Recolha registos do Claroty xDome

Compatível com:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como carregar registos do Claroty xDome para o Google Security Operations através do Bindplane. O analisador extrai campos de registos formatados syslog do Claroty xDome. Usa grok e/ou kv para analisar a mensagem de registo e, em seguida, mapeia estes valores para o modelo de dados unificado (UDM). Também define valores de metadados predefinidos para a origem e o tipo do evento.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

• Uma instância do Google SecOps
• Windows 2016 ou posterior, ou um anfitrião Linux com systemd
• Se estiver a ser executado através de um proxy, certifique-se de que as portas da firewall estão abertas de acordo com os requisitos do agente Bindplane
• Acesso privilegiado à consola de gestão ou ao dispositivo Claroty xDome.

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação do Windows

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

• Para ver opções de instalação adicionais, consulte este guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:

   1. Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   2. Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   • Opção A: configuração de UDP

         receivers:
         udplog:
             # Replace the port and IP address as required
             listen_address: "0.0.0.0:514"
     
         exporters:
         chronicle/chronicle_w_labels:
             compression: gzip
             # Adjust the path to the credentials file you downloaded in Step 1
             creds_file_path: '/path/to/ingestion-authentication-file.json'
             # Replace with your actual customer ID from Step 2
             customer_id: <customer_id>
             endpoint: malachiteingestion-pa.googleapis.com
             # Add optional ingestion labels for better organization
             log_type: 'CLAROTY_XDOME'
             raw_log_field: body
             ingestion_labels:
     
         service:
         pipelines:
             logs/source0__chronicle_w_labels-0:
             receivers:
                 - udplog
             exporters:
                 - chronicle/chronicle_w_labels
         ```
     

   • Opção B: TCP com configuração TLS (recomendado para segurança)

     receivers:
     tcplog:
         # Replace the port and IP address as required
         listen_address: "0.0.0.0:514"
         tls:
         # Path to the server's public TLS certificate file when using self-signed certificates
         cert_file: /etc/bindplane/certs/cert.pem
         key_file: /etc/bindplane/certs/key.pem
     
     exporters:
     chronicle/chronicle_w_labels:
         compression: gzip
         # Adjust the path to the credentials file you downloaded in Step 1
         creds_file_path: '/path/to/ingestion-authentication-file.json'
         # Replace with your actual customer ID from Step 2
         customer_id: <customer_id>
         endpoint: malachiteingestion-pa.googleapis.com
         # Add optional ingestion labels for better organization
         log_type: 'CLAROTY_XDOME'
         raw_log_field: body
         ingestion_labels:
     
     service:
     pipelines:
         logs/source0__chronicle_w_labels-0:
         receivers:
             - tcplog
         exporters:
             - chronicle/chronicle_w_labels
     

     • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
     • Substitua <customer_id> pelo ID de cliente real.
     • Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.
     • Para a configuração do TLS, certifique-se de que os ficheiros de certificado existem nos caminhos especificados ou gere certificados autoassinados, se necessário.

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configuração detalhada do Syslog

1. Inicie sessão na IU Web do Claroty xDome.
2. Clique no separador Definições na barra de navegação.
3. Selecione Definições do sistema no menu pendente.
4. Clique em As minhas integrações na secção Integrações.
5. Clique em + Adicionar integração.
6. Selecione Serviços internos no menu pendente Categoria.
7. Selecione SIEM e Syslog no menu pendente Integração.
8. Clique em Adicionar.
9. Introduza os seguintes detalhes de configuração:
   • IP de destino: introduza o endereço IP do agente Bindplane.
   • Protocolo de transporte: selecione UDP, TCP ou TLS, consoante a configuração do Bindplane.
   • Se selecionar o protocolo de segurança TLS, faça o seguinte:
     • Selecione a opção Verificar nomes de anfitriões para verificar se o nome de anfitrião do servidor corresponde a algum dos nomes presentes no certificado X.509.
     • Selecione a opção Usar autoridade de certificação personalizada para usar uma autoridade de certificação (AC) personalizada em vez da AC predefinida. Carregue o ficheiro de certificado personalizado ou insira o certificado (no formato PEM) no espaço indicado.
   • Porta de destino: o valor predefinido para TCP, TLS e UDP é 514. (Passe o cursor do rato sobre o campo para usar as setas clicáveis para selecionar uma porta de destino diferente).
   • Opções avançadas: introduza as definições das opções avançadas:
     • Formato da mensagem: selecione CEF (outras opções incluem JSON ou formato LEEF).
     • Norma do protocolo Syslog: selecione RFC 5424 ou RFC 3164.
   • Nome da integração: introduza um nome significativo para a integração (por exemplo, Google SecOps syslog).
   • Opções de implementação: selecione a opção Executar a partir do servidor de recolha ou Executar a partir da nuvem, consoante a configuração do xDome.
10. Aceda aos parâmetros de tarefas de integração.
11. Ative a opção Exportar eventos de comunicação do Claroty xDome através do Syslog para ativar a exportação de eventos de comunicação do Claroty xDome.
12. No menu pendente Seleção de tipos de eventos, clique em Selecionar tudo.

13. Escolha as condições do dispositivo a exportar: selecione a opção Todos os dispositivos para exportar os dados de eventos de comunicação de todos os dispositivos afetados.

    Nota: para receber eventos de atividade de TO através do Syslog, é necessário criar e ativar alertas de atividade de TO para os tipos de eventos relevantes. Isto deve-se ao facto de o xDome enviar apenas eventos relacionados com alertas de atividade de OT.

14. Ative a opção Exportar registo de alterações de alertas de alterações de dispositivos do Claroty xDome para o Syslog para exportar eventos de alterações do Claroty xDome.

15. No menu pendente Alterar seleção de tipos de eventos, selecione os tipos de eventos de alteração que quer exportar.

16. Escolha as condições do dispositivo que quer exportar: selecione Todos os dispositivos para exportar os dados do evento de alteração de todos os dispositivos afetados.

17. Ative a opção Exportar informações de alertas do Claroty xDome para dispositivos afetados através do Syslog para exportar informações de alertas de qualquer tipo de alerta, incluindo alertas personalizados.

18. Em Tipos de alertas, clique em Selecionar tudo.

19. Ative a opção Exportar informações de vulnerabilidade do Claroty xDome para dispositivos afetados através do Syslog para exportar tipos de vulnerabilidades do Claroty xDome.

20. No menu pendente Vulnerability Types Selection (Seleção de tipos de vulnerabilidades), selecione os tipos de vulnerabilidades que quer exportar.

21. Especifique o número do limite de CVSS. Este parâmetro permite definir um limite de CVSS para enviar uma vulnerabilidade através do Syslog. Apenas são exportadas vulnerabilidades iguais ou superiores a este limite. O limite reverte para a pontuação base da CVSS V3 por predefinição e para a pontuação base da CVSS V2 se a pontuação da CVSS V3 for desconhecida.

22. Escolha as condições do dispositivo a exportar: selecione Todos os dispositivos para exportar os dados de todos os dispositivos afetados.

23. Ative a opção Exportar informações de incidentes do servidor Claroty xDome para Syslog para exportar incidentes do servidor Claroty xDome.

24. Selecione os tipos de servidores de recolha que quer exportar no menu pendente Seleção do servidor de recolha.

25. Selecione os incidentes do servidor que quer exportar no menu pendente Server Incidents Selection (Seleção de incidentes do servidor).

26. Clique em Aplicar para guardar as definições de configuração.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.