Raccogli i log di Arctic Wolf Aurora Endpoint Security (in precedenza CylancePROTECT)

Versione parser: 2.0

Supportato in:

Questo documento spiega come importare i log di Arctic Wolf Aurora Endpoint Security (precedentemente noto come CylancePROTECT) in Google Security Operations utilizzando Bindplane.

Arctic Wolf Aurora Endpoint Security è una piattaforma di protezione degli endpoint basata sull'AI che utilizza il machine learning per prevenire malware, script e attacchi senza file prima che possano essere eseguiti. Fornisce funzionalità di prevenzione delle minacce, controllo dei dispositivi e gestione degli script per proteggere gli endpoint in tutta l'organizzazione senza fare affidamento sui tradizionali metodi di rilevamento basati su firme.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Un host Windows 2016 o versioni successive o Linux con systemd.
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso con privilegi alla console di gestione di CylancePROTECT.

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere, si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cylance_protect:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CYLANCE_PROTECT'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/cylance_protect_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cylance_protect
  • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
  • Sostituisci <customer_id> con l'ID cliente effettivo.
  • Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file di autenticazione nella sezione Ottieni il file di autenticazione dell'acquisizione di Google SecOps.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare l'inoltro di syslog su CylancePROTECT

  1. Accedi alla console di gestione di CylancePROTECT.
  2. Vai a Impostazioni > Applicazione.
  3. Seleziona la casella di controllo Syslog/SIEM per attivare l'inoltro di syslog.
  4. Seleziona tutti gli eventi da inoltrare.
  5. Fornisci i seguenti dettagli di configurazione:
    • SIEM: seleziona Syslog.
    • Protocollo: seleziona UDP.
    • Seleziona la casella di controllo Consenti messaggi di dimensioni superiori a 2 kB.
    • IP/Dominio: inserisci l'indirizzo IP dell'agente Bindplane (ad esempio, 192.168.1.100).
    • Porta: inserisci 514.
    • Struttura: seleziona il tipo di registrazione dell'applicazione.
  6. Fai clic su Test Connection (Verifica connessione) per verificare la comunicazione con l'agente Bindplane.

  7. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
logged_on_users about Mappatura: () → about
domain about.administrative_domain Mappata direttamente
username about.user.userid Mappato direttamente
event_name extensions.auth.type Mappato: Login → MACHINE
event_type extensions.auth.type Mappatura: AuditLog → MACHINE
cylancehost intermediary.hostname Mappato direttamente
int_ip intermediary.ip Unita
syslogtime metadata.event_timestamp Analizzato come RFC 3339
event_name metadata.event_type Mappato: Login → USER_LOGIN
event_type metadata.event_type Valori mappati (11 in totale, ad es. ScriptControl → SCAN_HOST, AuditLog → USER_LOGIN, `Dev…
event_type network.application_protocol Mappato: OpticsCaeDnsEvent → DNS
a network.dns.answers Unita
event_type network.dns.answers Mappatura: OpticsCaeDnsEvent → a
event_type network.dns.questions Mappato: OpticsCaeDnsEvent → q
q network.dns.questions Unita
event_type network.ip_protocol Mappato: OpticsCaeNetworkEvent → TCP
Source IP principal.ip Unita
ip_address1 principal.ip Unita
ip_address2 principal.ip Unita
ip_address3 principal.ip Unita
ip_address4 principal.ip Unita
ip_address5 principal.ip Unita
macAddr principal.mac Unita
OS principal.platform Mappato: Windows → WINDOWS
File Name principal.process.file.full_path Mappato quando event_type == Threat
Path principal.process.file.full_path Mappato quando event_type == Threat
Process Name principal.process.file.full_path Mappato quando event_type == ExploitAttempt
instigating_process_name principal.process.file.full_path Mappato quando instigating_process_name != ``
instigating_process_sha256 principal.process.file.sha256 Mappato quando instigating_process_sha256 != unknown
Process ID principal.process.pid Mappato quando event_type == ExploitAttempt
user_email principal.user.email_addresses Unita
User Name principal.user.userid Mappato quando event_type == ExploitAttempt
user_name principal.user.userid Mappato quando principal_user != ``
sr_action security_result.action Unita
sr_category security_result.category Unita
zone_names security_result.description Mappata direttamente
label_detected_by security_result.detection_fields Unita
rule_label_interpreter security_result.rule_labels Unita
rule_label_interpreter_version security_result.rule_labels Unita
Policy Name security_result.rule_name Mappato direttamente
Severity security_result.severity Mappata direttamente
Cylance Score security_result.severity_details Mappata direttamente
Description security_result.summary Mappata direttamente
External Device Name security_result.summary Mappata direttamente
Violation Type security_result.summary Mappata direttamente
event_name security_result.summary Mappata direttamente
event_type security_result.summary Mappata direttamente
Threat Classification security_result.threat_name Mappata direttamente
Violation Type security_result.threat_name Mappato direttamente
product_name target.application Mappato quando event_type == AuditLog
File Path target.file.full_path Mappato quando event_type == ScriptControl
Device Name target.hostname Mappato quando event_type == ScriptControl
Destination IP target.ip Unita
event_type target.ip Mappato: OpticsCaeNetworkEvent → Destination IP
Destination Port target.port Rinominate/mappate
Target Process Name target.process.file.full_path Mappatura quando event_type == OpticsCaeProcessEvent
Target Registry KeyPath target.registry.registry_key Mappato quando event_type == OpticsCaeRegistryEvent
N/D security_result.severity Costante: HIGH
Target Process Command Line event1.idm.read_only_udm.target.process.command_line Mappato dal log delle modifiche
Severity event1.idm.read_only_udm.security_result.severity Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.