Collecter les journaux Broadcom CA PAM

Version de l'analyseur : 1.0

Compatible avec :

Ce document explique comment ingérer les journaux Broadcom CA Privileged Access Manager dans Google Security Operations à l'aide de Bindplane. Broadcom CA Privileged Access Manager (PAM) est une solution de gestion des accès privilégiés pour les entreprises. Elle permet de contrôler, de surveiller et d'auditer l'accès des utilisateurs privilégiés aux systèmes critiques. Il fournit un coffre-fort d'identifiants, un enregistrement de session et une application des règles d'accès dans les environnements hybrides.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd.
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à l'interface utilisateur Web Broadcom Privileged Access Management.

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Agent de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Autres ressources d'installation

Pour d'autres options d'installation, consultez le guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/broadcom_ca_pam:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BROADCOM_CA_PAM
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/broadcom_ca_pam:
            receivers:
                - tcplog
            exporters:
                - chronicle/broadcom_ca_pam
  • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
  • Remplacez <customer_id> par le numéro client réel.
  • Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès au fichier d'authentification enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer syslog à distance sur Broadcom CA PAM

  1. Connectez-vous à l'UI Web Privileged Access Management.
  2. Accédez à Configuration > Journaux > Syslog.
  3. Sélectionnez le bouton Syslog activé.
  4. Sélectionnez Délimité par un espace dans la liste Format du message.
  5. Cliquez sur Ajouter un serveur.

  6. Fournissez les informations de configuration suivantes dans la nouvelle ligne :

    • Serveur : saisissez l'adresse IP de l'agent Bindplane (par exemple, 192.168.1.100).
    • Port : saisissez 514 (ou le port de l'agent Bindplane que vous avez configuré). Si vous ne renseignez pas le port, la valeur par défaut est 514.
    • Protocole : sélectionnez TCP.

  7. Cliquez sur Mettre à jour pour enregistrer les paramètres.

  8. Vérifiez que les journaux sont envoyés en consultant les journaux de l'agent Bindplane.

Table de mappage UDM

Champ de journal Mappage UDM Logique
UserGroup_label additional.fields Fusionné
access_protocol metadata.access_protocol Mappé directement
Details metadata.description Mappé directement
has_principal metadata.event_type Mappé : true → SCAN_UNCATEGORIZED, true → STATUS_UPDATE
has_user metadata.event_type Mappé : true → USER_UNCATEGORIZED
host principal.asset.hostname Mappé directement
host principal.hostname Mappé directement
NatIP principal.nat_ip Fusionné
Port principal.port Mappé directement
pid principal.process.pid Mappé directement
DeviceName principal.resource.name Mappé directement
User principal.user.userid Mappé directement
sec_res security_result Fusionné
detection_fields security_result.detection_fields Fusionné
Service_App target.application Mappé directement
Address target.asset.hostname Mappé directement
Address target.hostname Mappé directement
N/A metadata.event_type Constante : SCAN_UNCATEGORIZED
N/A metadata.product_name Constante : Broadcom CA Pam
N/A metadata.vendor_name Constante : Broadcom

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.