Recopila registros de Avaya Aura

Versión del analizador: 3.0

Compatible con:

En este documento, se explica cómo transferir registros de Avaya Aura a Google Security Operations con el agente de Bindplane.

Avaya Aura es una plataforma de comunicaciones unificadas que genera mensajes de syslog para los eventos de inicio y cierre de sesión del usuario, los cambios en la configuración del sistema y los eventos de seguridad. El analizador extrae campos de los mensajes de syslog con patrones de grok y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd
  • Conectividad de red entre el agente de Bindplane y el sistema Avaya Aura
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a Avaya Aura

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia

  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debería mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de administrador o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir registros de Syslog y enviarlos a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml con la siguiente configuración:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/avaya_aura:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: AVAYA_AURA
        raw_log_field: body

service:
    pipelines:
        logs/avaya_aura_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/avaya_aura

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Dirección IP y puerto que se escucharán:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado de la consola de Google SecOps
    • endpoint: URL del extremo regional:
      • EE.UU.: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulta Extremos regionales para obtener la lista completa.

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
    • Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      sudo systemctl status observiq-otel-collector

    2. Revisa los registros en busca de errores:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de Servicios:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Cómo configurar Syslog en Avaya Aura

  1. Accede a la consola de Avaya Aura.
  2. Ve a EM > System Configuration > Logging Settings > Syslog.
  3. Habilita SYSLOG Delivery of Logs.
  4. Haz clic en Agregar.
  5. Proporciona los siguientes detalles de configuración:
    • Dirección del servidor: Ingresa la dirección IP del agente de BindPlane.
    • Puerto: Ingresa el puerto de escucha del agente de Bindplane.
  6. Haz clic en Guardar.
  7. Haz clic en Confirmar.
  8. Reinicia Avaya Aura.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
data{}.@timestamp metadata.event_timestamp La marca de tiempo del evento se analiza a partir del campo de datos con el patrón de Grok y se asigna al campo event_timestamp en la sección de metadatos del UDM.
data{}.host principal.hostname El valor del host se extrae del campo de datos con el patrón de grok y se asigna al campo de nombre de host dentro de la sección principal del UDM.
data{}.portal security_result.about.resource.attribute.labels.value El valor del portal se extrae del campo de datos con el patrón de grok y se asigna como el valor de la etiqueta Portal dentro de la sección about.resource.attribute.labels del security_result en el UDM.
data{}.prod_log_id metadata.product_log_id El valor de prod_log_id se extrae del campo de datos con el patrón de grok y se asigna al campo product_log_id en la sección de metadatos del UDM.
data{}.sec_cat security_result.category_details El valor de sec_cat se extrae del campo de datos con el patrón de Grok y se asigna al campo category_details dentro de la sección security_result del UDM.
data{}.sec_desc security_result.description El valor de sec_desc se extrae del campo de datos con el patrón de grok y se asigna al campo de descripción dentro de la sección security_result del UDM.
data{}.severity security_result.severity El valor de gravedad se extrae del campo de datos con el patrón de grok. Si la gravedad es warn, fatal o error (sin distinción entre mayúsculas y minúsculas), se asigna a HIGH en el campo security_result.severity del UDM. De lo contrario, si la gravedad es info (sin distinción entre mayúsculas y minúsculas), se asigna a LOW.
data{}.summary security_result.summary El valor de resumen se extrae del campo de datos con el patrón de grok y se asigna al campo de resumen dentro de la sección security_result del UDM.
data{}.user_id target.user.userid El valor de user_id se extrae del campo de datos con el patrón de grok y se asigna al campo userid dentro de la sección target.user del UDM.
extensions.auth.type El campo auth.type se establece en AUTHTYPE_UNSPECIFIED si el campo event_name contiene log(in|on) o logoff (sin distinguir mayúsculas de minúsculas), o si el campo summary contiene login o logoff (sin distinguir mayúsculas de minúsculas) y el campo user_id no está vacío.
metadata.description El campo de descripción se completa con el valor del campo desc si no está vacío.
metadata.event_type El campo event_type se determina según la siguiente lógica: - Si el campo event_name contiene log(in|on) o el campo summary contiene login (sin distinción entre mayúsculas y minúsculas) y el campo user_id no está vacío, el campo event_type se establece en USER_LOGIN. - Si el campo event_name contiene logoff o el campo summary contiene logoff (sin distinción entre mayúsculas y minúsculas) y el campo user_id no está vacío, el campo event_type se establece en USER_LOGOUT. - Si el campo has_principal es true, el campo event_type se establece en STATUS_UPDATE. - De lo contrario, el valor de event_type permanece como GENERIC_EVENT (valor predeterminado).
metadata.log_type El parámetro log_type está codificado como AVAYA_AURA.
metadata.product_event_type El campo product_event_type se completa con el valor del campo event_name si no está vacío.
metadata.product_name El valor de product_name está codificado como AVAYA AURA.
metadata.vendor_name El valor de vendor_name está codificado como AVAYA AURA.
security_result.action El campo de acción dentro de la sección security_result se establece según la siguiente lógica: - Si el campo de resumen contiene fail o failed (sin distinción entre mayúsculas y minúsculas), la acción se establece en BLOCK. - Si el campo de resumen contiene success (sin distinción entre mayúsculas y minúsculas), la acción se establece en ALLOW.
security_result.severity_details El campo severity_details se completa con el valor del campo severity_details si no está vacío.
timestamp.nanos metadata.event_timestamp.nanos El valor de nanos del campo de marca de tiempo se asigna directamente al campo de nanos dentro de la sección event_timestamp de los metadatos en el UDM.
timestamp.seconds metadata.event_timestamp.seconds El valor de segundos del campo de marca de tiempo se asigna directamente al campo de segundos dentro de la sección event_timestamp de los metadatos en el UDM.
time event.idm.read_only_udm.metadata.event_timestamp Se asignó desde el registro de cambios
src_ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
src_port event.idm.read_only_udm.principal.port Se asignó desde el registro de cambios
dst_ip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Se asignó desde el registro de cambios
dst_port event.idm.read_only_udm.target.port Se asignó desde el registro de cambios
process_pid event.idm.read_only_udm.principal.process.pid Se asignó desde el registro de cambios
principal_application event.idm.read_only_udm.principal.application Se asignó desde el registro de cambios
network_protocol event.idm.read_only_udm.network.ip_protocol Se asignó desde el registro de cambios
application_protocol_version event.idm.read_only_udm.network.application_protocol_version Se asignó desde el registro de cambios
community_id event.idm.read_only_udm.network.community_id Se asignó desde el registro de cambios
security_description event.idm.read_only_udm.security_result.description Se asignó desde el registro de cambios
device_uptime event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
cmg_trap_subsystem event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
cmg_trap_onboard event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
cmg_trap_location event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
syslog_priority event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.