Recopila registros de CyberArk Privileged Threat Analytics

Versión del analizador: 18.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de CyberArk Privileged Threat Analytics a Google Security Operations con Bindplane. CyberArk Privileged Threat Analytics (PTA) es una solución de seguridad que detecta y responde a actividades maliciosas que involucran cuentas privilegiadas. Utiliza estadísticas avanzadas y aprendizaje automático para supervisar, analizar y marcar comportamientos anómalos que pueden indicar posibles amenazas internas o credenciales vulneradas.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Es una instancia de Google SecOps.
• Un host de Windows 2016 o posterior, o Linux con systemd
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso con privilegios al servidor de CyberArk Privileged Threat Analytics

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
   • Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de administrador o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta esta guía de instalación.

Configura el agente de BindPlane para transferir registros de Syslog y enviarlos a Google SecOps

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /opt/observiq-otel-collector/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       tcplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/cyberark_pta:
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: <ENDPOINT>
           log_type: 'CYBERARK_PTA'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/cyberark_pta_to_chronicle:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/cyberark_pta
   

• Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
• Reemplaza <CUSTOMER_ID> por el ID de cliente real.

• Reemplaza el valor <ENDPOINT> por tu extremo regional:

  • Estados Unidos: malachiteingestion-pa.googleapis.com
  • Europa: europe-malachiteingestion-pa.googleapis.com
  • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  Nota: Para obtener la lista completa de extremos regionales, consulta la documentación de extremos regionales.

• Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso al archivo en la que se guardó el archivo de autenticación.

Reinicia el agente de Bindplane para aplicar los cambios

1. Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

   sudo systemctl restart observiq-otel-collector
   

2. Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura el reenvío de syslog de CyberArk Privileged Threat Analytics

1. Accede al servidor de Privileged Threat Analytics.
2. Ejecuta el comando DEFAULTPARM para abrir el archivo systemparm.properties predeterminado.
3. Copia la línea que contiene la propiedad syslog_outbound y sal del archivo systemparm.properties.
4. Ejecuta el comando LOCALPARM para abrir el archivo systemparm.properties local.
5. Presiona i en el teclado para editar el archivo.
6. En el archivo systemparm.properties, quita el comentario de la propiedad syslog_outbound.

7. Pega la línea que copiaste y edita los parámetros según el siguiente ejemplo:

   syslog_outbound=[{"siem": "Chronicle", "format": "CEF", "host": "BINDPLANE_IP", "port": BINDPLANE_PORT, "protocol": "TCP"}]
   

   • Reemplaza BINDPLANE_IP por la dirección IP del host del agente de Bindplane.
   • Reemplaza BINDPLANE_PORT por el número de puerto configurado en el agente de Bindplane (por ejemplo, 514).

8. Guarda el archivo de configuración y ciérralo.

9. Reinicia el servidor de Privileged Threat Analytics para aplicar los cambios.

Para obtener más información, consulta la documentación de CyberArk Privileged Threat Analytics.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
src	principal.ip	Es una asignación directa del campo src.
dst	target.ip	Es una asignación directa del campo dst.
suser	principal.user.userid	Es una asignación directa del campo suser.
duser	target.user.userid	Es una asignación directa del campo duser.
cs1	security_result.description	Es la asignación directa del campo cs1 (motivo).
cs2	additional.fields	Asignación directa del campo cs2 (estación).
act	security_result.action_details	Asignación directa del campo act (acción tomada).
cat	metadata.product_event_type	Asignación directa del campo cat (categoría del evento).
severity	security_result.severity	Se asigna desde el valor de gravedad de CEF.
deviceCustomDate1	metadata.event_timestamp	Se analizó a partir del campo deviceCustomDate1.
	metadata.vendor_name	Se define en CyberArk.
	metadata.product_name	Se define en Privileged Threat Analytics.
	metadata.log_type	Se define en CYBERARK_PTA.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.