Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

ClamAV-Logs erfassen

Parserversion: 3.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie ClamAV-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

ClamAV ist eine Open-Source-Antiviren-Engine, die Trojaner, Viren, Malware und andere bösartige Bedrohungen erkennt. Es bietet Befehlszeilenscans, automatische Aktualisierungen der Signaturdatenbank und unterstützt mehrere Dateiformate, darunter Archive, ausführbare Dateien und Dokumente. ClamAV wird auf Linux-, Unix- und Windows-Systemen als lokaler Daemon (clamd) oder Befehlszeilenscanner (clamscan) ausgeführt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent-Host und dem ClamAV-Server
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
ClamAV ist auf Linux-Endpunkten installiert und wird ausgeführt.
Root- oder sudo-Zugriff auf den ClamAV-Server und den Bindplane-Agent-Host

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```
Der Dienststatus sollte RUNNING lauten.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienststatus sollte active (running) lauten.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und Logs an Google SecOps gesendet werden

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/clamav:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: CLAM_AV
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/clamav_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/clamav

Ersetzen Sie die folgenden Platzhalter:
- Empfängerkonfiguration:
  - listen_address: Legen Sie 0.0.0.0:514 fest, um auf allen Schnittstellen an UDP-Port 514 zu lauschen. Wenn Port 514 unter Linux Root-Berechtigungen erfordert, verwenden Sie 0.0.0.0:1514 und konfigurieren Sie rsyslog so, dass die Weiterleitung an Port 1514 erfolgt.
- Exporter-Konfiguration:
  - creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    - Linux: /opt/observiq-otel-collector/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id: Ersetzen Sie YOUR_CUSTOMER_ID durch die zuvor abgerufene Kundennummer.
  - location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  - project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  - endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  - log_type: Auf CLAM_AV festlegen (genau passend für den Google SecOps-Parser)
  - ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production)

