O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do AIDE (Advanced Intrusion Detection Environment)

Versão do analisador:1.0

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do AIDE (Advanced Intrusion Detection Environment) no Google Security Operations usando o Bindplane. O AIDE é uma ferramenta de monitoramento de integridade de arquivos que detecta mudanças em arquivos em sistemas Linux/Unix.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Um host Linux com systemd executando o AIDE versão 0.18 ou mais recente (para compatibilidade com o formato JSON)
Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso privilegiado aos arquivos de configuração do AIDE

Receber o arquivo de autenticação de ingestão do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Agentes de coleta.
Baixe o arquivo de autenticação de ingestão.
Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações do SIEM > Perfil.
Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no sistema operacional Linux de acordo com as instruções a seguir.

Instalação do Linux

Abra um terminal com privilégios de root ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para outras opções de instalação, consulte este guia.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

Acesse o arquivo de configuração:
- Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux.
- Abra o arquivo usando um editor de texto, como nano ou vi.

Edite o arquivo config.yaml da seguinte forma:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'AIDE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <CUSTOMER_ID> pelo ID de cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de autenticação foi salvo na etapa 1.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart observiq-otel-collector
```

Configurar o encaminhamento do Syslog no AIDE

Abra o arquivo de configuração do AIDE:
```
sudo vi /etc/aide/aide.conf
```
Acesse a seção de relatórios.
Adicione a seguinte configuração:
- report_level: insira list_entries.
- report_format: insira json (para AIDE 0.18 ou mais recente) ou plain.
- report_url: insira syslog:authpriv.
Exemplo de configuração:
```
```ini
report_level=list_entries
report_format=json
report_url=syslog:authpriv
```
```
Salve a configuração.
Configure o rsyslog para encaminhar registros do AIDE ao agente do Bindplane. Abra a configuração do rsyslog:
```
sudo vi /etc/rsyslog.d/aide-forward.conf
```
Adicione a seguinte configuração para encaminhar os registros de facilidade authpriv ao agente do Bindplane:
```
authpriv.* @<BINDPLANE_AGENT_IP>:514
```
- Substitua <BINDPLANE_AGENT_IP> pelo endereço IP do host do agente Bindplane.
- Use @ para encaminhamento de UDP ou @@ para TCP.
Reinicie o rsyslog:
```
sudo systemctl restart rsyslog
```

Inicialize o banco de dados do AIDE se esta for uma nova instalação:

sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Teste a configuração:
```
sudo aide --check
```
Configure verificações automáticas usando o cron:
```
sudo crontab -e
```
Adicione a seguinte linha para executar o AIDE diariamente às 4h05:
```
05 4 * * * root /usr/sbin/aide --check
```

Tabela de mapeamento de UDM

Campo de registro	Mapeamento do UDM	Lógica
`added_label`	`principal.asset.attribute.labels`	Mesclado
`changed_label`	`principal.asset.attribute.labels`	Mesclado
`old_acl_label`	`principal.asset.attribute.labels`	Mesclado
`old_md5_label`	`principal.asset.attribute.labels`	Mesclado
`old_perms_label`	`principal.asset.attribute.labels`	Mesclado
`old_sha256_label`	`principal.asset.attribute.labels`	Mesclado
`old_ts_label`	`principal.asset.attribute.labels`	Mesclado
`removed_label`	`principal.asset.attribute.labels`	Mesclado
`total_label`	`principal.asset.attribute.labels`	Mesclado
`file_path`	`principal.file.full_path`	Mapeado diretamente
`path`	`principal.file.full_path`	Mapeado diretamente
`old_size`	`principal.file.size`	Mapeado diretamente
`host`	`principal.hostname`	Mapeado diretamente
`sr`	`security_result`	Mesclado
`new_acl_label`	`target.asset.attribute.labels`	Mesclado
`new_md5_label`	`target.asset.attribute.labels`	Mesclado
`new_perms_label`	`target.asset.attribute.labels`	Mesclado
`new_sha256_label`	`target.asset.attribute.labels`	Mesclado
`new_ts_label`	`target.asset.attribute.labels`	Mesclado
`path`	`target.file.full_path`	Mapeado diretamente
`new_size`	`target.file.size`	Mapeado diretamente
N/A	`metadata.event_type`	Constante: `GENERIC_EVENT`
N/A	`metadata.product_name`	Constante: `AIDE`
N/A	`metadata.vendor_name`	Constante: `AIDE`
N/A	`principal.application`	Constante: `aide`
N/A	`principal.file.size`	Constante: `sizedata`
N/A	`target.file.size`	Constante: `sizedata_target`
`total_files", "added_files", "removed_files", "changed_files", "old_timestamp", "old_perms", "old_sha256", "old_md5", and "old_acl`	`principal.asset.attribute.labels`	Mapeado do registro de mudanças
`new_timestamp", "new_perms", "new_sha256", "new_md5", and "new_acl`	`target.asset.attribute.labels`	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.