AIDE-Logs (Advanced Intrusion Detection Environment) erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AIDE-Logs (Advanced Intrusion Detection Environment) mit Bindplane in Google Security Operations aufnehmen. AIDE ist ein Tool zur Überwachung der Dateiintegrität, mit dem Änderungen an Dateien auf Linux-/Unix-Systemen erkannt werden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Linux-Host mit systemd, auf dem AIDE Version 0.18 oder höher ausgeführt wird (für die Unterstützung des JSON-Formats)
  • Wenn Sie einen Proxy verwenden, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die AIDE-Konfigurationsdateien

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Linux-Betriebssystem gemäß der folgenden Anleitung.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie den folgenden Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Bindplane-Agent so konfigurieren, dass Syslog aufgenommen und an Google SecOps gesendet wird

  1. Greifen Sie auf die Konfigurationsdatei zu:

    • Suchen Sie die Datei config.yaml. Unter Linux befindet sie sich normalerweise im Verzeichnis /etc/bindplane-agent/.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano oder vi).

  2. Bearbeiten Sie die Datei config.yaml so:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AIDE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Authentifizierungsdatei in Schritt 1 gespeichert wurde.

Bindplane-Agent neu starten, damit die Änderungen übernommen werden

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

Syslog-Weiterleitung in AIDE konfigurieren

  1. Öffnen Sie die AIDE-Konfigurationsdatei:

    sudo vi /etc/aide/aide.conf

  2. Rufen Sie den Bereich „Berichte“ auf.

  3. Fügen Sie die folgende Konfiguration hinzu:

    • report_level: Geben Sie list_entries ein.
    • report_format: Geben Sie json (für AIDE 0.18+) oder plain ein.
    • report_url: Geben Sie syslog:authpriv ein.

    Konfigurationsbeispiel:

    ```ini
report_level=list_entries
report_format=json
report_url=syslog:authpriv
```

  4. Speichern Sie die Konfiguration.

  5. Konfigurieren Sie rsyslog so, dass AIDE-Logs an den Bindplane-Agent weitergeleitet werden. Öffnen Sie die rsyslog-Konfiguration:

    sudo vi /etc/rsyslog.d/aide-forward.conf

  6. Fügen Sie die folgende Konfiguration hinzu, um authpriv-Einrichtungslogs an den Bindplane-Agent weiterzuleiten:

    authpriv.* @<BINDPLANE_AGENT_IP>:514
    • Ersetzen Sie <BINDPLANE_AGENT_IP> durch die IP-Adresse des Bindplane-Agent-Hosts.
    • Verwenden Sie @ für die UDP- oder @@ für die TCP-Weiterleitung.

  7. Starten Sie rsyslog neu:

    sudo systemctl restart rsyslog

  8. Initialisieren Sie die AIDE-Datenbank, wenn es sich um eine Neuinstallation handelt:

    sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

  9. Testen Sie die Konfiguration:

    sudo aide --check

  10. Richten Sie automatisierte Prüfungen mit Cron ein:

    sudo crontab -e

  11. Fügen Sie die folgende Zeile hinzu, um AIDE täglich um 04:05 Uhr auszuführen:

    05 4 * * * root /usr/sbin/aide --check

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
added_label principal.asset.attribute.labels Zusammengeführt
changed_label principal.asset.attribute.labels Zusammengeführt
old_acl_label principal.asset.attribute.labels Zusammengeführt
old_md5_label principal.asset.attribute.labels Zusammengeführt
old_perms_label principal.asset.attribute.labels Zusammengeführt
old_sha256_label principal.asset.attribute.labels Zusammengeführt
old_ts_label principal.asset.attribute.labels Zusammengeführt
removed_label principal.asset.attribute.labels Zusammengeführt
total_label principal.asset.attribute.labels Zusammengeführt
file_path principal.file.full_path Direkt zugeordnet
path principal.file.full_path Direkt zugeordnet
old_size principal.file.size Direkt zugeordnet
host principal.hostname Direkt zugeordnet
sr security_result Zusammengeführt
new_acl_label target.asset.attribute.labels Zusammengeführt
new_md5_label target.asset.attribute.labels Zusammengeführt
new_perms_label target.asset.attribute.labels Zusammengeführt
new_sha256_label target.asset.attribute.labels Zusammengeführt
new_ts_label target.asset.attribute.labels Zusammengeführt
path target.file.full_path Direkt zugeordnet
new_size target.file.size Direkt zugeordnet
– metadata.event_type Konstante: GENERIC_EVENT
– metadata.product_name Konstante: AIDE
– metadata.vendor_name Konstante: AIDE
– principal.application Konstante: aide
– principal.file.size Konstante: sizedata
– target.file.size Konstante: sizedata_target

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten