Raccogli i log di BeyondTrust BeyondInsight

Versione parser: 7.0

Supportato in:

Questo documento spiega come importare i log di BeyondTrust BeyondInsight in Google Security Operations utilizzando l'agente Bindplane.

BeyondTrust BeyondInsight è una piattaforma di gestione degli accessi con privilegi che genera messaggi syslog per eventi di sicurezza, autenticazione e attività amministrative. Il parser normalizza i campi e li mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'istanza BeyondTrust BeyondInsight
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso con privilegi a un'istanza di BeyondTrust BeyondInsight

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione

  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/beyondtrust_beyondinsight:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BEYONDTRUST_BEYONDINSIGHT
        raw_log_field: body

service:
    pipelines:
        logs/beyondtrust_beyondinsight_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/beyondtrust_beyondinsight

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del destinatario:

    • listen_address: Indirizzo IP e porta da ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

  • Configurazione dell'esportatore:

    • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • endpoint: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura l'inoltro degli eventi syslog in BeyondTrust BeyondInsight

  1. Accedi all'UI web di BeyondTrust.
  2. Vai ad Appliance > Sicurezza > Amministrazione appliance.
  3. Vai alla sezione Syslog.
  4. Fai clic su Aggiungi nuovo server.
  5. Fornisci i seguenti dettagli di configurazione:
    • Nome host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Formato: seleziona RFC 5424.
    • Porta: il valore predefinito è UDP:514.
  6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
AgentDesc_label additional.fields Unita
AgentID_label additional.fields Unita
AgentVer_label additional.fields Unita
Approver_label additional.fields Unita
AuditID_label additional.fields Unita
Base_address_label additional.fields Unita
Category_label additional.fields Unita
CertIssuer_label additional.fields Unita
CertSerial_label additional.fields Unita
Entry_address_label additional.fields Unita
EventDesc_label additional.fields Unita
EventName_label additional.fields Unita
EventSubject_label additional.fields Unita
Failed_label additional.fields Unita
Image_size_label additional.fields Unita
LogID_label additional.fields Unita
LogTime_label additional.fields Unita
ObjectID_label additional.fields Unita
ObjectTypeID_label additional.fields Unita
ObjectType_label additional.fields Unita
Operation_label additional.fields Unita
Reason_label additional.fields Unita
RefType_label additional.fields Unita
ReleaseRequestId_label additional.fields Unita
RoleUsed_label additional.fields Unita
Server_date_label additional.fields Unita
Signer_label additional.fields Unita
Start_time_label additional.fields Unita
TicketNumber_label additional.fields Unita
TicketSystem_label additional.fields Unita
Type_label additional.fields Unita
Version_label additional.fields Unita
WorkgroupDesc_label additional.fields Unita
WorkgroupID_label additional.fields Unita
WorkgroupLocation_label additional.fields Unita
accountdisabled01003_label additional.fields Unita
accountname_label additional.fields Unita
accountnameformat_label additional.fields Unita
action_type_label additional.fields Unita
actiontype_label additional.fields Unita
address_label additional.fields Unita
agentdesc_label additional.fields Unita
agentid_label additional.fields Unita
agentver_label additional.fields Unita
alias_label additional.fields Unita
app_user_id_label additional.fields Unita
approver_label additional.fields Unita
appuserid_label additional.fields Unita
auditid_label additional.fields Unita
authenticationtype_label additional.fields Unita
automanagementflag_label additional.fields Unita
badpwcount01008_label additional.fields Unita
badpwcount0101_label additional.fields Unita
browserinfo_label additional.fields Unita
bt_Category_label additional.fields Unita
btcategory_label additional.fields Unita
btuser_label additional.fields Unita
can_manage_ownership_label additional.fields Unita
can_share_secret_label additional.fields Unita
category_label additional.fields Unita
changeafterrelease_label additional.fields Unita
changepasswordfrequency_label additional.fields Unita
changepasswordtime_label additional.fields Unita
changereasoncd_label additional.fields Unita
checkpassword_label additional.fields Unita
clarityactive_label additional.fields Unita
code_label additional.fields Unita
countrycode01011_label additional.fields Unita
countrycode0101_label additional.fields Unita
createdate_label additional.fields Unita
details_label additional.fields Unita
deviceExternalId_label additional.fields Unita
dllversion_label additional.fields Unita
dnsname_label additional.fields Unita
dsskeyruleid_label additional.fields Unita
dump_label additional.fields Unita
elevationcommand_label additional.fields Unita
endpointprivilegemanagementactive_label additional.fields Unita
endpointprivilegemanagementformacactive_label additional.fields Unita
endpointprivilegemanagementformacsettings_label additional.fields Unita
endpointprivilegemanagementformacvulnerabilitiesactive_label additional.fields Unita
endpointprivilegemanagementforunixlinuxactive_label additional.fields Unita
endpointprivilegemanagementforunixlinuxsettings_label additional.fields Unita
endpointprivilegemanagementsettings_label additional.fields Unita
endpointprivilegemanagementvulnerabilitiesactive_label additional.fields Unita
endpointprotectionplatformattackeventsactive_label additional.fields Unita
endpointprotectionplatformmalwareeventsactive_label additional.fields Unita
endpointprotectionplatformvulnerabilitiesactive_label additional.fields Unita
eventType_label additional.fields Unita
eventdesc_label additional.fields Unita
eventseverity_label additional.fields Unita
eventsubject_label additional.fields Unita
eventtype_label additional.fields Unita
evtdatatype_label additional.fields Unita
evtsrcipbi_label additional.fields Unita
evtstatus_label additional.fields Unita
evtsubjbi_label additional.fields Unita
expires01006_label additional.fields Unita
expires0101_label additional.fields Unita
facility_label additional.fields Unita
failed_label additional.fields Unita
fallback_label additional.fields Unita
fallbackcode_label additional.fields Unita
fileintegritymonitoringactive_label additional.fields Unita
folder_id_label additional.fields Unita
folder_label additional.fields Unita
formatVersion_label additional.fields Unita
fullname0101_label additional.fields Unita
functionalaccountid_label additional.fields Unita
groupid_label additional.fields Unita
isactive_label additional.fields Unita
isareleaseduration_label additional.fields Unita
isautomanagementenabled_label additional.fields Unita
isdynamicsystem_label additional.fields Unita
lastlogoff01005_label additional.fields Unita
lastlogoff0101_label additional.fields Unita
lastlogon01004_label additional.fields Unita
lastlogon0101_label additional.fields Unita
linked_label additional.fields Unita
linkedaccount_label additional.fields Unita
log_type_status_label additional.fields Unita
logid_label additional.fields Unita
logonserver0101_label additional.fields Unita
managedaccountid_label additional.fields Unita
managedentitytype_label additional.fields Unita
managedsystemid_label additional.fields Unita
managedsystemname_label additional.fields Unita
maxreleaseduration_label additional.fields Unita
maxstorage01007_label additional.fields Unita
maxstorage0101_label additional.fields Unita
memberofgroup01001_label additional.fields Unita
memberofgroup0101_label additional.fields Unita
netbiosname_label additional.fields Unita
notes_label additional.fields Unita
numberoflogons01009_label additional.fields Unita
numberoflogons0101_label additional.fields Unita
nvps_active_label additional.fields Unita
nvps_areaname_label additional.fields Unita
nvps_beyondinsightapplicationauditenabled_label additional.fields Unita
nvps_context_label additional.fields Unita
nvps_genericappliancehealthseverity_label additional.fields Unita
nvps_hostname_label additional.fields Unita
nvps_name_label additional.fields Unita
nvps_outputpipeline_label additional.fields Unita
nvps_port_label additional.fields Unita
objectid_label additional.fields Unita
objecttype_label additional.fields Unita
objecttypeid_label additional.fields Unita
operation_label additional.fields Unita
os_label additional.fields Unita
ownerid_label additional.fields Unita
password_label additional.fields Unita
passwordage0101_label additional.fields Unita
passwordexpired01013_label additional.fields Unita
passwordexpired0101_label additional.fields Unita
passwordruleid_label additional.fields Unita
platformid_label additional.fields Unita
platformname_label additional.fields Unita
priority_label additional.fields Unita
privilege01002_label additional.fields Unita
privilege0101_label additional.fields Unita
referenceid_label additional.fields Unita
releaseduration_label additional.fields Unita
releaseid_label additional.fields Unita
resetonmimatch_label additional.fields Unita
result_label additional.fields Unita
rid01012_label additional.fields Unita
rid0101_label additional.fields Unita
roleadded_label additional.fields Unita
roleused_label additional.fields Unita
samaccountname_label additional.fields Unita
secret_type_label additional.fields Unita
smartruletitle_label additional.fields Unita
source01014_label additional.fields Unita
source0101_label additional.fields Unita
sshkeyenforcementmode_label additional.fields Unita
subjectdescription_label additional.fields Unita
ticketnumber_label additional.fields Unita
timeout_label additional.fields Unita
title_label additional.fields Unita
transactiongroup_label additional.fields Unita
userID_label additional.fields Unita
userid_label additional.fields Unita
version_label additional.fields Unita
workgroupdesc_label additional.fields Unita
workgroupid_label additional.fields Unita
workgrouplocation_label additional.fields Unita
agentid extensions.auth.type Mappato: generic_appliance_health → MACHINE
category extensions.auth.type Mappato: Login → MACHINE, Logout → MACHINE
eventdesc extensions.auth.type Mappato: successfully logged on → MACHINE
nvps.clienthost intermediary.asset.hostname Mappato direttamente
nvps.hostname intermediary.asset.hostname Mappato direttamente
nvps.source intermediary.asset.hostname Mappato direttamente
hostname intermediary.asset.ip Unita
inter_ip intermediary.asset.ip Unita
sourceip intermediary.asset.ip Unita
inter intermediary.hostname Mappato direttamente
nvps.clienthost intermediary.hostname Mappato direttamente
nvps.hostname intermediary.hostname Mappato direttamente
nvps.source intermediary.hostname Mappato direttamente
hostname intermediary.ip Unita
inter_ip intermediary.ip Unita
sourceip intermediary.ip Unita
Category metadata.description Mappato direttamente
devTime metadata.event_timestamp Analizzato come MMM dd yyyy HH:mm:ss
eventdate metadata.event_timestamp Analizzato come yyyy-MM-dd HH:mm:ss
rt metadata.event_timestamp Analizzato come MMM dd yyyy HH:mm:ss
time metadata.event_timestamp Analizzato come MMM dd HH:mm:ss
ts metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
agentid metadata.event_type Mappato: generic_appliance_health → USER_LOGIN, generic_appliance_health → USER_LOGOUT
category metadata.event_type Mappato: Login → USER_LOGIN, Logout → USER_LOGOUT
eventdesc metadata.event_type Mappato: successfully logged on → USER_LOGIN
has_principal metadata.event_type Mappato: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Mappato: true → USER_UNCATEGORIZED
eventid metadata.product_event_type Mappato direttamente
product_event metadata.product_event_type Mappato direttamente
nvps.id metadata.product_log_id Mappato direttamente
Product metadata.product_name Mappato direttamente
appname metadata.product_name Mappato direttamente
product metadata.product_name Mappato direttamente
version metadata.product_version Mappato direttamente
vendor metadata.vendor_name Mappato direttamente
nvps.domainname principal.administrative_domain Mappato direttamente
shost principal.asset.hostname Mappato direttamente
sourcehost principal.asset.hostname Mappato direttamente
src_host principal.asset.hostname Mappato direttamente
ip principal.asset.ip Unita
src principal.asset.ip Unita
src_ip principal.asset.ip Unita
nvps.workgroupname principal.group.group_display_name Mappato direttamente
shost principal.hostname Mappato direttamente
sourcehost principal.hostname Mappato direttamente
src_host principal.hostname Mappato direttamente
ip principal.ip Unita
souirceip principal.ip Unita
src principal.ip Unita
src_ip principal.ip Unita
OS principal.platform Mappato: Windows → WINDOWS, Linux → LINUX
Os principal.platform Mappato: Windows → WINDOWS, Linux → LINUX
OS principal.platform_version Mappato direttamente
Os principal.platform_version Mappato direttamente
Filename principal.process.file.full_path Mappato direttamente
MD5 principal.process.file.md5 Mappato direttamente
SHA1 principal.process.file.sha1 Mappato direttamente
ParentProcessID principal.process.parent_pid Mappato direttamente
ProcessID principal.process.pid Mappato direttamente
resource principal.resource.id Mappato direttamente
Company_name principal.user.company_name Mappato direttamente
username principal.user.email_addresses Mappato: ^.+@.+$ → username
UserID principal.user.product_object_id Mappato direttamente
userId principal.user.product_object_id Mappato direttamente
Name principal.user.user_display_name Mappato direttamente
UserName principal.user.user_display_name Mappato direttamente
