Recopila registros de Darktrace

Versión del analizador: 19.0

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de Darktrace a Google Security Operations con el agente de Bindplane.

Darktrace es una plataforma de ciberseguridad potenciada por IA que detecta amenazas y anomalías en tiempo real. El analizador controla los registros de Darktrace con formato CEF y JSON, extrae los campos y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd
  • Conectividad de red entre el agente de Bindplane y el dispositivo de Darktrace
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a la IU web de Darktrace

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.

  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debería mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir syslog y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:10282"

exporters:
    chronicle/darktrace:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: DARKTRACE
        raw_log_field: body

service:
    pipelines:
        logs/darktrace_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/darktrace

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Dirección IP y puerto para escuchar:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 10282 es el puerto de syslog de CEF de Darktrace predeterminado (ajústalo según sea necesario).

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de autenticación de transferencia:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado de la consola de Google SecOps
    • endpoint: URL del endpoint regional:
      • EE.UU.: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulta Extremos regionales para obtener la lista completa.

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
    • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      sudo systemctl status observiq-otel-collector

    2. Revisa los registros en busca de errores:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de Servicios:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura syslog en Darktrace

  1. Accede a la IU web de Darktrace.
  2. Ve a Admin > System Config.
  3. Haz clic en Verificar la configuración de alertas.
  4. Proporciona los siguientes detalles de configuración:
    • CEF Syslog Alerts: Selecciona True.
    • Servidor Syslog de CEF: Ingresa la dirección IP de Bindplane.
    • Puerto del servidor Syslog de CEF: Ingresa el número de puerto de Bindplane (por ejemplo, 10282).
    • CEF Syslog TCP Alert: Selecciona True.
  5. Haz clic en Guardar.

Registros de muestra de Darktrace compatibles

  • SYSLOG + KV (CEF)

    {
"acknowledged": false,
"commentCount": 0,
"pbid": 900000001,
"time": 1604055367000,
"creationTime": 1604055367000,
"model": {
    "name": "Compromise::Agent Beacon to New Endpoint",
    "uuid": "dfd6f10b-b91c-4244-9fd5-7c35caf21b33",
    "description": "A device is initiating multiple connections to a new external endpoint...",
    "priority": 2,
    "category": "Informational",
    "mitre": {
    "tactics": [
        "command-and-control"
    ],
    "techniques": [
        "T1071.001"
    ]
    }
},
"triggeredComponents": [
    {
    "time": 1677679818000,
    "ip": " ",
    "port": 443,
    "metric": {
        "name": "externalconnections"
    },
    "triggeredFilters": [
        {
        "filterType": "Connection hostname",
        "trigger": {
            "value": "beacon.external.io"
        }
        }
    ]
    }
],
"score": 0.85,
"device": {
    "did": 90001,
    "macaddress": " ",
    "ip": " ",
    "hostname": "user-laptop-1"
}
}

  • SYSLOG + JSON

    {
"dpi_engine": "dt-sensor-101",
"proto": "tcp",
"source_ip": " ",
"source_port": 51000,
"dest_ip": " ",
"dest_port": 389,
"src": " ",
"dst": " ",
"details": "AP request: srealm is [TESTDOMAIN.LOCAL], service is [LDAP/DC99.testdomain.local/testdomain.local], ST cipher is [aes256-cts-hmac-sha1-96]",
"epochdate": 1690471502.2252,
"@host": "log-collector-host",
"uid": "ABCDEFGHIJ1234567890",
"note": "KERBEROS::App",
"@type": "notice"
}

