Collecter les journaux CEF ArcSight

Version de l'analyseur : 34.0

Compatible avec :

Ce document explique comment ingérer des journaux ArcSight CEF dans Google Security Operations à l'aide de l'agent Bindplane.

ArcSight (qui fait désormais partie d'OpenText) utilise le format CEF (Common Event Format) pour normaliser les événements de sécurité provenant de plusieurs sources. ArcSight SmartConnector collecte les événements et les transfère au format CEF via syslog aux consommateurs en aval, y compris les plates-formes SIEM.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et l'hôte ArcSight SmartConnector
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès au portail d'assistance OpenText pour télécharger SmartConnector
  • Accès administrateur au serveur SmartConnector

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.

  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/arcsight_cef:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ARCSIGHT_CEF
        raw_log_field: body

service:
    pipelines:
        logs/arcsight_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/arcsight_cef

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite la racine sur Linux ; utilisez 1514 pour les utilisateurs non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
      • Linux : /etc/bindplane-agent/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • endpoint : URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe : europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Télécharger ArcSight SmartConnector

  1. Connectez-vous au portail d'assistance OpenText.
  2. Recherchez et téléchargez le dernier ArcSight SmartConnector pour Linux.
  3. Exemple de nom de fichier : ArcSight-Connector-Linux64-8.4.0.8499.0.bin.

Installer le SmartConnector ArcSight

  1. Importez le fichier .bin sur le serveur SmartConnector :

    scp ArcSight-Connector-Linux64-8.4.0.8499.0.bin user@your-smartconnector-host:/tmp

  2. Connectez-vous au serveur SmartConnector à l'aide de SSH et exécutez la commande suivante :

    cd /tmp
chmod +x ArcSight-Connector-Linux64-8.4.0.8499.0.bin
./ArcSight-Connector-Linux64-8.4.0.8499.0.bin

  3. Suivez le programme d'installation interactif :

    • Sélectionnez le répertoire d'installation (par exemple, /opt/arcsight/connectors/current).
    • Acceptez la licence.
    • Lorsque vous y êtes invité, sélectionnez Installer le connecteur.

Configurer ArcSight SmartConnector pour envoyer le format CEF à syslog

  1. Dans l'hôte SmartConnector, lancez l'assistant de destination :

    cd /opt/arcsight/connectors/current/bin
./arcsight connectors

  2. Dans l'assistant, procédez comme suit :

    • Sélectionnez Ajouter une destination.
    • Sélectionnez CEF Syslog.

  3. Fournissez les informations de configuration suivantes :

    • Hôte/Adresse IP : saisissez l'adresse IP de l'agent Bindplane.
    • Port : saisissez le numéro de port de l'agent Bindplane (par exemple, 514).
    • Protocole : sélectionnez UDP.

