Coletar registros do ArcSight CEF

Versão do analisador:34.0

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros CEF do ArcSight no Google Security Operations usando o agente do Bindplane.

O ArcSight (agora parte da OpenText) usa o formato de evento comum (CEF, na sigla em inglês) para normalizar eventos de segurança de várias fontes. O ArcSight SmartConnector coleta eventos e os encaminha no formato CEF por syslog para consumidores downstream, incluindo plataformas SIEM.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente ou host do Linux com systemd
• Conectividade de rede entre o agente do Bindplane e o host do ArcSight SmartConnector
• Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso ao portal de suporte da OpenText para fazer o download do SmartConnector
• Acesso administrativo ao servidor SmartConnector

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja descontinuada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no consoleGoogle Cloud e selecione o projeto Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para configurar o exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do Bindplane e gire a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje migrar para a opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.

3. Copie e salve o ID de cliente na seção Detalhes da organização.

   Observação :o ID de cliente é necessário para configurar o exportador do agente do BindPlane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

   O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do BindPlane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação atual, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/arcsight_cef:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: ARCSIGHT_CEF
      raw_log_field: body
  
  service:
    pipelines:
      logs/arcsight_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/arcsight_cef
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • listen_address: endereço IP e porta a serem detectados:
    • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
    • A porta 514 é a porta syslog padrão (requer raiz no Linux; use 1514 para não raiz)

• Configuração do exportador:

  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID do cliente copiado do console do Google SecOps
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador adiciona esse valor ao prefixo chronicle.googleapis.com. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/arcsight_cef:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: ARCSIGHT_CEF
      raw_log_field: body
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for descontinuada em 20 de julho de 2027.

Salve o arquivo de configuração.

• Depois de editar, salve o arquivo:
  • Linux: pressione Ctrl+O, depois Enter e, em seguida, Ctrl+X.
  • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifique se o serviço está em execução:

     sudo systemctl status observiq-otel-collector
     

  2. Verifique se há erros nos registros:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços:

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize o coletor do OpenTelemetry da observIQ.
    3. Clique com o botão direito do mouse e selecione Reiniciar.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Fazer o download do ArcSight SmartConnector

1. Faça login no portal de suporte da OpenText.
2. Encontre e baixe o ArcSight SmartConnector mais recente para Linux.
3. Exemplo de nome de arquivo: ArcSight-Connector-Linux64-8.4.0.8499.0.bin.

Instalar o SmartConnector do ArcSight

1. Faça upload do arquivo .bin para o servidor SmartConnector:

   scp ArcSight-Connector-Linux64-8.4.0.8499.0.bin user@your-smartconnector-host:/tmp
   

2. Faça login no servidor SmartConnector usando SSH e execute:

   cd /tmp
   chmod +x ArcSight-Connector-Linux64-8.4.0.8499.0.bin
   ./ArcSight-Connector-Linux64-8.4.0.8499.0.bin
   

3. Siga o instalador interativo:

   • Selecione o diretório de instalação (por exemplo, /opt/arcsight/connectors/current).
   • Aceite a licença.
   • Selecione Instalar conector quando solicitado.

Configurar o ArcSight SmartConnector para enviar CEF ao syslog

1. No host do SmartConnector, inicie o assistente de destino:

   cd /opt/arcsight/connectors/current/bin
   ./arcsight connectors
   

2. No assistente, faça o seguinte:

   • Selecione Adicionar destino.
   • Selecione Syslog CEF.

3. Informe os seguintes detalhes de configuração:

   • Host/IP: insira o endereço IP do agente do Bindplane.
   • Porta: insira o número da porta do agente do Bindplane (por exemplo, 514).
   • Protocolo: selecione UDP.

