seção Alerta e a seção aninhada Syslog. Informe os seguintes detalhes de configuração:
```
Alert:
  Syslog:
    Threshold: 20
    Protocol: "udp"
    Address: "bindplane_host:514"
    Tag: " AC-Hunter "
```
- Limite: insira a pontuação mínima de ameaça para acionar alertas (por exemplo, 20). Sistemas com pontuações iguais ou acima desse valor vão gerar alertas de syslog.
- Protocolo: selecione udp ou tcp para corresponder à sua configuração do Bindplane. Use "" (string vazia) para gravar no /dev/log do host para encaminhamento do rsyslog.
- Endereço: insira o endereço IP e a porta do agente do Bindplane (por exemplo, 10.1.2.3:514).
- Tag: insira uma tag opcional para identificação de registros (por exemplo, AC-Hunter). O fornecedor recomenda incluir um espaço à direita antes das aspas de fechamento.
Observação: o espaçamento é fundamental em arquivos YAML. Verifique se a seção aninhada Syslog: usa quatro espaços para o primeiro nível de recuo e oito espaços para entradas aninhadas.
Salve o arquivo de configuração e saia do editor.
Reinicie o AI-Hunter para aplicar as mudanças:
```
hunt up -d --force-recreate
```

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.