Collecter les journaux Apache Cassandra

Version de l'analyseur : 4.0

Compatible avec :

Ce document explique comment ingérer des journaux Apache Cassandra dans Google Security Operations à l'aide de l'agent Bindplane.

Apache Cassandra génère des journaux pour les opérations de base de données, les événements de cluster et l'activité système. L'analyseur extrait les champs à l'aide de modèles Grok et de filtres JSON, puis les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et l'hôte Apache Cassandra
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès administratif (SSH) à l'hôte Apache Cassandra

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.

  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.

  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cassandra:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CASSANDRA
        raw_log_field: body

service:
    pipelines:
        logs/cassandra_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cassandra

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite la racine sous Linux ; utilisez 1514 pour les utilisateurs non root).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
      • Linux : /etc/bindplane-agent/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • endpoint : URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe : europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Recherchez les erreurs dans les journaux :

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez le collecteur observIQ OpenTelemetry.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer l'exportation syslog dans Apache Cassandra

  1. Connectez-vous à l'hôte Apache Cassandra à l'aide de SSH.

  2. Ouvrez le fichier de configuration logback.xml :

    • Apache Cassandra (la plupart des versions) : $(CASSANDRA_HOME)/conf
    • DataStax Enterprise (installation du package) : /etc/dse
    • DataStax Enterprise (installation tar) : $(TARBALL_ROOT)/resources/cassandra/conf

  3. Ajoutez la définition Appender suivante au fichier logback.xml à la ligne 28 :

    <appender name="SYSLOG" class="ch.qos.logback.classic.net.SyslogAppender">
    <syslogHost>BINDPLANE_IP</syslogHost>
    <port>BINDPLANE_PORT</port>
    <facility>LOCAL7</facility>
    <throwableExcluded>true</throwableExcluded>
    <suffixPattern>%thread:%level:%logger{36}:%msg</suffixPattern>
</appender>

  4. Remplacez BINDPLANE_IP et BINDPLANE_PORT par l'adresse IP et le port réels de l'agent Bindplane.

  5. Ajoutez le code suivant au bloc de l'enregistreur racine <root level="INFO"> dans le fichier logback.xml :

    L'emplacement où cette ligne est insérée dépend de votre version d'Apache Cassandra :

    • Apache Cassandra 5.0.x, ligne 123
    • Apache Cassandra 4.0.x et 4.1.x, ligne 115
    • Apache Cassandra 3.11.x et 3.0.x, ligne 92
    • DataStax Enterprise (toutes les versions), ligne 121
    <appender-ref ref="SYSLOG" />

Table de mappage UDM

Champ de journal Mappage UDM Logique
agent.ephemeral_id observer.labels.value Valeur de agent.ephemeral_id du message JSON interne.
agent.hostname observer.hostname Valeur de agent.hostname du message JSON interne.
agent.id observer.asset_id Concaténation de filebeat: et de la valeur de agent.id du message JSON interne.
agent.name observer.user.userid Valeur de agent.name du message JSON interne.
agent.type observer.application Valeur de agent.type du message JSON interne.
agent.version observer.platform_version Valeur de agent.version du message JSON interne.
cloud.availability_zone principal.cloud.availability_zone Valeur de cloud.availability_zone du message JSON interne.
cloud.instance.id principal.resource.product_object_id Valeur de cloud.instance.id du message JSON interne.
cloud.instance.name principal.resource.name Valeur de cloud.instance.name du message JSON interne.
cloud.machine.type principal.resource.attribute.labels.value Valeur de cloud.machine.type du message JSON interne, où le key correspondant est machine_type.
cloud.provider principal.resource.attribute.labels.value Valeur de cloud.provider du message JSON interne, où le key correspondant est provider.
event_metadata._id metadata.product_log_id Valeur de event_metadata._id du message JSON interne.
event_metadata.version metadata.product_version Valeur de event_metadata.version du message JSON interne.
host.architecture target.asset.hardware.cpu_platform Valeur de host.architecture du message JSON interne.
host.fqdn target.administrative_domain Valeur de host.fqdn du message JSON interne.
host.hostname target.hostname Valeur de host.hostname du message JSON interne.
host.id target.asset.asset_id Concaténation de Host Id: et de la valeur de host.id du message JSON interne.
host.ip target.asset.ip Tableau d'adresses IP de host.ip dans le message JSON interne.
host.mac target.mac Tableau des adresses MAC de host.mac dans le message JSON interne.
host.os.kernel target.platform_patch_level Valeur de host.os.kernel du message JSON interne.
host.os.platform target.platform Définie sur LINUX, si host.os.platform est debian.
host.os.version target.platform_version Valeur de host.os.version du message JSON interne.
hostname principal.hostname Valeur de hostname extraite du champ message à l'aide de grok.
key security_result.detection_fields.value Valeur de key extraite du champ message à l'aide de grok, où le key correspondant est key.
log.file.path principal.process.file.full_path Valeur de log.file.path du message JSON interne.
log_level security_result.severity Mappé en fonction de la valeur de log_level : DEBUG, INFO et AUDIT sont mappés sur INFORMATIONAL ; ERROR est mappé sur ERROR ; WARNING est mappé sur MEDIUM.
log_level security_result.severity_details Valeur de log_level extraite du champ message à l'aide de grok.
log_type metadata.log_type Valeur de log_type à partir du journal brut.
message security_result.description Description extraite du champ message à l'aide de grok.
message target.process.command_line Ligne de commande extraite du champ message à l'aide de grok.
now security_result.detection_fields.value Valeur de now extraite du champ message à l'aide de grok, où le key correspondant est now. Analysé à partir du champ event_time extrait du champ message à l'aide de grok. Définie sur USER_RESOURCE_ACCESS si hostname et host.hostname sont présents, sinon définie sur GENERIC_EVENT. Définissez cet élément sur CASSANDRA. Définissez cet élément sur CASSANDRA. Définissez cet élément sur ephemeral_id. Définie sur VIRTUAL_MACHINE si cloud.instance.name est présent. Définissez key et now pour les champs de détection correspondants.
timestamp timestamp À partir du champ create_time du journal brut.
authenticated_var event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
authenticated_var event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
user_var event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
operation event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
operation event.idm.read_only_udm.target.process.command_line Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.