  4. Terminez la configuration et redémarrez le connecteur :

    ./arcsight agents

  5. Exécutez une vérification de la connectivité (recherchez : Successfully connected to syslog: X.X.X.X:514) :

    tail -f /opt/arcsight/connectors/current/logs/agent.log

Table de mappage UDM

Champ du journal Mappage UDM Logique
agir security_result.action_details Mappé directement à partir du champ act.
agt principal.ip Mappé directement à partir du champ agt.
agt principal.asset.ip Mappé directement à partir du champ agt.
application network.application_protocol Mappé directement à partir du champ app.
art metadata.event_timestamp.seconds Mappé directement à partir du champ art.
cs2 additional.fields.value.string_value Directement mappé à partir du champ cs2 lorsque cs2Label est défini sur EventlogCategory.
cs2Label additional.fields.key Mappé directement à partir du champ cs2Label lorsque sa valeur est EventlogCategory.
cs3 additional.fields.value.string_value Directement mappé à partir du champ cs3 lorsque cs3Label est défini sur Process ID.
cs3Label additional.fields.key Mappé directement à partir du champ cs3Label lorsque sa valeur est Process ID.
cs5 additional.fields.value.string_value Directement mappé à partir du champ cs5 lorsque cs5Label est défini sur Authentication Package Name.
cs5Label additional.fields.key Mappé directement à partir du champ cs5Label lorsque sa valeur est Authentication Package Name.
cs6 additional.fields.value.string_value Directement mappé à partir du champ cs6 lorsque cs6Label est défini sur Logon GUID.
cs6Label additional.fields.key Mappé directement à partir du champ cs6Label lorsque sa valeur est Logon GUID.
dhost about.hostname Mappé directement à partir du champ dhost.
dhost target.hostname Mappé directement à partir du champ dhost.
dntdom about.administrative_domain Mappé directement à partir du champ dntdom.
dntdom target.administrative_domain Mappé directement à partir du champ dntdom.
dproc about.process.command_line Mappé directement à partir du champ dproc.
dproc target.process.command_line Mappé directement à partir du champ dproc.
dst principal.ip Mappé directement à partir du champ dst.
dst principal.asset.ip Mappé directement à partir du champ dst.
dst target.ip Mappé directement à partir du champ dst.
duid target.user.userid Mappé directement à partir du champ duid.
duser target.user.user_display_name Mappé directement à partir du champ duser.
dvc about.ip Mappé directement à partir du champ dvc.
dvchost about.hostname Mappé directement à partir du champ dvchost.
eventId additional.fields.value.string_value Mappé directement à partir du champ eventId.
externalId metadata.product_log_id Mappé directement à partir du champ externalId.
fname additional.fields.value.string_value Mappé directement à partir du champ fname.
Message metadata.description Mappé directement à partir du champ msg.
proto network.ip_protocol Mappé directement à partir du champ proto. Traduit les noms de protocoles en leurs constantes respectives (par exemple, tcp en TCP).
rt metadata.event_timestamp.seconds Mappé directement à partir du champ rt.
shost about.hostname Mappé directement à partir du champ shost.
shost principal.hostname Mappé directement à partir du champ shost.
src principal.ip Mappé directement à partir du champ src.
src principal.asset.ip Mappé directement à partir du champ src.
src target.ip Mappé directement à partir du champ src.
sproc principal.process.command_line Mappé directement à partir du champ sproc.
spt principal.port Mappé directement à partir du champ spt.
spt target.port Mappé directement à partir du champ spt.
additional.EventRecordID additional.fields.value.string_value Mappé directement à partir du champ ad.EventRecordID.
additional.ThreadID additional.fields.value.string_value Mappé directement à partir du champ ad.ThreadID.
additional.Opcode additional.fields.value.string_value Mappé directement à partir du champ ad.Opcode.
additional.ProcessID additional.fields.value.string_value Mappé directement à partir du champ ad.ProcessID.
additional.TargetDomainName additional.fields.value.string_value Mappé directement à partir du champ ad.TargetDomainName.
additional.Version additional.fields.value.string_value Mappé directement à partir du champ ad.Version.
deviceExternalId about.asset.hardware.serial_number Mappé directement à partir du champ deviceExternalId.
deviceInboundInterface additional.fields.value.string_value Mappé directement à partir du champ deviceInboundInterface.
deviceOutboundInterface additional.fields.value.string_value Mappé directement à partir du champ deviceOutboundInterface.
PanOSConfigVersion security_result.detection_fields.value Mappé directement à partir du champ PanOSConfigVersion.
PanOSContentVersion security_result.detection_fields.value Mappé directement à partir du champ PanOSContentVersion.
PanOSDGHierarchyLevel1 security_result.detection_fields.value Mappé directement à partir du champ PanOSDGHierarchyLevel1.
PanOSDestinationLocation target.location.country_or_region Mappé directement à partir du champ PanOSDestinationLocation.
PanOSRuleUUID metadata.product_log_id Mappé directement à partir du champ PanOSRuleUUID.
PanOSThreatCategory security_result.category_details Mappé directement à partir du champ PanOSThreatCategory.
PanOSThreatID security_result.threat_id Mappé directement à partir du champ PanOSThreatID.
about.asset.asset_id Généré en concaténant Palo Alto Networks., le nom du fournisseur (LF) et le champ deviceExternalId.
extensions.auth.type Définie sur AUTHTYPE_UNSPECIFIED si le champ event_name contient logged on.
metadata.description Si le champ description contient by suivi d'une adresse IP, l'adresse IP est extraite et mappée sur principal.ip et principal.asset.ip.
metadata.event_type Déterminé en fonction d'une série de vérifications conditionnelles sur différents champs, y compris event_name, principal_*, target_* et device_event_class_id. La logique détermine le type d'événement le plus approprié en fonction des informations disponibles.
metadata.log_type Variable définie sur ARCSIGHT_CEF.
metadata.product_event_type Généré en concaténant \[, the device_event_class_id field, \] - et le champ name.
metadata.product_name Définie sur NGFW si le champ product_name est LF.
principal.asset.ip Si le champ description contient by suivi d'une adresse IP, l'adresse IP est extraite et mappée sur principal.ip et principal.asset.ip.
principal.ip Si le champ description contient by suivi d'une adresse IP, l'adresse IP est extraite et mappée sur principal.ip et principal.asset.ip.
security_result.action Définie sur ALLOW si le champ act est alert, sinon définie sur BLOCK.
security_result.severity Définissez sur HIGH si le champ sev est supérieur ou égal à 7, sinon définissez sur LOW.
PanOSFileType event.idm.read_only_udm.target.file.mime_type Mappé à partir du journal des modifications
PanOSEmailSubject event.idm.read_only_udm.network.email.subject Mappé à partir du journal des modifications
PanOSNSSAINetworkSliceType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PanOSURLCounter event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PanOSReportID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PanOSDGHierarchyLevel2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PanOSVirtualSystemName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PanOSSigFlags event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PanOSPartialHash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cn3 network.duration.seconds Mappé à partir du journal des modifications
PanOSTenantID additional.fields Mappé à partir du journal des modifications
cn3 additional.fields Mappé à partir du journal des modifications
PanOSCortexDataLakeTenantID additional.fields Mappé à partir du journal des modifications
target_user target.user.userid Mappé à partir du journal des modifications
principal_ip principal.ip Mappé à partir du journal des modifications
PanOSStage", "PanOSConnectionError", and "PanOSEventDetails additional.fields Mappé à partir du journal des modifications
outcome security_result.action_details Mappé à partir du journal des modifications
PanOSDescription metadata.description Mappé à partir du journal des modifications
PanOSSourceUser principal.user.userid Mappé à partir du journal des modifications
app target.application Mappé à partir du journal des modifications
flexString2", "PanOSFileHash", and "filePath additional.fields Mappé à partir du journal des modifications
threat_name security_result.threat_name Mappé à partir du journal des modifications
principal_ip1 principal.ip Mappé à partir du journal des modifications
metadata.event_type NETWORK_CONNECTION Mappé à partir du journal des modifications
deviceOutboundInterface", "deviceInboundInterface additional.fields Mappé à partir du journal des modifications
query additional fields Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.