Kami telah mengatur ulang struktur navigasi dokumentasi agar selaras langsung dengan alur kerja operasional Anda. Lihat catatan rilis dan video panduan untuk mengetahui informasi selengkapnya.

Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log AIDE (Advanced Intrusion Detection Environment)

Versi Parser: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log AIDE (Advanced Intrusion Detection Environment) ke Google Security Operations menggunakan Bindplane. AIDE adalah alat pemantauan integritas file yang mendeteksi perubahan pada file di sistem Linux/Unix.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Host Linux dengan systemd yang menjalankan AIDE versi 0.18 atau yang lebih baru (untuk dukungan format JSON)
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
Akses istimewa ke file konfigurasi AIDE

Mendapatkan file autentikasi penyerapan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download File Autentikasi Penyerapan.
Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Linux

Buka terminal dengan hak istimewa root atau sudo.

Jalankan perintah berikut:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

Akses file konfigurasi:
- Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux.
- Buka file menggunakan editor teks (misalnya, nano atau vi).

Edit file config.yaml sebagai berikut:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AIDE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
Ganti <CUSTOMER_ID> dengan ID Pelanggan yang sebenarnya.
Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file autentikasi disimpan di Langkah 1.

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:
```
sudo systemctl restart observiq-otel-collector
```

Mengonfigurasi penerusan Syslog di AIDE

Buka file konfigurasi AIDE:
```
sudo vi /etc/aide/aide.conf
```
Buka bagian pelaporan.
Tambahkan konfigurasi berikut:
- report_level: Masukkan list_entries.
- report_format: Masukkan json (untuk AIDE 0.18+) atau plain.
- report_url: Masukkan syslog:authpriv.
Contoh konfigurasi:
```
```ini
report_level=list_entries
report_format=json
report_url=syslog:authpriv
```
```
Simpan konfigurasi.
Konfigurasi rsyslog untuk meneruskan log AIDE ke agen Bindplane. Buka konfigurasi rsyslog:
```
sudo vi /etc/rsyslog.d/aide-forward.conf
```
Tambahkan konfigurasi berikut untuk meneruskan log fasilitas authpriv ke agen Bindplane:
```
authpriv.* @<BINDPLANE_AGENT_IP>:514
```
- Ganti <BINDPLANE_AGENT_IP> dengan alamat IP host agen Bindplane.
- Gunakan @ untuk penerusan UDP atau @@ untuk penerusan TCP.
Mulai ulang rsyslog:
```
sudo systemctl restart rsyslog
```

Lakukan inisialisasi database AIDE jika ini adalah penginstalan baru:

sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Uji konfigurasi:
```
sudo aide --check
```
Siapkan pemeriksaan otomatis menggunakan cron:
```
sudo crontab -e
```
Tambahkan baris berikut untuk menjalankan AIDE setiap hari pada pukul 04.05:
```
05 4 * * * root /usr/sbin/aide --check
```

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
`added_label`	`principal.asset.attribute.labels`	Digabung
`changed_label`	`principal.asset.attribute.labels`	Digabung
`old_acl_label`	`principal.asset.attribute.labels`	Digabung
`old_md5_label`	`principal.asset.attribute.labels`	Digabung
`old_perms_label`	`principal.asset.attribute.labels`	Digabung
`old_sha256_label`	`principal.asset.attribute.labels`	Digabung
`old_ts_label`	`principal.asset.attribute.labels`	Digabung
`removed_label`	`principal.asset.attribute.labels`	Digabung
`total_label`	`principal.asset.attribute.labels`	Digabung
`file_path`	`principal.file.full_path`	Dipetakan secara langsung
`path`	`principal.file.full_path`	Dipetakan secara langsung
`old_size`	`principal.file.size`	Dipetakan secara langsung
`host`	`principal.hostname`	Dipetakan secara langsung
`sr`	`security_result`	Digabung
`new_acl_label`	`target.asset.attribute.labels`	Digabung
`new_md5_label`	`target.asset.attribute.labels`	Digabung
`new_perms_label`	`target.asset.attribute.labels`	Digabung
`new_sha256_label`	`target.asset.attribute.labels`	Digabung
`new_ts_label`	`target.asset.attribute.labels`	Digabung
`path`	`target.file.full_path`	Dipetakan secara langsung
`new_size`	`target.file.size`	Dipetakan secara langsung
T/A	`metadata.event_type`	Konstanta: `GENERIC_EVENT`
T/A	`metadata.product_name`	Konstanta: `AIDE`
T/A	`metadata.vendor_name`	Konstanta: `AIDE`
T/A	`principal.application`	Konstanta: `aide`
T/A	`principal.file.size`	Konstanta: `sizedata`
T/A	`target.file.size`	Konstanta: `sizedata_target`
`total_files", "added_files", "removed_files", "changed_files", "old_timestamp", "old_perms", "old_sha256", "old_md5", and "old_acl`	`principal.asset.attribute.labels`	Dipetakan dari log perubahan
`new_timestamp", "new_perms", "new_sha256", "new_md5", and "new_acl`	`target.asset.attribute.labels`	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.