Collecter les journaux LDAP de l'autorité de certification

Version de l'analyseur : 2.0

Compatible avec :

Ce document explique comment ingérer des journaux LDAP de l'autorité de certification dans Google Security Operations à l'aide de l'agent Bindplane.

CA Directory (anciennement Symantec Directory) est un serveur d'annuaire compatible LDAP v2/v3 basé sur les normes X.500. Il fournit des services d'annuaire de niveau entreprise avec des fonctionnalités de journalisation complètes, y compris des journaux d'alarme, de trace, d'avertissement, de requête, de résumé, de connexion, de diagnostic, de mise à jour et de statistiques pour surveiller les opérations d'annuaire et les événements liés à la sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et le serveur d'annuaire CA
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Un accès privilégié au serveur d'annuaire CA (root ou administrateur)
  • CA Directory installé et configuré avec la journalisation activée

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

  • Installation de Windows

    1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

    2. Exécutez la commande suivante :

      msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

    3. Attendez que l'installation se termine.

    4. Vérifiez l'installation en exécutant la commande suivante :

      sc query observiq-otel-collector

      Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

  • Installation de Linux

    1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

    2. Exécutez la commande suivante :

      sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

    3. Attendez que l'installation se termine.

    4. Vérifiez l'installation en exécutant la commande suivante :

      sudo systemctl status observiq-otel-collector

      Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  1. Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ca_directory:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: CA_LDAP
    raw_log_field: body
    ingestion_labels:
      env: production
      source: ca_directory

service:
  pipelines:
    logs/ca_directory_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/ca_directory

  2. Remplacez les espaces réservés suivants :

    • Configuration du récepteur :

      • listen_address : définissez la valeur sur 0.0.0.0:514 pour écouter sur toutes les interfaces sur le port UDP 514.

        • Pour les installations Linux non racine, utilisez le port 1514 ou un port supérieur.
        • Assurez-vous que le port correspond à celui configuré dans le transfert rsyslog.

    • Configuration de l'exportateur :

      • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :

        • Linux : /opt/observiq-otel-collector/ingestion-auth.json
        • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • customer_id : remplacez YOUR_CUSTOMER_ID par votre customer ID. Pour en savoir plus, consultez Obtenir l'ID client Google SecOps.

      • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.

      • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.

      • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

      • log_type : définie sur CA_LDAP (libellé d'ingestion Chronicle pour le répertoire AC)

      • ingestion_labels : libellés facultatifs pour le filtrage et l'organisation

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/ca_directory:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CA_LDAP
    raw_log_field: body
    ingestion_labels:
      env: production
      source: ca_directory

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux :

    1. Exécutez la commande suivante :

      sudo systemctl restart observiq-otel-collector

    2. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    3. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows :

    1. Choisissez l'une des options suivantes :

      • Invite de commande ou PowerShell en tant qu'administrateur :

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Console Services :

        1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
        2. Localisez observIQ OpenTelemetry Collector.
        3. Effectuez un clic droit et sélectionnez Redémarrer.

    2. Vérifiez que le service est en cours d'exécution :

      sc query observiq-otel-collector

    3. Recherchez les erreurs dans les journaux :

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog LDAP CA à l'aide de rsyslog

Cette section explique comment configurer rsyslog sur le serveur d'annuaire CA Directory pour transférer les journaux vers l'agent BindPlane.

Identifier les emplacements des fichiers journaux CA Directory

Le répertoire CA stocke les fichiers journaux aux emplacements suivants :

  • Linux : /opt/CA/Directory/dxserver/logs/
  • Windows : C:\Program Files\CA\Directory\dxserver\logs\

Les fichiers journaux suivent des modèles de dénomination basés sur le nom de l'ADR (par exemple, democorp_alarm, democorp_warn, democorp_trace).