4. Conclua a configuração e reinicie o conector:

   ./arcsight agents
   

5. Execute uma verificação de conectividade (procure por: Successfully connected to syslog: X.X.X.X:514):

   tail -f /opt/arcsight/connectors/current/logs/agent.log
   

Tabela de mapeamento de UDM

Campo de registro	mapeamento de UDM	Lógica
agir	security_result.action_details	Mapeado diretamente do campo act.
agt	principal.ip	Mapeado diretamente do campo agt.
agt	principal.asset.ip	Mapeado diretamente do campo agt.
app	network.application_protocol	Mapeado diretamente do campo app.
arte	metadata.event_timestamp.seconds	Mapeado diretamente do campo art.
cs2	additional.fields.value.string_value	Mapeado diretamente do campo cs2 quando cs2Label é EventlogCategory.
cs2Label	additional.fields.key	Mapeado diretamente do campo cs2Label quando o valor é EventlogCategory.
cs3	additional.fields.value.string_value	Mapeado diretamente do campo cs3 quando cs3Label é Process ID.
cs3Label	additional.fields.key	Mapeado diretamente do campo cs3Label quando o valor é Process ID.
cs5	additional.fields.value.string_value	Mapeado diretamente do campo cs5 quando cs5Label é Authentication Package Name.
cs5Label	additional.fields.key	Mapeado diretamente do campo cs5Label quando o valor é Authentication Package Name.
cs6	additional.fields.value.string_value	Mapeado diretamente do campo cs6 quando cs6Label é Logon GUID.
cs6Label	additional.fields.key	Mapeado diretamente do campo cs6Label quando o valor é Logon GUID.
dhost	about.hostname	Mapeado diretamente do campo dhost.
dhost	target.hostname	Mapeado diretamente do campo dhost.
dntdom	about.administrative_domain	Mapeado diretamente do campo dntdom.
dntdom	target.administrative_domain	Mapeado diretamente do campo dntdom.
dproc	about.process.command_line	Mapeado diretamente do campo dproc.
dproc	target.process.command_line	Mapeado diretamente do campo dproc.
dst	principal.ip	Mapeado diretamente do campo dst.
dst	principal.asset.ip	Mapeado diretamente do campo dst.
dst	target.ip	Mapeado diretamente do campo dst.
duid	target.user.userid	Mapeado diretamente do campo duid.
duser	target.user.user_display_name	Mapeado diretamente do campo duser.
dvc	about.ip	Mapeado diretamente do campo dvc.
dvchost	about.hostname	Mapeado diretamente do campo dvchost.
eventId	additional.fields.value.string_value	Mapeado diretamente do campo eventId.
externalId	metadata.product_log_id	Mapeado diretamente do campo externalId.
fname	additional.fields.value.string_value	Mapeado diretamente do campo fname.
msg	metadata.description	Mapeado diretamente do campo msg.
proto	network.ip_protocol	Mapeado diretamente do campo proto. Converte nomes de protocolo nas respectivas constantes (por exemplo, tcp em TCP).
rt	metadata.event_timestamp.seconds	Mapeado diretamente do campo rt.
shost	about.hostname	Mapeado diretamente do campo shost.
shost	principal.hostname	Mapeado diretamente do campo shost.
src	principal.ip	Mapeado diretamente do campo src.
src	principal.asset.ip	Mapeado diretamente do campo src.
src	target.ip	Mapeado diretamente do campo src.
sproc	principal.process.command_line	Mapeado diretamente do campo sproc.
spt	principal.port	Mapeado diretamente do campo spt.
spt	target.port	Mapeado diretamente do campo spt.
additional.EventRecordID	additional.fields.value.string_value	Mapeado diretamente do campo ad.EventRecordID.
additional.ThreadID	additional.fields.value.string_value	Mapeado diretamente do campo ad.ThreadID.
additional.Opcode	additional.fields.value.string_value	Mapeado diretamente do campo ad.Opcode.
additional.ProcessID	additional.fields.value.string_value	Mapeado diretamente do campo ad.ProcessID.
additional.TargetDomainName	additional.fields.value.string_value	Mapeado diretamente do campo ad.TargetDomainName.
additional.Version	additional.fields.value.string_value	Mapeado diretamente do campo ad.Version.
deviceExternalId	about.asset.hardware.serial_number	Mapeado diretamente do campo deviceExternalId.
deviceInboundInterface	additional.fields.value.string_value	Mapeado diretamente do campo deviceInboundInterface.
deviceOutboundInterface	additional.fields.value.string_value	Mapeado diretamente do campo deviceOutboundInterface.