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/clamav:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLAM_AV
    raw_log_field: body
    ingestion_labels:
      env: production
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:
1. Führen Sie dazu diesen Befehl aus:
```
sudo systemctl restart observiq-otel-collector
```
2. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sudo systemctl status observiq-otel-collector
```
3. Prüfen Sie die Logs auf Fehler:
```
sudo journalctl -u observiq-otel-collector -f
```
So starten Sie den Bindplane-Agenten unter Windows neu:
1. Wählen Sie eine der folgenden Optionen aus:
  - Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - Dienstkonsole:
    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.
2. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```
3. Prüfen Sie die Logs auf Fehler:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

ClamAV-Syslog-Weiterleitung konfigurieren

Syslog-Logging in ClamAV aktivieren

Melden Sie sich mit Root- oder Sudo-Berechtigungen auf dem Linux-System an, auf dem ClamAV ausgeführt wird.
Öffnen Sie die Konfigurationsdatei des ClamAV-Daemons:
```
sudo nano /etc/clamav/clamd.conf
```
Hinweis: Der Speicherort der Konfigurationsdatei kann je nach Distribution variieren. Gängige Speicherorte sind /etc/clamav/clamd.conf, /etc/clamd.conf oder /usr/local/etc/clamd.conf.
Suchen Sie die Zeile mit #LogSyslog yes oder #LogSyslog true.
Entfernen Sie das Kommentarzeichen #, um das Syslog-Logging zu aktivieren:
```
LogSyslog yes
```
Optional: Konfigurieren Sie die Syslog-Einrichtung. Suchen Sie die Zeile #LogFacility LOG_LOCAL6 und entfernen Sie die Kommentarzeichen:
```
LogFacility LOG_LOCAL6
```
Hinweis: Die Standardeinrichtung ist LOG_LOCAL6. Sie können dies bei Bedarf in eine andere Einrichtung wie LOG_LOCAL0 bis LOG_LOCAL7 ändern.
Optional: Aktivieren Sie zusätzliche Logging-Optionen für detailliertere Logs:
```
LogTime yes
LogVerbose yes
ExtendedDetectionInfo yes
```
- LogTime: Fügt Logeinträgen Zeitstempel hinzu
- LogVerbose: Aktiviert das ausführliche Logging mit zusätzlichen Details.
- ExtendedDetectionInfo: Enthält Dateigröße und Hash mit Virenerkennungen
Speichern Sie die Datei und schließen Sie sie:

Drücke Ctrl+O, dann Enter und dann Ctrl+X
Starten Sie den ClamAV-Daemon neu, um die Änderungen zu übernehmen:
```
sudo systemctl restart clamav-daemon
```
Hinweis: Der Dienstname kann je nach Distribution variieren. Versuchen Sie es mit clamav-daemon, clamd oder clamd@scan, wenn der obige Befehl fehlschlägt.
Prüfen Sie, ob der ClamAV-Daemon ausgeführt wird:
```
sudo systemctl status clamav-daemon
```

rsyslog für die Weiterleitung von ClamAV-Logs konfigurieren

Erstellen Sie eine neue rsyslog-Konfigurationsdatei für die ClamAV-Weiterleitung:
```
sudo nano /etc/rsyslog.d/30-clamav-forward.conf
```
Hinweis: Der Dateiname beginnt mit 30-, damit die Datei nach der rsyslog-Hauptkonfiguration, aber vor den Standardregeln geladen wird.

Fügen Sie die folgende Konfiguration hinzu, um ClamAV-Logs an den Bindplane-Agent weiterzuleiten:

# Forward ClamAV logs (LOG_LOCAL6 facility) to Bindplane agent
if $syslogfacility-text == 'local6' then {
    action(
        type="omfwd"
        protocol="udp"
        target="BINDPLANE_AGENT_IP"
        port="514"
        queue.type="linkedList"
        queue.size="10000"
        action.resumeRetryCount="100"
    )
    stop
}

Ersetzen Sie BINDPLANE_AGENT_IP durch die IP-Adresse des Bindplane-Agent-Hosts:
- Wenn Bindplane auf demselben Host wie ClamAV installiert ist, verwenden Sie 127.0.0.1.
- Wenn sich Bindplane auf einem anderen Host befindet, verwenden Sie die IP-Adresse dieses Hosts (z. B. 192.168.1.100).
Wenn Sie Bindplane so konfiguriert haben, dass ein anderer Port überwacht wird (z. B. 1514), aktualisieren Sie den Parameter port entsprechend.
Speichern Sie die Datei und schließen Sie sie:

Drücke Ctrl+O, dann Enter und dann Ctrl+X
Validieren Sie die rsyslog-Konfigurationssyntax:
```
sudo rsyslogd -N1
```
Hinweis: Mit diesem Befehl wird auf Syntaxfehler geprüft. Wenn keine Fehler vorliegen, wird rsyslogd: version X, config validation run (level 1), master config /etc/rsyslog.conf angezeigt.
Starten Sie rsyslog neu, um die Änderungen zu übernehmen:
```
sudo systemctl restart rsyslog
```
Prüfen Sie, ob rsyslog ausgeführt wird:
```
sudo systemctl status rsyslog
```

Konfiguration testen

Generieren Sie mit der EICAR-Testdatei eine Test-Virenerkennung:

cd /tmp
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > eicar.com

Scannen Sie die Testdatei mit ClamAV:
