Recopila registros de AIDE (Advanced Intrusion Detection Environment)

Versión del analizador: 1.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de AIDE (Advanced Intrusion Detection Environment) a Google Security Operations con Bindplane. AIDE es una herramienta de supervisión de la integridad de archivos que detecta cambios en los archivos de sistemas Linux o Unix.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Un host de Linux con systemd que ejecuta AIDE versión 0.18 o posterior (para la compatibilidad con el formato JSON)
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso privilegiado a los archivos de configuración de AIDE

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Continúa usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendada)

1. Accede a la Google Cloud consola y selecciona el Google Cloud proyecto que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haz clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y selecciona Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en AGREGAR CLAVE > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descarga en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica el agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para el final de su ciclo de vida el 20 de julio de 2027. Planifica migrar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Linux según las siguientes instrucciones.

Instalación de Linux

1. Abre una terminal con privilegios de administrador o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para obtener opciones de instalación adicionales, consulta esta guía de instalación.

Nota: La configuración del exportador de la API de Chronicle requiere el recopilador de Bindplane v1.106.0 o posterior. Los comandos anteriores instalan la versión más reciente. Si actualizas una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de Bindplane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Busca el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/ en Linux.
   • Abre el archivo con un editor de texto (por ejemplo, nano o vi).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AIDE'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
   • Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe, o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
   • Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
   • Reemplaza <CUSTOMER_ID> por el ID de cliente real.
   • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso del archivo en la que se guardó el archivo de claves de la cuenta de servicio (opción 1) en el paso 1.

Exportador de la API de Ingestion heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'AIDE'
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

  sudo systemctl restart observiq-otel-collector
  

Configura el reenvío de Syslog en AIDE

1. Abre el archivo de configuración de AIDE:

   sudo vi /etc/aide/aide.conf
   

2. Ve a la sección de informes.

3. Agrega la siguiente configuración:

   • report_level: Ingresa list_entries.
   • report_format: Ingresa json (para AIDE 0.18+) o plain.
   • report_url: Ingresa syslog:authpriv.

   Configuración de ejemplo:

   ```ini
   report_level=list_entries
   report_format=json
   report_url=syslog:authpriv
   ```
   

4. Guarde la configuración.

5. Configura rsyslog para reenviar registros de AIDE al agente de Bindplane. Abre la configuración de rsyslog:

   sudo vi /etc/rsyslog.d/aide-forward.conf
   

6. Agrega la siguiente configuración para reenviar registros de la instalación authpriv al agente de Bindplane:

   authpriv.* @<BINDPLANE_AGENT_IP>:514
   

   • Reemplaza <BINDPLANE_AGENT_IP> por la dirección IP del host del agente de Bindplane.
   • Usa @ para el reenvío de UDP o @@ para el reenvío de TCP.

7. Reinicia rsyslog:

   sudo systemctl restart rsyslog
   

8. Inicializa la base de datos de AIDE si es una instalación nueva:

   sudo aide --init
   sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
   

9. Prueba la configuración:

   sudo aide --check
   

10. Configura verificaciones automáticas con cron:

    sudo crontab -e
    

11. Agrega la siguiente línea para ejecutar AIDE diariamente a las 04:05:

    05 4 * * * root /usr/sbin/aide --check
    

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
added_label	principal.asset.attribute.labels	Combinado
changed_label	principal.asset.attribute.labels	Combinado
old_acl_label	principal.asset.attribute.labels	Combinado
old_md5_label	principal.asset.attribute.labels	Combinado
old_perms_label	principal.asset.attribute.labels	Combinado
old_sha256_label	principal.asset.attribute.labels	Combinado
old_ts_label	principal.asset.attribute.labels	Combinado
removed_label	principal.asset.attribute.labels	Combinado
total_label	principal.asset.attribute.labels	Combinado
file_path	principal.file.full_path	Asignado directamente
path	principal.file.full_path	Asignado directamente
old_size	principal.file.size	Asignado directamente
host	principal.hostname	Asignado directamente
sr	security_result	Combinado
new_acl_label	target.asset.attribute.labels	Combinado
new_md5_label	target.asset.attribute.labels	Combinado
new_perms_label	target.asset.attribute.labels	Combinado
new_sha256_label	target.asset.attribute.labels	Combinado
new_ts_label	target.asset.attribute.labels	Combinado
path	target.file.full_path	Asignado directamente
new_size	target.file.size	Asignado directamente
N/A	metadata.event_type	Constante: GENERIC_EVENT
N/A	metadata.product_name	Constante: AIDE
N/A	metadata.vendor_name	Constante: AIDE
N/A	principal.application	Constante: aide
N/A	principal.file.size	Constante: sizedata
N/A	target.file.size	Constante: sizedata_target
total_files", "added_files", "removed_files", "changed_files", "old_timestamp", "old_perms", "old_sha256", "old_md5", and "old_acl	principal.asset.attribute.labels	Asignado desde el registro de cambios
new_timestamp", "new_perms", "new_sha256", "new_md5", and "new_acl	target.asset.attribute.labels	Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.