usrName principal.user.user_display_name Mappato direttamente
BeyondTrustBeyondInsightUser principal.user.userid Mappato direttamente
src_user principal.user.userid Mappato direttamente
user principal.user.userid Mappato direttamente
nvps.sid0101 principal.user.windows_sid Mappato direttamente
sid01015 principal.user.windows_sid Mappato direttamente
Category security_result.category_details Unita
Description security_result.description Mappato direttamente
nvps.description security_result.description Mappato direttamente
nvps.message security_result.description Mappato direttamente
nvps.reason security_result.description Mappato direttamente
changedt_label security_result.detection_fields Unita
createdate_label security_result.detection_fields Unita
eventdate_label security_result.detection_fields Unita
evtdate_label security_result.detection_fields Unita
lastupdatedate_label security_result.detection_fields Unita
logtime_label security_result.detection_fields Unita
nextchangedate_label security_result.detection_fields Unita
removerole_label security_result.detection_fields Unita
smartruleid_label security_result.detection_fields Unita
systemname_label security_result.detection_fields Unita
token_label security_result.detection_fields Unita
BeyondTrustBeyondInsightEventSeverity security_result.severity Mappato: 0 → INFORMATIONAL, 3 → LOW, 6 → MEDIUM, 9 → HIGH
eventseverity security_result.severity Mappato: 0 → INFORMATIONAL, 3 → LOW, 6 → MEDIUM
severity security_result.severity Mappato: 0 → INFORMATIONAL
eventname security_result.summary Mappato direttamente
agentid target.application Mappato: AppAudit → BeyondInsight Application GUI, generic_appliance_health → `BeyondIn…
ManagedSystem target.asset.hostname Mappato direttamente
dst target.asset.ip Unita
ips target.asset.ip Unita
nvps.folderpath target.file.full_path Mappato direttamente
nvps.filename target.file.names Unita
nvps.filehash target.file.sha256 Mappato direttamente
ManagedSystem target.hostname Mappato direttamente
dst_host target.hostname Mappato direttamente
dst target.ip Unita
ips target.ip Unita
SecretId target.resource.id Mappato direttamente
nvps.target target.resource.name Mappato direttamente
nvps.title target.resource.name Mappato direttamente
nvps.secretid target.resource.product_object_id Mappato direttamente
nvps.secrettype target.resource.resource_subtype Mappato direttamente
URL target.url Mappato direttamente
nvps.email target.user.email_addresses Unita
nvps.ownersdisplay target.user.user_display_name Mappato direttamente
ManagedAccount target.user.userid Mappato direttamente
dst_user target.user.userid Mappato direttamente
nvps.owner target.user.userid Mappato direttamente
nvps.username target.user.userid Mappato direttamente
N/D extensions.auth.type Costante: MACHINE
N/D metadata.event_type Costante: NETWORK_CONNECTION
N/D principal.platform Costante: WINDOWS
N/D security_result.severity Costante: INFORMATIONAL
N/D target.application Costante: BeyondInsight Application GUI
nvps.filehash event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
filehash event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sourceip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
nvps.xforwardedfor event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
nvps.userid event.idm.read_only_udm.principal.user.product_object_id Mappato dal log delle modifiche
eventid event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
nvps.email event.idm.read_only_udm.target.user.email_addresses Mappato dal log delle modifiche
nvps.ownersdisplay event.idm.read_only_udm.target.user.user_display_name Mappato dal log delle modifiche
nvps.filename event.idm.read_only_udm.target.file.names Mappato dal log delle modifiche
nvps.filehash event.idm.read_only_udm.target.file.sha256 Mappato dal log delle modifiche
nvps.secretid event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
nvps.secrettype event.idm.read_only_udm.target.resource.resource_subtype Mappato dal log delle modifiche
nvps.folderpath event.idm.read_only_udm.target.file.full_path Mappato dal log delle modifiche
nvps.notes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
notes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
nvps.ticketnumber event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ticketnumber event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
nvps.approver event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
approver event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
nvps.ownerid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ownerid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.