Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux AIDE (Advanced Intrusion Detection Environment)

Version de l'analyseur : 1.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux AIDE (Advanced Intrusion Detection Environment) dans Google Security Operations à l'aide de Bindplane. AIDE est un outil de surveillance de l'intégrité des fichiers qui détecte les modifications apportées aux fichiers sur les systèmes Linux/Unix.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Un hôte Linux avec systemd exécutant AIDE version 0.18 ou ultérieure (pour la compatibilité avec le format JSON)
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès privilégié aux fichiers de configuration AIDE

Obtenir le fichier d'authentification d'ingestion Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Linux en suivant les instructions ci-dessous.

Installation de Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Autres ressources d'installation

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Accédez au fichier de configuration :
- Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux.
- Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano ou vi).

Modifiez le fichier config.yaml comme suit :

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AIDE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
Remplacez <CUSTOMER_ID> par le numéro client réel.
Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier d'authentification que vous avez enregistré à l'étape 1.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```

Configurer le transfert Syslog sur AIDE

Ouvrez le fichier de configuration AIDE :
```
sudo vi /etc/aide/aide.conf
```
Accédez à la section "Rapports".
Ajoutez la configuration suivante :
- report_level : saisissez list_entries.
- report_format : saisissez json (pour AIDE 0.18 et versions ultérieures) ou plain.
- report_url : saisissez syslog:authpriv.
Exemple de configuration :
```
```ini
report_level=list_entries
report_format=json
report_url=syslog:authpriv
```
```
Enregistrez la configuration.
Configurez rsyslog pour transférer les journaux AIDE à l'agent Bindplane. Ouvrez la configuration rsyslog :
```
sudo vi /etc/rsyslog.d/aide-forward.conf
```
Ajoutez la configuration suivante pour transférer les journaux de la fonctionnalité authpriv à l'agent Bindplane :
```
authpriv.* @<BINDPLANE_AGENT_IP>:514
```
- Remplacez <BINDPLANE_AGENT_IP> par l'adresse IP de l'hôte de l'agent Bindplane.
- Utilisez @ pour le transfert UDP ou @@ pour le transfert TCP.
Redémarrez rsyslog :
```
sudo systemctl restart rsyslog
```

Initialisez la base de données AIDE s'il s'agit d'une nouvelle installation :

sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Testez la configuration :
```
sudo aide --check
```
Configurez des vérifications automatiques à l'aide de cron :
```
sudo crontab -e
```
Ajoutez la ligne suivante pour exécuter AIDE quotidiennement à 4h05 :
```
05 4 * * * root /usr/sbin/aide --check
```

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
`added_label`	`principal.asset.attribute.labels`	Fusionné
`changed_label`	`principal.asset.attribute.labels`	Fusionné
`old_acl_label`	`principal.asset.attribute.labels`	Fusionné
`old_md5_label`	`principal.asset.attribute.labels`	Fusionné
`old_perms_label`	`principal.asset.attribute.labels`	Fusionné
`old_sha256_label`	`principal.asset.attribute.labels`	Fusionné
`old_ts_label`	`principal.asset.attribute.labels`	Fusionné
`removed_label`	`principal.asset.attribute.labels`	Fusionné
`total_label`	`principal.asset.attribute.labels`	Fusionné
`file_path`	`principal.file.full_path`	Mappé directement
`path`	`principal.file.full_path`	Mappé directement
`old_size`	`principal.file.size`	Mappé directement
`host`	`principal.hostname`	Mappé directement
`sr`	`security_result`	Fusionné
`new_acl_label`	`target.asset.attribute.labels`	Fusionné
`new_md5_label`	`target.asset.attribute.labels`	Fusionné
`new_perms_label`	`target.asset.attribute.labels`	Fusionné
`new_sha256_label`	`target.asset.attribute.labels`	Fusionné
`new_ts_label`	`target.asset.attribute.labels`	Fusionné
`path`	`target.file.full_path`	Mappé directement
`new_size`	`target.file.size`	Mappé directement
N/A	`metadata.event_type`	Constante : `GENERIC_EVENT`
N/A	`metadata.product_name`	Constante : `AIDE`
N/A	`metadata.vendor_name`	Constante : `AIDE`
N/A	`principal.application`	Constante : `aide`
N/A	`principal.file.size`	Constante : `sizedata`
N/A	`target.file.size`	Constante : `sizedata_target`
`total_files", "added_files", "removed_files", "changed_files", "old_timestamp", "old_perms", "old_sha256", "old_md5", and "old_acl`	`principal.asset.attribute.labels`	Mappé à partir du journal des modifications
`new_timestamp", "new_perms", "new_sha256", "new_md5", and "new_acl`	`target.asset.attribute.labels`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.