Types de journaux disponibles

CA Directory génère les types de journaux suivants :

  • Journal des alarmes : événements critiques (toujours activé)
  • Journal d'avertissement : erreurs et avertissements
  • Journal de trace : traçage détaillé des opérations
  • Journal des requêtes : informations détaillées sur les opérations avec des codes temporels
  • Journal récapitulatif : résumés des opérations
  • Journal des connexions : événements de connexion et de déconnexion
  • Journal de diagnostic : opérations refusées
  • Journal des statistiques : statistiques opérationnelles par minute
  • Journal des mises à jour : opérations d'ajout, de modification, de changement de nom et de suppression
  • Journal des temps : informations sur le timing des opérations

Configurer rsyslog sous Linux

  1. Connectez-vous au serveur d'annuaire CA en tant qu'utilisateur racine ou avec des droits sudo.

  2. Installez rsyslog si ce n'est pas déjà fait :

    sudo yum install rsyslog

    Ou pour Debian/Ubuntu :

    sudo apt-get install rsyslog

  3. Créez un fichier de configuration rsyslog pour CA Directory :

    sudo nano /etc/rsyslog.d/ca-directory.conf

  4. Ajoutez la configuration suivante pour transférer les journaux CA Directory :

    # Load the imfile module for file monitoring
module(load="imfile" PollingInterval="10")

# Monitor CA Directory alarm logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_alarm*"
    Tag="ca-directory-alarm"
    Severity="error"
    Facility="local0")

# Monitor CA Directory warn logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_warn*"
    Tag="ca-directory-warn"
    Severity="warning"
    Facility="local0")

# Monitor CA Directory trace logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_trace*"
    Tag="ca-directory-trace"
    Severity="info"
    Facility="local0")

# Monitor CA Directory query logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_query*"
    Tag="ca-directory-query"
    Severity="info"
    Facility="local0")

# Monitor CA Directory connection logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_connection*"
    Tag="ca-directory-connection"
    Severity="info"
    Facility="local0")

# Monitor CA Directory update logs
input(type="imfile"
    File="/opt/CA/Directory/dxserver/logs/*_update*"
    Tag="ca-directory-update"
    Severity="info"
    Facility="local0")

# Forward all CA Directory logs to Bindplane agent
if $syslogtag contains 'ca-directory' then @@BINDPLANE_AGENT_IP:514
& stop

  5. Remplacez BINDPLANE_AGENT_IP par l'adresse IP de l'hôte de l'agent Bindplane :

    • Si l'agent Bindplane se trouve sur le même serveur : 127.0.0.1
    • Si l'agent BindPlane se trouve sur un autre serveur : saisissez l'adresse IP (par exemple, 192.168.1.100).

  6. Enregistrez le fichier de configuration :

    Appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X

  7. Vérifiez la syntaxe de la configuration rsyslog :

    sudo rsyslogd -N1

  8. Redémarrez le service rsyslog :

    sudo systemctl restart rsyslog

  9. Vérifiez que rsyslog est en cours d'exécution :

    sudo systemctl status rsyslog

  10. Recherchez les erreurs dans les journaux rsyslog :

    sudo tail -f /var/log/messages

Configurer rsyslog sous Windows

  1. Téléchargez et installez rsyslog pour Windows depuis le site Web de rsyslog.

  2. Ouvrez le fichier de configuration rsyslog :

    notepad "C:\Program Files\rsyslog\rsyslog.conf"

  3. Ajoutez la configuration suivante :

    # Load the imfile module for file monitoring
module(load="imfile" PollingInterval="10")

# Monitor CA Directory alarm logs
input(type="imfile"
    File="C:\\Program Files\\CA\\Directory\\dxserver\\logs\\*_alarm*"
    Tag="ca-directory-alarm"
    Severity="error"
    Facility="local0")

# Monitor CA Directory warn logs
input(type="imfile"
    File="C:\\Program Files\\CA\\Directory\\dxserver\\logs\\*_warn*"
    Tag="ca-directory-warn"
    Severity="warning"
    Facility="local0")

# Monitor CA Directory trace logs
input(type="imfile"
    File="C:\\Program Files\\CA\\Directory\\dxserver\\logs\\*_trace*"
    Tag="ca-directory-trace"
    Severity="info"
    Facility="local0")

# Forward all CA Directory logs to Bindplane agent
if $syslogtag contains 'ca-directory' then @@BINDPLANE_AGENT_IP:514
& stop

