Recopila registros del IDS de Cyber 2.0

Compatible con:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas de Google Security Operations. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios que se les realicen no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

En este documento, se explica cómo transferir registros del IDS de Cyber 2.0 a Google Security Operations con el agente de Bindplane.

Los IDS de Cyber 2.0 proporcionan seguridad de red de nivel empresarial con capacidades integradas de detección y prevención de intrusiones. Los dispositivos MX usan el motor de detección de intrusiones Snort para supervisar el tráfico de red en busca de actividad maliciosa y generar alertas de IDS basadas en la inteligencia de amenazas de Cisco Talos. Las alertas del IDS se generan en dos formatos: tipos ids-alerts heredados y tipos security_event actuales, con niveles de prioridad que van del 1 (alta) al 4 (muy baja) según las clasificaciones de firmas de Snort.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Windows Server 2016 o versiones posteriores, o host de Linux con systemd
• Conectividad de red entre el agente de Bindplane y el IDS de Cyber 2.0
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso de administrador al panel de Cisco Meraki
• IDS de Cyber 2.0 con licencia de Advanced Security Edition (obligatorio para las funciones de IDS/IPS)
• Conectividad de red desde el dispositivo Meraki MX al host del agente de Bindplane (puerto UDP 514 o puerto personalizado)

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.

3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

   Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.

3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

   Nota: Se requiere el ID de cliente para configurar el exportador del agente de Bindplane.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Espera a que se complete la instalación.

4. Ejecute el siguiente comando para verificar la instalación:

   sc query observiq-otel-collector
   

   El estado del servicio debe ser RUNNING.

Instalación en Linux

1. Abre una terminal con privilegios de administrador o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Espera a que se complete la instalación.

4. Ejecute el siguiente comando para verificar la instalación:

   sudo systemctl status observiq-otel-collector
   

   El estado del servicio debe ser active (running).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solución de problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir Syslog y enviar registros a Google SecOps

Ubica el archivo de configuración

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edita el archivo de configuración

1. Reemplaza todo el contenido de config.yaml por la siguiente configuración:

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/meraki_ids:
           compression: gzip
           creds_file_path: '<CREDS_FILE_PATH>'
           customer_id: '<CUSTOMER_ID>'
           endpoint: malachiteingestion-pa.googleapis.com
           log_type: CYBER_2_IDS
           raw_log_field: body
           ingestion_labels:
               vendor: cisco_meraki
               product: mx_security_appliance
   
   service:
       pipelines:
           logs/meraki_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/meraki_ids
   

2. Reemplaza los marcadores de posición que se indican más abajo:

   • Configuración del receptor:

     • El receptor está configurado para escuchar en todas las interfaces (0.0.0.0) en el puerto UDP 514 (puerto syslog estándar).
     • Si el puerto 514 ya está en uso o necesitas ejecutarlo como usuario no raíz en Linux, cambia el puerto a 1514 o a otro puerto disponible.

   • Configuración del exportador:

     • <CREDS_FILE_PATH>: Ruta de acceso completa al archivo de autenticación de la transferencia:

       • Linux: /etc/bindplane-agent/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • <CUSTOMER_ID>: ID de cliente copiado del paso anterior

     • endpoint: URL del extremo regional (la que se muestra de forma predeterminada es la de la región de EE.UU.):

       • EE.UU.: malachiteingestion-pa.googleapis.com
       • Europa: europe-malachiteingestion-pa.googleapis.com
       • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
       • Consulta Extremos regionales para obtener la lista completa.

     • log_type: Se establece en CYBER_2_IDS para las alertas del IDS de Cisco Meraki.

     • ingestion_labels: Son etiquetas opcionales para categorizar los registros en Google SecOps.

Configuración de ejemplo

• receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/meraki_ids:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CYBER_2_IDS
      raw_log_field: body
      ingestion_labels:
        vendor: cisco_meraki
        product: mx_security_appliance
        environment: production
  
  service:
    pipelines:
      logs/meraki_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/meraki_ids
  

Guarda el archivo de configuración

Después de editarlo, guarda el archivo:

• Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
• Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Linux, haz lo siguiente:

  1. Ejecuta el comando siguiente:

     sudo systemctl restart observiq-otel-collector
     

  2. Verifica que el servicio esté en ejecución:

     sudo systemctl status observiq-otel-collector
     

  3. Revisa los registros en busca de errores:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar el agente de Bindplane en Windows, haz lo siguiente:

  1. Elige una de las siguientes opciones:

     • Símbolo del sistema o PowerShell como administrador:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Consola de Services:

       1. Presiona Win+R, escribe services.msc y presiona Intro.
       2. Busca observIQ OpenTelemetry Collector.
       3. Haz clic con el botón derecho y selecciona Reiniciar.

  2. Verifica que el servicio esté en ejecución:

     sc query observiq-otel-collector
     

  3. Revisa los registros en busca de errores:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Configura el reenvío de syslog del IDS de Cyber 2.0

1. Accede al panel de Cisco Meraki en https://dashboard.meraki.com.
2. Selecciona tu organización en el menú desplegable de la esquina superior izquierda.
3. Selecciona la red que contiene tu dispositivo de seguridad MX en el menú desplegable de redes.
4. Ve a A nivel de la red > Configurar > General.
5. Desplázate hacia abajo hasta la sección Reporting.
6. En Servidores Syslog, haz clic en Agregar un servidor Syslog.
7. Configura el servidor syslog con los siguientes parámetros:
   • IP del servidor: Ingresa la dirección IP del host del agente de Bindplane (por ejemplo, 192.168.1.100).
   • Puerto: Ingresa 514 (o el puerto personalizado configurado en el agente de BindPlane, si es diferente).
   • Roles: Selecciona los siguientes roles para reenviar las alertas del IDS:
     • Verifica las alertas del IDS (para eventos en formato ids-alerts heredado).
     • Verifica los Eventos de seguridad (para los eventos con formato security_event actuales, incluidas las alertas de IDS y las detecciones de software malicioso de AMP).
8. Haz clic en Guardar cambios en la parte inferior de la página.
9. Verifica que el IDS/IPS esté habilitado en tu dispositivo de seguridad MX:
   1. Ve a Seguridad y SD-WAN > Configurar > Protección contra amenazas.
   2. Asegúrate de que Mode esté configurado como Detection (IDS) o Prevention (IPS).
   3. Selecciona un conjunto de reglas: Conectividad, Equilibrado o Seguridad, según tus requisitos de seguridad.
   4. Haz clic en Guardar cambios.

10. Genera tráfico de prueba para verificar el reenvío de registros:

    1. Ve a Seguridad y SD-WAN > Supervisión > Centro de seguridad.
    2. Verifica que se generen alertas del IDS.
    3. Revisa los registros del agente de Bindplane para confirmar que se reciben y reenvían eventos a Google SecOps.
    Nota: Las alertas de IDS solo están disponibles con la licencia de Advanced Security Edition en los IDS de Cyber 2.0. Por lo general, la entrega de alertas se produce dentro de los 90 segundos posteriores a la detección del evento.
    Nota: El rol de Alertas del IDS reenvía eventos en formato heredado con el tipo de evento ids-alerts, mientras que el rol de Eventos de seguridad reenvía eventos en formato actual con el tipo de evento security_event. Ambos formatos contienen información de alertas de IDS y son compatibles con el analizador CYBER_2_IDS. Se recomienda habilitar ambos roles para capturar todos los eventos relacionados con el IDS.
    Nota: De forma predeterminada, el syslog de Cisco Meraki usa el protocolo UDP. Los protocolos TCP y TLS no son compatibles con el reenvío de syslog desde dispositivos Meraki.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
time1, monthnum+day+time2, time	metadata.event_timestamp	Marca de tiempo del momento en que ocurrió el evento
app_version	about.resource.attribute.labels	Lista de pares clave-valor para los atributos de recursos
prod_event_type	metadata.product_event_type	Tipo de evento específico del producto
Grupos	principal.group.group_display_name	Nombre visible del grupo
app_name, app_version, hostname, principal_ip, md5_value	acerca de	Información sobre el evento
inter_host	intermediary.hostname	Nombre de host del intermediario
descripción	metadata.description	Descripción del evento
Protocolo	network.ip_protocol	Protocolo IP que se usa en la conexión de red
Dirección	network.direction	Dirección del tráfico de red
Fuente	principal.port	Número de puerto de la entidad principal
Destino	target.port	Número de puerto del objetivo
SourceIP, principal_ip	principal.ip	Dirección IP de la entidad principal
SourceIP, principal_ip	principal.asset.ip	Dirección IP del activo del principal
DestinationIP	target.ip	Dirección IP del objetivo
DestinationIP	target.asset.ip	Dirección IP del activo objetivo
HostName, hostname	principal.hostname	Nombre de host de la entidad principal
HostName, hostname	principal.asset.hostname	Nombre de host del activo de la principal
ApplicationName	target.application	Nombre de la aplicación de destino
UserName	principal.user.userid	ID de usuario del principal
FullPath	target.file.full_path	Ruta de acceso completa del archivo
Estado	security_result.action	Acción que tomó el sistema de seguridad
pid	principal.process.pid	ID de proceso
src_application	principal.application	Nombre de la aplicación de la principal
SubSeqNumber, FlowHandle, ClientZValue, MACAddress, State, IsXCast, FlowState, DLLMode	security_result.detection_fields	Campos de detección del resultado de seguridad
gravedad,	security_result.severity	Gravedad del resultado de seguridad
DB, NewApps, UniqueApps, Computers, Duration	additional.fields	Campos adicionales
	metadata.event_type	Tipo de evento
	metadata.product_name	Nombre del producto
	metadata.vendor_name	Nombre del proveedor

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.