```
sudo clamdscan /tmp/eicar.com
```

Prüfen Sie, ob die Erkennung im Syslog angezeigt wird:

sudo tail -f /var/log/syslog | grep clamd

Es sollte ein Logeintrag wie der folgende angezeigt werden:

Jan 15 10:30:45 hostname clamd[1234]: /tmp/eicar.com: Win.Test.EICAR_HDB-1(44d88612fea8a8f36de82e1278abb02f:68) FOUND

Prüfen Sie die Bindplane-Agent-Logs, um zu bestätigen, dass Logs weitergeleitet werden:
```
sudo journalctl -u observiq-otel-collector -f
```
Prüfen Sie, ob Logs in Google SecOps angezeigt werden:
1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Suche > UDM-Suche.
3. Führen Sie eine Suchanfrage für ClamAV-Logs aus:
```
metadata.log_type = "CLAM_AV"
```
Löschen Sie die Testdatei:
```
sudo rm /tmp/eicar.com
```

Alternative Konfiguration: Alle Syslog-Nachrichten an Bindplane weiterleiten

Wenn Sie alle Syslog-Nachrichten (nicht nur ClamAV) an Bindplane weiterleiten möchten, verwenden Sie diese einfachere Konfiguration:

Bearbeiten Sie die rsyslog-Konfiguration:

sudo nano /etc/rsyslog.d/30-forward-all.conf

Fügen Sie die folgende Konfiguration hinzu:

# Forward all logs to Bindplane agent
*.* action(
    type="omfwd"
    protocol="udp"
    target="BINDPLANE_AGENT_IP"
    port="514"
    queue.type="linkedList"
    queue.size="10000"
    action.resumeRetryCount="100"
)

Ersetzen Sie BINDPLANE_AGENT_IP durch die entsprechende IP-Adresse.
Speichern, validieren und starten Sie rsyslog wie in den vorherigen Schritten beschrieben neu.

Hinweis: Mit dieser Konfiguration werden alle Syslog-Nachrichten an Bindplane weitergeleitet, nicht nur ClamAV-Logs. Möglicherweise müssen Sie zusätzliche Bindplane-Pipelines und Google SecOps-Parser für andere Logquellen konfigurieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
parsed_msg.resource.labels.instance_id	observer.resource.id	Wert direkt kopiert
parsed_msg.labels.compute.googleapis.com/resource_name	observer.resource.name	Wert direkt kopiert
parsed_msg.resource.type, parsed_msg.labels.container.googleapis.com/stream	observer.resource.type	Verkettet aus parsed_msg.resource.type und parsed_msg.labels.container.googleapis.com/stream mit dem Trennzeichen „/“
parsed_msg.resource.labels.project_id, parsed_msg.resource.labels.cluster_name, parsed_msg.resource.labels.container_name	observer.hostname	Verkettet aus parsed_msg.resource.labels.project_id, parsed_msg.resource.labels.cluster_name und parsed_msg.resource.labels.container_name mit „/“ als Trennzeichen
parsed_msg.resource.labels.container_name	observer.application	Wert direkt kopiert
parsed_msg.labels.container.googleapis.com/namespace_name	observer.namespace	Wert direkt kopiert
parsed_msg.resource.labels.zone	observer.location.country_or_region	Wert direkt kopiert
parsed_msg.resource.labels.pod_id	observer.labels	Zusammengeführt als Schlüssel „pod_id“ mit dem Wert aus parsed_msg.resource.labels.pod_id
parsed_msg.resource.labels.project_id, parsed_msg.resource.labels.cluster_name, parsed_msg.resource.labels.container_name	principal.hostname	Verkettet aus parsed_msg.resource.labels.project_id, parsed_msg.resource.labels.cluster_name und parsed_msg.resource.labels.container_name mit „/“ als Trennzeichen
file, _file_path	target.file.full_path	Wert aus der Datei, wenn er aus dem Grok-Muster extrahiert wurde, andernfalls aus „_file_path“, wenn er aus dem alternativen Grok-Muster extrahiert wurde
Bedrohung	security_result.threat_name	Wert direkt kopiert
total_files, _outcome, threat	security_result.summary	Wird auf „%{total_files} infizierte Dateien gefunden.“ gesetzt, wenn „num_files“ extrahiert wurde, andernfalls auf „Datei gescannt. (%{_outcome})", wenn _outcome extrahiert wurde, andernfalls „Bedrohungssignatur %{threat} gefunden.“, wenn threat nicht leer ist
Kategorie	security_result.category	Wert direkt kopiert (auf „SOFTWARE_MALICIOUS“ gesetzt, wenn die Bedrohung nicht leer ist)
Aktion	security_result.action	Wert direkt kopiert (auf „BLOCK“ gesetzt, wenn die Bedrohung nicht leer ist, andernfalls auf „ALLOW“, wenn „_outcome“ extrahiert wurde)
parsed_msg.insertId	metadata.product_log_id	Wert direkt kopiert
parsed_msg.logName	metadata.description	Wert direkt kopiert
	metadata.event_type	Auf „SCAN_FILE“ gesetzt, wenn eine Bedrohung gefunden oder eine Datei gescannt wurde, andernfalls auf „STATUS_UPDATE“, wenn die Anzahl der infizierten Dateien extrahiert wurde
	metadata.product_name	Legen Sie diesen Wert auf „CLAMAV“ fest.
	metadata.vendor_name	Legen Sie diesen Wert auf „Cisco Systems“ fest.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten