Mengumpulkan log AIDE (Advanced Intrusion Detection Environment)

Didukung di:

Dokumen ini menjelaskan cara menyerap log AIDE (Advanced Intrusion Detection Environment) ke Google Security Operations menggunakan Bindplane. AIDE adalah alat pemantauan integritas file yang mendeteksi perubahan pada file di sistem Linux/Unix.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Host Linux dengan systemd yang menjalankan AIDE versi 0.18 atau yang lebih baru (untuk dukungan format JSON)
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke file konfigurasi AIDE

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Referensi penginstalan tambahan

Mengonfigurasi agen BindPlane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:

    1. Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    2. Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AIDE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
    • Ganti <CUSTOMER_ID> dengan ID pelanggan yang sebenarnya.
    • Ganti /path/to/ingestion-authentication-file.json dengan jalur tempat file autentikasi disimpan di bagian Mendapatkan file autentikasi penyerapan Google SecOps.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  • Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart bindplane-agent

Mengonfigurasi penerusan Syslog di AIDE

  1. Buka file konfigurasi AIDE:

    sudo vi /etc/aide/aide.conf

  2. Buka bagian pelaporan.

  3. Tambahkan konfigurasi berikut:

    • report_level: Masukkan list_entries.
    • report_format: Masukkan json (untuk AIDE 0.18+) atau plain.

    • report_url: Masukkan syslog:authpriv.

      • Contoh konfigurasi:
      report_level=list_entries
report_format=json
report_url=syslog:authpriv

  4. Simpan konfigurasi.

  5. Konfigurasi rsyslog untuk meneruskan log AIDE ke agen BindPlane. Buka konfigurasi rsyslog:

    sudo vi /etc/rsyslog.d/aide-forward.conf

  6. Tambahkan konfigurasi berikut untuk meneruskan log fasilitas authpriv ke agen Bindplane:

    authpriv.* @<BINDPLANE_AGENT_IP>:514
    • Ganti <BINDPLANE_AGENT_IP> dengan alamat IP host agen Bindplane.
    • Gunakan @ untuk penerusan UDP atau @@ untuk penerusan TCP.

  7. Mulai ulang rsyslog:

    sudo systemctl restart rsyslog

  8. Lakukan inisialisasi database AIDE jika ini adalah penginstalan baru:

    sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

  9. Uji konfigurasi:

    sudo aide --check

  10. Siapkan pemeriksaan otomatis menggunakan cron:

    sudo crontab -e

  11. Tambahkan baris berikut untuk menjalankan AIDE setiap hari pada pukul 04.05:

    05 4 * * * root /usr/sbin/aide --check

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.