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
darktraceUrl security_result.url_back_to_product El valor se toma del campo darktraceUrl.
darktrace_host observer.hostname El valor se toma del campo darktrace_host si no es una dirección IP.
darktrace_ip observer.ip El valor se toma del campo darktrace_ip.
darktrace_user observer.user.userid El valor se toma del campo darktrace_user.
descripción security_result.summary, metadata.description El valor se toma del campo description.
device.customFields.DT-AUTO.macaddress principal.mac El valor se toma del campo device.customFields.DT-AUTO.macaddress.
device.did principal.asset.asset_id El valor se toma del campo device.did, se convierte en una cadena y se le agrega el prefijo Device ID:.
device.firstSeen principal.asset.first_seen_time El valor se toma del campo device.firstSeen, se convierte en una cadena y se analiza como una marca de tiempo de UNIX en milisegundos.
device.hostname principal.hostname, principal.asset.hostname El valor se toma del campo device.hostname.
device.ip principal.ip, principal.asset.ip El valor se toma del campo device.ip si coincide con el formato de dirección IP.
device.ips.0.subnet additional.fields.subnet El valor se toma del campo device.ips.0.subnet y se le agrega el prefijo subnet.
device.ips.ip principal.ip, principal.asset.ip El valor se toma del campo device.ips.ip para cada dirección IP de la lista.
device.lastSeen principal.asset.last_discover_time El valor se toma del campo device.lastSeen, se convierte en una cadena y se analiza como una marca de tiempo de UNIX en milisegundos.
device.macaddress principal.mac El valor se toma del campo device.macaddress.
device.objecttype principal.asset.type Si el valor es device, el campo de UDM se establece en WORKSTATION.
device.sid principal.resource.attribute.labels.sid El valor se toma del campo device.sid y se convierte en una cadena.
device.typelabel principal.resource.attribute.labels.typelabel El valor se toma del campo device.typelabel.
device.typename principal.resource.attribute.labels.typename El valor se toma del campo device.typename.
DST target.ip, target.asset.ip El valor se toma del campo dst.
dpt target.port El valor se toma del campo dpt y se convierte en un número entero.
dvc principal.ip, principal.asset.ip Si el valor de dvc es una dirección IP, se agrega al campo UDM.
dvchost principal.hostname, principal.asset.hostname El valor se toma del campo dvchost.
extremo target.url El valor se toma del campo endpoint.
event_time metadata.event_timestamp El valor se toma del campo event_time y se analiza como una marca de tiempo ISO8601.
externalId metadata.product_log_id El valor se toma del campo externalId.
incidentEventUrl principal.url El valor se toma del campo incidentEventUrl.
ip principal.ip, principal.asset.ip El valor se toma del campo ip si coincide con el formato de dirección IP.
issue_msg security_result.summary El valor se toma del campo issue_msg.
mensaje security_result.description El valor se toma del campo message.
método network.http.method El valor se toma del campo method.
model.description metadata.description El valor se toma del campo model.description.
model.name metadata.product_event_type El valor se toma del campo model.name.
model.now.category security_result.severity Si el valor es critical, el campo de UDM se establece en CRITICAL. Si el valor es Informational, el campo de UDM se establece en INFORMATIONAL. Si el valor es Suspicious, el campo de UDM se establece en HIGH y la categoría se establece en NETWORK_SUSPICIOUS.
model.now.description metadata.description El valor se toma del campo model.now.description.
model.now.message security_result.description El valor se toma del campo model.now.message.
model.now.name metadata.product_event_type El valor se toma del campo model.now.name.
model.now.pid principal.process.pid El valor se toma del campo model.now.pid y se convierte en una cadena.
model.now.uuid principal.user.userid El valor se toma del campo model.now.uuid y el tipo de evento se establece en USER_UNCATEGORIZED.
model.pid principal.process.pid El valor se toma del campo model.pid y se convierte en una cadena.
model.then.description principal.resource.attribute.labels.Model Then Description El valor se toma del campo model.then.description.
model.then.name principal.resource.attribute.labels.Model Then Name El valor se toma del campo model.then.name.
model.then.pid principal.resource.attribute.labels.Model Then Pid El valor se toma del campo model.then.pid y se convierte en una cadena.
model.then.uuid principal.resource.attribute.labels.Model Then UUID El valor se toma del campo model.then.uuid.
model.uuid principal.user.userid El valor se toma del campo model.uuid y el tipo de evento se establece en USER_UNCATEGORIZED.
relatedBreaches.0.modelName security_result.description El valor se toma del campo relatedBreaches.0.modelName.
puntuación security_result.priority, security_result.priority_details Si el valor está entre 0.8 y 1, la prioridad se establece en HIGH_PRIORITY. Si el valor está entre 0.5 y 0.79, la prioridad se establece en MEDIUM_PRIORITY. Si el valor está entre 0 y 0.49, la prioridad se establece en LOW_PRIORITY. Los detalles de prioridad se establecen en Score : seguido del valor de score convertido en una cadena.
gravedad, security_result.severity Si el valor es 2, el campo del UDM se establece en MEDIUM. Si el valor es mayor que 2, el campo de UDM se establece en HIGH.
shost principal.hostname, principal.asset.hostname El valor se toma del campo shost.
smac principal.mac El valor se toma del campo smac.
src principal.ip, principal.asset.ip El valor se toma del campo src.
estado network.http.response_code El valor se toma del campo status y se convierte en una cadena.
resumen metadata.description El valor se toma del campo summary.
hora El valor se toma del campo time, se convierte en una cadena y se analiza como una marca de tiempo de UNIX en milisegundos.
timestamp El valor se toma del campo timestamp y se analiza como una marca de tiempo ISO8601 o una marca de tiempo UNIX en milisegundos.
