Collecter les journaux Broadcom SiteMinder Web Access Management (anciennement CA SSO)

Compatible avec :

Ce document explique comment ingérer les journaux Broadcom SiteMinder Web Access Management (anciennement CA SSO) dans Google Security Operations à l'aide de Bindplane. Le parseur transforme les journaux bruts au format JSON en un modèle de données unifié (UDM) structuré. Il extrait les champs des messages de journaux bruts à l'aide de modèles grok, les renomme et les mappe au schéma UDM, gère différents types d'événements et formats d'utilisateur, et enrichit les données pour l'analyse de sécurité.

Broadcom SiteMinder Web Access Management est une solution de gestion des accès Web pour les entreprises. Elle fournit une authentification, une autorisation et une authentification unique (SSO) centralisées pour les applications Web. SiteMinder utilise un serveur de règles pour appliquer les règles de sécurité et gérer les sessions utilisateur sur les ressources Web. Il génère des journaux d'audit détaillés des événements d'authentification, des décisions d'autorisation et de l'activité des sessions.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd.
  • Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
  • Accès privilégié à la console de gestion du serveur de règles Broadcom SiteMinder.
  • Un serveur X Windows s'exécutant sur le système où la console de gestion du serveur de règles sera lancée (pour les serveurs de règles basés sur Linux).

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agent de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
    • Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour plus d'options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CA_SSO_WEB'
    raw_log_field: body
    ingestion_labels:

service:
pipelines:
    logs/source0__chronicle_w_labels-0:
    receivers:
        - tcplog
    exporters:
        - chronicle/chronicle_w_labels
  • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
  • Remplacez <customer_id> par le numéro client réel.
  • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier d'authentification que vous avez enregistré à l'étape 1.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez le collecteur observIQ OpenTelemetry.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer Syslog sur le serveur de règles Broadcom SiteMinder (version 12.8)

  1. Vérifiez qu'un serveur X-windows est en cours d'exécution sur votre système.
  2. Ouvrez une fenêtre de terminal.

  3. Définissez la variable DISPLAY à l'aide de la commande suivante :

    export DISPLAY=<IP_ADDRESS>:0.0

  4. Connectez-vous au système hébergeant la console de gestion Policy Server.

  5. Accédez au répertoire <installation_directory>/siteminder/bin.

    • Remplacez <installation_directory> par l'emplacement dans le système de fichiers où le serveur de règles est installé (par exemple, /opt/CA/siteminder).

  6. Ouvrez la console en exécutant la commande suivante :

    ./smconsole

  7. Cliquez sur l'onglet Données.

  8. Cliquez sur la liste déroulante Base de données, puis sélectionnez Journaux d'audit.

  9. Cliquez sur la liste déroulante Stockage, puis sélectionnez Syslog.

  10. Sélectionnez la valeur LOG_INFO dans le champ Priority (Priorité).

  11. Sélectionnez la valeur LOG_LOCAL0 dans le champ Facility (Installation).

  12. Cliquez sur OK.

Configurer le transfert syslog vers l'agent Bindplane

Après avoir activé syslog sur le serveur de règles SiteMinder, configurez votre démon syslog pour qu'il transmette les journaux d'audit SiteMinder à l'agent Bindplane.

  1. Ouvrez le fichier de configuration syslog sur l'hôte du serveur de règles :

    sudo nano /etc/rsyslog.conf

  2. Ajoutez la ligne suivante pour transférer les journaux de la fonctionnalité LOCAL0 à l'agent Bindplane :

    local0.*    @@<BINDPLANE_IP>:514

  3. Enregistrez le fichier et redémarrez le service syslog :

    sudo systemctl restart rsyslog

Redémarrez le serveur de règles SiteMinder.

  1. Connectez-vous au système hébergeant le serveur de règles avec le même compte utilisateur que celui utilisé pour installer le serveur de règles à l'origine.
  2. Ouvrez la console de gestion.
  3. Cliquez sur l'onglet État, puis sur les boutons Arrêter.
  4. Attendez que tous les services s'arrêtent.
  5. Dans l'onglet État, cliquez sur les boutons Démarrer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
Action event1.idm.read_only_udm.network.http.method Si le champ "Action" n'est pas vide, il est mappé sur network.http.method. Si la valeur est Visit, elle est remplacée par GET.
event1.idm.read_only_udm.metadata.product_name Définissez la valeur sur Web Access Management dans le code du parseur.
event1.idm.read_only_udm.metadata.vendor_name Définissez la valeur sur Siteminder dans le code du parseur.
event1.idm.read_only_udm.observer.hostname Définissez la valeur sur logstash.collect.host.

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.