Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros de administración de seguridad de AlgoSec

Versión del analizador: 4.0

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de administración de seguridad de AlgoSec a Google Security Operations con el agente de Bindplane.

La suite de administración de seguridad (ASMS) de AlgoSec proporciona administración de políticas de seguridad de red en firewalls, SDN y plataformas de nube. Incluye Firewall Analyzer para el análisis de riesgos y cumplimiento, FireFlow para la automatización de la administración de cambios y AppViz para la visibilidad de la conectividad de las aplicaciones.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y los dispositivos de AlgoSec
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso privilegiado a AlgoSec Firewall Analyzer, FireFlow y AppViz

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia.
Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID del cliente para configurar el exportador del agente de Bindplane.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debe mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de raíz o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml por la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/algosec:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ALGOSEC
        raw_log_field: body

service:
    pipelines:
        logs/algosec_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/algosec

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- listen_address: Dirección IP y puerto para escuchar:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).
Configuración del exportador:
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado de la consola de Google SecOps
- endpoint: URL del endpoint regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura Syslog para Firewall Analyzer

Accede al dispositivo AFA con SSH.
Ve al directorio de configuración de syslog-ng:
```
cd /etc/syslog-ng
```
Crea una copia de seguridad de la configuración existente:
```
cp syslog-ng.conf syslog-ng.conf.orig
```
Edita el archivo de configuración de syslog-ng:
```
vi syslog-ng.conf
```
Agrega las siguientes líneas para definir el servidor syslog remoto:
```
destination d_remote { udp("<BINDPLANE_IP>" port(514)); };
log { source(s_sys); destination(d_remote); };
```
- Reemplaza <BINDPLANE_IP> por la dirección IP del agente de Bindplane.
Guarda y cierra el editor.
Reinicia el servicio de syslog-ng para aplicar los cambios:
```
service syslog-ng restart
```
Opcional: Verifica la configuración de Syslog:
1. Ve a Administración > Configuración del servidor Syslog.
2. Haz clic en Test Connectivity.

Configura Syslog para FireFlow

Accede a la máquina FireFlow como root.
Abre el archivo /etc/syslog.conf para editarlo:
```
vi /etc/syslog.conf
```
Agrega la siguiente línea al archivo:
```
local0.*@<BINDPLANE_IP>
```
- Reemplaza <BINDPLANE_IP> por la dirección IP del servidor del agente de Bindplane.

Cómo configurar Syslog para AppViz

Accede al dispositivo AppViz a través de SSH.
Ve al directorio de configuración de syslog-ng:
```
cd /etc/syslog-ng
```
Crea una copia de seguridad de la configuración existente:
```
cp syslog-ng.conf syslog-ng.conf.orig
```
Edita el archivo de configuración de syslog-ng:
```
vi syslog-ng.conf
```
Agrega lo siguiente para definir el servidor syslog remoto:
```
destination d_remote { udp("<BINDPLANE_IP>" port(514)); };
log { source(s_sys); destination(d_remote); };
```
- Reemplaza <BINDPLANE_IP> por la dirección IP del agente de Bindplane.
Guarda y cierra el editor.
Reinicia el servicio de syslog-ng para aplicar los cambios:
```
service syslog-ng restart
```
Verifica la configuración de Syslog:
1. En la interfaz de AppViz, ve a Administración > Configuración del servidor Syslog.
2. Haz clic en Test Connectivity.

Configura syslog para los eventos de acceso y salida

Accede al dispositivo ASMS a través de SSH.
Ve al directorio de configuración de syslog-ng:
```
cd /etc/syslog-ng
```
Crea una copia de seguridad de la configuración existente:
```
cp syslog-ng.conf syslog-ng.conf.orig
```
Edita el archivo de configuración de syslog-ng:
```
vi syslog-ng.conf
```
Agrega lo siguiente para definir el servidor syslog remoto:
```
destination d_remote { udp("<BINDPLANE_IP>" port(514)); };
log { source(s_sys); destination(d_remote); };
```
- Reemplaza <BINDPLANE_IP> por la dirección IP del agente de Bindplane.
Guarda y cierra el editor.
Reinicia el servicio de syslog-ng para aplicar los cambios:
```
service syslog-ng restart
```

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`by_user`	`principal.user.user_display_name`	El valor del campo `by_user` del registro sin procesar se asigna a este campo de UDM.
`collection_time`	`metadata.event_timestamp`	Los campos de segundos y nanosegundos se combinan para crear una marca de tiempo.
`comm`	`target.process.command_line`	El valor del campo `comm` que se extrae del campo `desc` con grok se asigna a este campo de UDM.
`datetime`	`metadata.event_timestamp`	La fecha y la hora se extraen del registro sin procesar y se usan para completar la marca de tiempo del evento.
`desc`	`metadata.description`	El valor del campo `desc` del registro sin procesar se asigna a este campo del UDM cuando no hay otra descripción disponible.
`dest_ip`	`target.ip`	El valor del campo `dest_ip` del registro sin procesar se asigna a este campo de UDM.
`dest_port`	`target.port`	El valor del campo `dest_port` del registro sin procesar se asigna a este campo de UDM.
`details`	`security_result.summary`	El valor del campo `details` del registro sin procesar se asigna a este campo de UDM.
`device`	`principal.asset.hostname`	El valor del campo `device` del registro sin procesar se asigna a este campo de UDM.
`dst_ip`	`target.ip`	El valor del campo `dst_ip` del registro sin procesar se asigna a este campo de UDM.
`dst_port`	`target.port`	El valor del campo `dst_port` del registro sin procesar se asigna a este campo de UDM.
`event_id`	`metadata.product_event_type`	El valor del campo `event_id` del registro sin procesar se asigna a este campo de UDM. También se usa en la lógica del analizador para determinar el `metadata.event_type` y otros campos.
`event_name`	`metadata.product_event_type`	El valor del campo `event_name` del registro sin procesar se asigna a este campo de UDM.
`firewall`	`target.hostname`	El valor del campo `firewall` del registro sin procesar se asigna a este campo de UDM.
`host`	`principal.hostname`	El valor del campo `host` del registro sin procesar se asigna a este campo de UDM.
`host_type`	`principal.asset.category`	El valor del campo `host_type` del registro sin procesar se asigna a este campo de UDM.
`iporhost`	`principal.ip/principal.hostname/target.ip/target.hostname/observer.ip/observer.hostname`	Si el valor es una dirección IP, se asigna a `principal.ip,target.ip,` o `observer.ip` según la fuente del archivo de registro y el tipo de evento. Si es un nombre de host, se asigna a `principal.hostname,target.hostname,` o `observer.hostname`.
`IP`	`principal.ip`	El valor del campo `IP` del registro sin procesar se asigna a este campo de UDM.
`kv_data`	`security_result.summary`	El valor del campo `kv_data` del registro sin procesar se asigna a este campo de UDM.
`log_type`	`metadata.log_type`	Se codificó como `ALGOSEC`.
`metric`	`security_result.action_details`	El valor del campo `metric` del registro sin procesar se asigna a este campo de UDM.
`msg`	`security_result.summary/security_result.description`	El valor del campo `msg` del registro sin procesar se usa para completar el resumen o la descripción del resultado de seguridad, según el contexto. También se usa para los campos `extractrisk_level,risk_count,risk_code,` y `risk_title`.
`pid`	`target.process.pid`	El valor del campo `pid` que se extrae del campo `desc` con grok se asigna a este campo de UDM.
`product`	`metadata.product_name`	El valor del campo `product` del registro sin procesar se asigna a este campo de UDM.
`report`	`security_result.description`	El valor del campo `report` del registro sin procesar se incluye en la descripción del resultado de seguridad.
`report_data.Device IP`	`target.ip`	El valor del campo `Device IP` de los datos JSON analizados se asigna a este campo del UDM.
`report_data.Highest Risk Level`	`security_result.description`	El valor del campo `Highest Risk Level` de los datos JSON analizados se incluye en la descripción del resultado de seguridad. También se usa para determinar la gravedad del resultado de seguridad.
`report_data.Security Rating Score`	`security_result.description`	El valor del campo `Security Rating Score` de los datos JSON analizados se incluye en la descripción del resultado de seguridad.
`Requestor.Email`	`principal.user.email_addresses`	El valor del campo `Email` dentro del objeto `Request` de los datos JSON analizados se asigna a este campo de UDM.
`Requestor.Name`	`principal.user.user_display_name`	El valor del campo `Name` dentro del objeto `Requestor` de los datos JSON analizados se asigna a este campo de UDM.
`RequestType`	`target.resource.attribute.labels`	El valor del campo `RequestType` del registro sin procesar se agrega como una etiqueta al recurso de destino.
`risk_title`	`security_result.summary`	El valor del campo `risk_title` del registro sin procesar se asigna a este campo de UDM.
`src_ip`	`principal.ip`	El valor del campo `src_ip` del registro sin procesar se asigna a este campo de UDM.
`src_port`	`principal.port`	El valor del campo `src_port` del registro sin procesar se asigna a este campo de UDM.
`status`	`security_result.description/security_result.action_details`	El valor del campo `status` del registro sin procesar se incluye en la descripción del resultado de seguridad o en los detalles de la acción, según el contexto. También se usa para determinar la gravedad del resultado de seguridad.
`target_app`	`target.application`	El valor del campo `target_app` del registro sin procesar se asigna a este campo de UDM.
`TemplateName`	`metadata.description`	El valor del campo `TemplateName` del registro sin procesar se asigna a este campo de UDM.
`url`	`security_result.url_back_to_product`	El valor del campo `url` del registro sin procesar se asigna a este campo de UDM.
`user`	`principal.user.userid`	El valor del campo `user` del registro sin procesar se asigna a este campo de UDM.
`vendor`	`metadata.vendor_name`	El valor del campo `vendor` del registro sin procesar se asigna a este campo de UDM.
`version`	`metadata.product_version`	El valor del campo `version` del registro sin procesar se asigna a este campo de UDM.
`WorkFlow`	`target.resource.attribute.labels`	El valor del campo `WorkFlow` del registro sin procesar se agrega como una etiqueta al recurso de destino.
`(Parser Logic)`	`extensions.auth.type`	Se codificó como `MACHINE`.
`(Parser Logic)`	`security_result.action`	Se determina en función de `event_id` y otros campos. Por lo general, se establece en `ALLOW or BLOCK`.
`(Parser Logic)`	`security_result.category`	Se codifica como `POLICY_VIOLATION` para los eventos del Analizador de firewall.
`(Parser Logic)`	`security_result.description`	Se construye en función de otros campos y proporciona contexto y detalles sobre el evento.
`(Parser Logic)`	`security_result.severity`	Se determina en función de `event_id,msg,` y otros campos. Por lo general, se establece en `LOW,MEDIUM,` o "HIGH".
`(Parser Logic)`	`metadata.event_type`	Se determina en función de `event_id` y otros campos. Entre los ejemplos, se incluyen `USER_LOGIN,USER_LOGOUT,USER_RESOURCE_ACCESS,GENERIC_EVENT,STATUS_UNCATEGORIZED,SCAN_HOST,NETWORK_CONNECTION,` y `STATUS_UPDATE`.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.