título security_result.summary El valor se toma del campo title.
triggeredComponents.ip intermediary.ip El valor se toma del campo triggeredComponents.ip si coincide con el formato de dirección IP.
triggeredComponents.port intermediary.port El valor se toma del campo triggeredComponents.port y se convierte en un número entero.
nombre de usuario principal.user.userid El valor se toma del campo username.
metadata.vendor_name Se define en DARKTRACE.
metadata.product_name Se define en DCIP.
metadata.log_type Se define en DARKTRACE.
network.ip_protocol Se establece en TCP si issue_msg no contiene UDP. De lo contrario, configúralo como UDP.
security_result.action Se establece en BLOCK si status es 401; de lo contrario, se establece en ALLOW.
security_result.severity Se define en INFORMATIONAL.
network.application_protocol Se establece en HTTP si method no está vacío.
metadata.event_type Se establece en NETWORK_HTTP si method no está vacío. Se establece en USER_LOGIN si description contiene logged into \\\\S+ over ssh. Se establece en NETWORK_CONNECTION si target_ip no está vacío. De lo contrario, configúralo como STATUS_UPDATE.
extensions.auth.type Se establece en MACHINE si description contiene logged into \\\\S+ over ssh.
security_result.category Se establece en DATA_EXFILTRATION si issue_msg contiene Exfiltration. Se establece en NETWORK_MALICIOUS si issue_msg contiene Compromise. De lo contrario, configúralo como NETWORK_SUSPICIOUS.
percentScore event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
device.credentials event.idm.read_only_udm.target.user.userid Se asignó desde el registro de cambios
url event.idm.read_only_udm.principal.url Se asignó desde el registro de cambios
username event.idm.read_only_udm.principal.user.userid Se asignó desde el registro de cambios
iris-event-type event.idm.read_only_udm.metadata.product_event_type Se asignó desde el registro de cambios
inhibitor event.idm.read_only_udm.target.ip Se asignó desde el registro de cambios
inhibitor event.idm.read_only_udm.target.asset.ip Se asignó desde el registro de cambios
inhibitor event.idm.read_only_udm.target.port Se asignó desde el registro de cambios
device.os event.idm.read_only_udm.principal.platform Se asignó desde el registro de cambios
device.typename event.idm.read_only_udm.principal.asset.type Se asignó desde el registro de cambios
device.ossource event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
model.tags event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
codeid event.idm.read_only_udm.security_result.rule_id Se asignó desde el registro de cambios
inhibitor event.idm.read_only_udm.security_result.description Se asignó desde el registro de cambios
host_ip event.idm.read_only_udm.intermediary.ip Se asignó desde el registro de cambios
technique_data event.idm.read_only_udm.security_result.attack_details.techniques Se asignó desde el registro de cambios
tactics_data event.idm.read_only_udm.security_result.attack_details.tactics Se asignó desde el registro de cambios
model.created.userid principal.user.userid Se asignó desde el registro de cambios
model.edited.userid additional.fields Se asignó desde el registro de cambios
direction network.direction Se asignó desde el registro de cambios
filterType" under "triggeredFilters additional.fields Se asignó desde el registro de cambios
trigger.value" under "triggeredFilters additional.fields Se asignó desde el registro de cambios
from principal.user.email_addresses Se asignó desde el registro de cambios
subject metadata.description Se asignó desde el registro de cambios
anomaly_score", "tags", "link_hosts", and "message_id additional.fields Se asignó desde el registro de cambios
recipients observer.user.email_addresses Se asignó desde el registro de cambios
attachment_sha1s" and "attachment_sha256s security_result.detection_fields Se asignó desde el registro de cambios
triggeredFilter.trigger.value target.ip Se asignó desde el registro de cambios
from network.email.from Se asignó desde el registro de cambios
subject network.email.subject Se asignó desde el registro de cambios
attachment_sha1s", "attachment_sha256s", "recipients", "link_hosts", "tags", "actions", "anomaly_score", "message_id security_result.detection_fields Se asignó desde el registro de cambios
model.name principal.user.user_display_name Se asignó desde el registro de cambios
breachUrl security_result.url_back_to_product Se asignó desde el registro de cambios
device.typelabel", "device.sid", "device.typename principal.resource.attribute.labels Se asignó desde el registro de cambios
device.ips.0.subnet additional_fields Se asignó desde el registro de cambios
device.device.lastSeen principal.asset.last_seen_time Se asignó desde el registro de cambios
mitreTechniques security_result.attack_details.techniques Se asignó desde el registro de cambios
details sec_result.about.resource.attribute.labels Se asignó desde el registro de cambios
principal_port_no principal.port Se asignó desde el registro de cambios
location principal.location.country_or_region Se asignó desde el registro de cambios
target_host target.hostname Se asignó desde el registro de cambios
source_ip principal.ip Se asignó desde el registro de cambios
source_port principal.port Se asignó desde el registro de cambios
dest_ip target.ip Se asignó desde el registro de cambios
dest_port target.port Se asignó desde el registro de cambios
@host principal.hostname Se asignó desde el registro de cambios
note principal.application Se asignó desde el registro de cambios
@type sec_result.about.resource.attribute.labels Se asignó desde el registro de cambios
opcode sec_result.about.resource.attribute.labels Se asignó desde el registro de cambios
trans_id sec_result.about.resource.attribute.labels Se asignó desde el registro de cambios
query_class sec_result.about.resource.attribute.labels Se asignó desde el registro de cambios
deviceMacAddress principal.mac Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.