Raccogli i log di Carbon Black App Control (in precedenza CB Protection)

Versione parser: 28.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Carbon Black App Control (precedentemente noto come CB Protection, ora parte di Broadcom) in Google Security Operations utilizzando Bindplane. Il parser supporta i formati CEF e JSON. Innanzitutto tenta di analizzare l'input come JSON; se l'operazione non va a buon fine, tratta l'input come CEF, esegue sostituzioni di testo, estrae i campi CEF, li mappa a UDM e imposta il tipo di evento su GENERIC_EVENT.

Carbon Black App Control è una soluzione di controllo e inserimento nella lista consentita delle applicazioni che consente alle organizzazioni di bloccare i server e i sistemi critici. Impedisce l'esecuzione di software non autorizzato e dannoso applicando policy basate sulla fiducia, monitorando le modifiche all'integrità dei file e fornendo visibilità in tempo reale sull'attività degli endpoint.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows Server 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte.
• Carbon Black App Control Server versione 8.x o successive.
• Accesso con privilegi (account amministratore) alla console Carbon Black App Control.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua, quindi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: CB_APP_CONTROL
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
• Sostituisci <customer_id> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json al percorso del file in cui è stato salvato il file della chiave del account di servizio (opzione 1) nella sezione Recupera le credenziali di Google SecOps per l'agente Bindplane.

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: CB_APP_CONTROL
      raw_log_field: body
      ingestion_labels:
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per individuare eventuali errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurare l'inoltro di syslog di Carbon Black App Control

1. Accedi alla console Carbon Black App Control con un account amministratore.
2. Fai clic sull'icona Impostazioni (a forma di ingranaggio) e poi su Configurazione di sistema.
3. Nella pagina Configurazione di sistema, fai clic sulla scheda Eventi.
4. Fai clic sul pulsante Modifica nella parte inferiore della pagina.
5. Nel riquadro Logging eventi esterni, seleziona la casella di controllo Syslog abilitato.
6. Fornisci i seguenti dettagli di configurazione:
   • Indirizzo Syslog: inserisci l'indirizzo IP o il nome di dominio completo dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta Syslog: inserisci 514 (o la porta configurata in Bindplane).
   • Syslog Format (Formato Syslog): seleziona il formato di output dal menu Syslog Format (Formato Syslog):
     • CEF (ArcSight): consigliato per l'importazione di Google SecOps.
     • Migliorato (RFC 5424): valore predefinito per le nuove installazioni della versione 6.0.1 e successive.
     • Basic (RFC 3164): impostazione predefinita per gli upgrade da versioni precedenti alla 6.0.1.
     • LEEF (Q1 Labs): per l'integrazione con QRadar.

7. Fai clic su Aggiorna e poi su Sì nella finestra di dialogo di conferma.

   Nota: per saperne di più sui formati syslog supportati e sulla mappatura degli eventi, consulta la documentazione di Carbon Black App Control.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
ABId	principal.asset.asset_id	Il valore ABId del log JSON viene utilizzato come parte dell'ID risorsa nel formato PRODUCT_SPECIFIC_ID:{ABId}-{Bit9Server}.
Bit9Server	principal.asset.asset_id	Utilizzato come parte dell'ID risorsa del mandante, combinato con ABId. Utilizzato anche per creare il campo metadata.url_back_to_product.
CommandLine	about.process.command_line	Mappato direttamente.
EventType	metadata.product_event_type	Mappato con il EventTypeId corrispondente tra parentesi quadre (ad esempio, [5] - Discovery).
EventTypeId	metadata.product_event_type	Utilizzato con EventType per compilare metadata.product_event_type.
EventSubType	metadata.description	Aggiunto al campo metadata.description.
EventSubTypeId	metadata.description	Non mappato esplicitamente, ma contribuisce potenzialmente alla descrizione in base alla logica interna dell'analizzatore sintattico.
externalId	metadata.product_log_id	Mappato direttamente.
FileHash	about.file.sha256	Mappato direttamente.
FileName	additional.fields (con chiave FileName)	Aggiunto come campo aggiuntivo. Utilizzato anche come parte delle informazioni sui file in metadata.description per alcuni eventi.
FilePath	about.file.full_path	Mappato direttamente.
FileThreat	additional.fields (con chiave fileThreat)	Aggiunto come campo aggiuntivo.
FileTrust	additional.fields (con chiave fileTrust)	Aggiunto come campo aggiuntivo.
HostId	principal.asset.asset_id	Utilizzato per creare l'URL che rimanda al prodotto in metadata.url_back_to_product.
HostName	target.hostname	Mappato direttamente.
HostIP	target.ip	Mappato direttamente.
Message	metadata.description	Mappato direttamente.
PathName	about.file.full_path	Mappato direttamente.
Platform	target.platform	Mappato al valore enum WINDOWS.
Policy	additional.fields (con chiave Policy)	Aggiunto come campo aggiuntivo.
PolicyId	additional.fields (con chiave PolicyId)	Aggiunto come campo aggiuntivo.
ProcessKey	additional.fields (con chiave ProcessKey)	Aggiunto come campo aggiuntivo.
ProcessPath	about.process.command_line	Mappato direttamente.
ProcessPathName	about.process.command_line	Mappato direttamente.
ProcessThreat	additional.fields (con chiave ProcessThreat)	Aggiunto come campo aggiuntivo.
ProcessTrust	additional.fields (con chiave ProcessTrust)	Aggiunto come campo aggiuntivo.
RuleName	additional.fields (con chiave ruleName)	Aggiunto come campo aggiuntivo.
Timestamp	metadata.event_timestamp	Mappato direttamente.
UserName	target.user.user_display_name	Mappato direttamente.
UserSid	principal.user.userid	Mappato direttamente.
agent.ephemeral_id	observer.labels (con chiave ephemeral_id)	Aggiunta come etichetta di osservatore.
agent.name	principal.hostname, observer.hostname, observer.user.userid	Mappato a più campi.
agent.type	observer.application	Mappato direttamente.
agent.version	metadata.product_version	Mappato direttamente per i log JSON. Per i log CEF, estratto dal messaggio CEF.
cat	security_result.category_details	Mappato direttamente.
process	event.idm.read_only_udm.principal.file.full_path	Mappato dal log delle modifiche
text	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
type	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
subtype	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
hostname	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
username	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
date	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
ip_address	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
file_path	event.idm.read_only_udm.target.file.full_path	Mappato dal log delle modifiche
file_name	event.idm.read_only_udm.target.process.file.names	Mappato dal log delle modifiche
file_hash	event.idm.read_only_udm.target.file.sha256	Mappato dal log delle modifiche
policy	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
server_version	event.idm.read_only_udm.metadata.product_version	Mappato dal log delle modifiche
file_trust	event.idm.read_only_udm.security_result.about.labels	Mappato dal log delle modifiche
file_threat	event.idm.read_only_udm.security_result.about.labels	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.