  4. Remplacez BINDPLANE_AGENT_IP par l'adresse IP de l'hôte de l'agent BindPlane.

  5. Enregistrez le fichier de configuration.

  6. Redémarrez le service rsyslog :

    net stop rsyslog
net start rsyslog

Activer la journalisation CA Directory

Assurez-vous que les types de journaux requis sont activés dans CA Directory :

  1. Modifiez le fichier de configuration DSA :

    • Linux : /opt/CA/Directory/dxserver/config/servers/democorp.dxc
    • Windows : C:\Program Files\CA\Directory\dxserver\config\servers\democorp.dxc

  2. Vérifiez ou ajoutez les paramètres de journalisation suivants :

        set alarm-log = true;
    set warn-log = true;
    set trace-log = true;
    set query-log = true;
    set connection-log = true;
    set update-log = true;

  3. Enregistrez le fichier de configuration.

  4. Redémarrez le DSA CA Directory :

    • Linux :

      dxserver stop democorp
dxserver start democorp

    • Windows :

      net stop "CA Directory DSA - democorp"
net start "CA Directory DSA - democorp"

Vérifier le transfert des journaux

  1. Générez une activité de test dans l'annuaire CA en effectuant des requêtes LDAP ou des tentatives d'authentification.

  2. Vérifiez les journaux de l'agent Bindplane pour vous assurer que les journaux sont bien reçus :

    • Linux :

      sudo journalctl -u observiq-otel-collector -f

    • Windows :

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. Connectez-vous à la console Google SecOps et vérifiez que les journaux CA Directory s'affichent dans le lecteur de journaux.

Pour en savoir plus sur la journalisation de CA Directory, consultez la documentation de Broadcom CA Directory.

Pour obtenir des exemples détaillés de configuration rsyslog, consultez l'article de la base de connaissances Broadcom sur la journalisation centralisée.

Table de mappage UDM

Champ du journal Mappage UDM Logique
agent.ephemeral_id, logstash.irm_region, logstash.irm_environment, logstash.irm_site, host.os.name additional.fields Fusionnés en tant qu'étiquettes avec les clés "ephemeral_id", "irm_region", "irm_environment", "irm_site" et "os_name" respectivement
host.architecture hardware.cpu_platform Valeur copiée directement
logstash.process.host intermediary.hostname Valeur copiée directement
logstash.collect.timestamp metadata.collected_timestamp Analysé comme un code temporel à l'aide du filtre de date
Message metadata.description Valeur copiée directement
metadata.event_type Définissez cette valeur sur "STATUS_UPDATE".
agent.type, agent.version observer.application Concaténé sous la forme "%{agent.type} %{agent.version}" si les deux ne sont pas vides, sinon "%{agent.type}"
agent.type, agent.id observer.asset_id Concaténé sous la forme "%{agent.type}: %{agent.id}"
agent.hostname observer.hostname Valeur copiée directement
host.id principal.asset.asset_id Concaténé sous la forme "CA_LDAP:%{host.id}"
matériel principal.asset.hardware Fusionné à partir d'un objet matériel
host.hostname principal.hostname Valeur copiée directement
host.ip principal.ip Fusionné à partir du tableau host.ip
host.mac principal.mac Fusionné à partir du tableau host.mac
host.os.family principal.platform Définie sur "LINUX" si elle correspond à "(rhel|redhat)"
host.os.kernel principal.platform_patch_level Valeur copiée directement
host.os.version principal.platform_version Valeur copiée directement
log.file.path principal.process.file.full_path Valeur copiée directement
syslog_severity security_result.severity Définissez la valeur sur "INFORMATIONAL" si elle correspond à "(?i)(DEFAULT|DEBUG|INFO|NOTICE)", sur "ERROR" si elle correspond à "(?i)ERROR", sur "MEDIUM" si elle correspond à "(?i)WARNING" et sur "HIGH" si elle correspond à "(?i)(CRITICAL|ALERT|EMERGENCY)".
syslog_severity security_result.severity_details Valeur copiée directement
metadata.product_name Défini sur "CA_LDAP"
metadata.vendor_name Définissez cette option sur "CA_LDAP".

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.