PanOSConfigVersion	security_result.detection_fields.value	Mapeado diretamente do campo PanOSConfigVersion.
PanOSContentVersion	security_result.detection_fields.value	Mapeado diretamente do campo PanOSContentVersion.
PanOSDGHierarchyLevel1	security_result.detection_fields.value	Mapeado diretamente do campo PanOSDGHierarchyLevel1.
PanOSDestinationLocation	target.location.country_or_region	Mapeado diretamente do campo PanOSDestinationLocation.
PanOSRuleUUID	metadata.product_log_id	Mapeado diretamente do campo PanOSRuleUUID.
PanOSThreatCategory	security_result.category_details	Mapeado diretamente do campo PanOSThreatCategory.
PanOSThreatID	security_result.threat_id	Mapeado diretamente do campo PanOSThreatID.
	about.asset.asset_id	Gerado pela concatenação de Palo Alto Networks., o nome do fornecedor (LF) e o campo deviceExternalId.
	extensions.auth.type	Defina como AUTHTYPE_UNSPECIFIED se o campo event_name contiver logged on.
	metadata.description	Se o campo description contiver by seguido de um endereço IP, o endereço IP será extraído e mapeado para principal.ip e principal.asset.ip.
	metadata.event_type	Determinado com base em uma série de verificações condicionais em vários campos, incluindo event_name, principal_*, target_* e device_event_class_id. A lógica determina o tipo de evento mais adequado com base nas informações disponíveis.
	metadata.log_type	Defina como ARCSIGHT_CEF.
	metadata.product_event_type	Gerado pela concatenação de \[, the device_event_class_id field, \] - e do campo name.
	metadata.product_name	Defina como NGFW se o campo product_name for LF.
	principal.asset.ip	Se o campo description contiver by seguido por um endereço IP, o endereço IP será extraído e mapeado para principal.ip e principal.asset.ip.
	principal.ip	Se o campo description contiver by seguido por um endereço IP, o endereço IP será extraído e mapeado para principal.ip e principal.asset.ip.
	security_result.action	Defina como ALLOW se o campo act for alert. Caso contrário, defina como BLOCK.
	security_result.severity	Definido como HIGH se o campo sev for maior ou igual a 7. Caso contrário, definido como LOW.
PanOSFileType	event.idm.read_only_udm.target.file.mime_type	Mapeado do registro de mudanças
PanOSEmailSubject	event.idm.read_only_udm.network.email.subject	Mapeado do registro de alterações
PanOSNSSAINetworkSliceType	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PanOSURLCounter	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PanOSReportID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PanOSDGHierarchyLevel2	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PanOSVirtualSystemName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PanOSSigFlags	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PanOSPartialHash	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
version	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cn3	network.duration.seconds	Mapeado do registro de alterações
PanOSTenantID	additional.fields	Mapeado do registro de alterações
cn3	additional.fields	Mapeado do registro de alterações
PanOSCortexDataLakeTenantID	additional.fields	Mapeado do registro de alterações
target_user	target.user.userid	Mapeado do registro de alterações
principal_ip	principal.ip	Mapeado do registro de alterações
PanOSStage", "PanOSConnectionError", and "PanOSEventDetails	additional.fields	Mapeado do registro de alterações
outcome	security_result.action_details	Mapeado do registro de alterações
PanOSDescription	metadata.description	Mapeado do registro de alterações
PanOSSourceUser	principal.user.userid	Mapeado do registro de alterações
app	target.application	Mapeado do registro de alterações
flexString2", "PanOSFileHash", and "filePath	additional.fields	Mapeado do registro de alterações
threat_name	security_result.threat_name	Mapeado do registro de alterações
principal_ip1	principal.ip	Mapeado do registro de alterações
metadata.event_type	NETWORK_CONNECTION	Mapeado do registro de alterações
deviceOutboundInterface", "deviceInboundInterface	additional.fields	Mapeado do registro de alterações
query	additional fields	Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.