Raccogliere i log di Darktrace

Versione parser: 19.0

Supportato in:

Questo documento spiega come importare i log di Darktrace in Google Security Operations utilizzando l'agente Bindplane.

Darktrace è una piattaforma di cybersecurity basata sull'AI che rileva minacce e anomalie in tempo reale. Il parser gestisce i log Darktrace formattati in CEF e JSON, estraendo i campi e mappandoli al modello UDM (Unified Data Model).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive oppure host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'appliance Darktrace
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato alla UI web di Darktrace

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.

  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:10282"

exporters:
    chronicle/darktrace:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: DARKTRACE
        raw_log_field: body

service:
    pipelines:
        logs/darktrace_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/darktrace

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del ricevitore:

    • listen_address: Indirizzo IP e porta da ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 10282 è la porta syslog CEF Darktrace predefinita (regola in base alle esigenze)

  • Configurazione dell'esportatore:

    • creds_file_path: percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • endpoint: URL endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per un elenco completo, vedi Endpoint regionali.

Salvare il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare syslog su Darktrace

  1. Accedi alla UI web di Darktrace.
  2. Vai ad Amministrazione > Configurazione di sistema.
  3. Fai clic su Verifica impostazioni avviso.
  4. Fornisci i seguenti dettagli di configurazione:
    • Avvisi Syslog CEF: seleziona Vero.
    • Server Syslog CEF: inserisci l'indirizzo IP di Bindplane.
    • Porta server syslog CEF: inserisci il numero di porta di Bindplane (ad esempio, 10282).
    • Avviso TCP CEF Syslog: seleziona Vero.
  5. Fai clic su Salva.

Log di esempio Darktrace supportati

  • SYSLOG + KV (CEF)

    {
"acknowledged": false,
"commentCount": 0,
"pbid": 900000001,
"time": 1604055367000,
"creationTime": 1604055367000,
"model": {
    "name": "Compromise::Agent Beacon to New Endpoint",
    "uuid": "dfd6f10b-b91c-4244-9fd5-7c35caf21b33",
    "description": "A device is initiating multiple connections to a new external endpoint...",
    "priority": 2,
    "category": "Informational",
    "mitre": {
    "tactics": [
        "command-and-control"
    ],
    "techniques": [
        "T1071.001"
    ]
    }
},
"triggeredComponents": [
    {
    "time": 1677679818000,
    "ip": " ",
    "port": 443,
    "metric": {
        "name": "externalconnections"
    },
    "triggeredFilters": [
        {
        "filterType": "Connection hostname",
        "trigger": {
            "value": "beacon.external.io"
        }
        }
    ]
    }
],
"score": 0.85,
"device": {
    "did": 90001,
    "macaddress": " ",
    "ip": " ",
    "hostname": "user-laptop-1"
}
}

  • SYSLOG + JSON

    {
"dpi_engine": "dt-sensor-101",
"proto": "tcp",
"source_ip": " ",
"source_port": 51000,
"dest_ip": " ",
"dest_port": 389,
"src": " ",
"dst": " ",
"details": "AP request: srealm is [TESTDOMAIN.LOCAL], service is [LDAP/DC99.testdomain.local/testdomain.local], ST cipher is [aes256-cts-hmac-sha1-96]",
"epochdate": 1690471502.2252,
"@host": "log-collector-host",
"uid": "ABCDEFGHIJ1234567890",
"note": "KERBEROS::App",
"@type": "notice"
}

Tabella di mappatura UDM

Campo log mapping UDM Logica
darktraceUrl security_result.url_back_to_product Il valore viene estratto dal campo darktraceUrl.
darktrace_host observer.hostname Il valore viene estratto dal campo darktrace_host se non è un indirizzo IP.
darktrace_ip observer.ip Il valore viene estratto dal campo darktrace_ip.
darktrace_user observer.user.userid Il valore viene estratto dal campo darktrace_user.
descrizione security_result.summary, metadata.description Il valore viene estratto dal campo description.
device.customFields.DT-AUTO.macaddress principal.mac Il valore viene estratto dal campo device.customFields.DT-AUTO.macaddress.
device.did principal.asset.asset_id Il valore viene estratto dal campo device.did, convertito in una stringa e preceduto da Device ID:.
device.firstSeen principal.asset.first_seen_time Il valore viene estratto dal campo device.firstSeen, convertito in una stringa e analizzato come timestamp UNIX in millisecondi.
device.hostname principal.hostname, principal.asset.hostname Il valore viene estratto dal campo device.hostname.
device.ip principal.ip, principal.asset.ip Il valore viene estratto dal campo device.ip se corrisponde al formato dell'indirizzo IP.
device.ips.0.subnet additional.fields.subnet Il valore viene estratto dal campo device.ips.0.subnet e ha come prefisso subnet.
device.ips.ip principal.ip, principal.asset.ip Il valore viene estratto dal campo device.ips.ip per ogni indirizzo IP nell'elenco.
device.lastSeen principal.asset.last_discover_time Il valore viene estratto dal campo device.lastSeen, convertito in una stringa e analizzato come timestamp UNIX in millisecondi.
device.macaddress principal.mac Il valore viene estratto dal campo device.macaddress.
device.objecttype principal.asset.type Se il valore è device, il campo UDM è impostato su WORKSTATION.
device.sid principal.resource.attribute.labels.sid Il valore viene estratto dal campo device.sid e convertito in una stringa.
device.typelabel principal.resource.attribute.labels.typelabel Il valore viene estratto dal campo device.typelabel.
device.typename principal.resource.attribute.labels.typename Il valore viene estratto dal campo device.typename.
dst target.ip, target.asset.ip Il valore viene estratto dal campo dst.
dpt target.port Il valore viene estratto dal campo dpt e convertito in un numero intero.
dvc principal.ip, principal.asset.ip Se il valore di dvc è un indirizzo IP, viene aggiunto al campo UDM.
dvchost principal.hostname, principal.asset.hostname Il valore viene estratto dal campo dvchost.
endpoint target.url Il valore viene estratto dal campo endpoint.
event_time metadata.event_timestamp Il valore viene estratto dal campo event_time e analizzato come timestamp ISO8601.
externalId metadata.product_log_id Il valore viene estratto dal campo externalId.
incidentEventUrl principal.url Il valore viene estratto dal campo incidentEventUrl.
ip principal.ip, principal.asset.ip Il valore viene estratto dal campo ip se corrisponde al formato dell'indirizzo IP.
issue_msg security_result.summary Il valore viene estratto dal campo issue_msg.
messaggio security_result.description Il valore viene estratto dal campo message.
metodo network.http.method Il valore viene estratto dal campo method.
model.description metadata.description Il valore viene estratto dal campo model.description.
model.name metadata.product_event_type Il valore viene estratto dal campo model.name.
model.now.category security_result.severity Se il valore è critical, il campo UDM è impostato su CRITICAL. Se il valore è Informational, il campo UDM è impostato su INFORMATIONAL. Se il valore è Suspicious, il campo UDM è impostato su HIGH e la categoria è impostata su NETWORK_SUSPICIOUS.
model.now.description metadata.description Il valore viene estratto dal campo model.now.description.
model.now.message security_result.description Il valore viene estratto dal campo model.now.message.
model.now.name metadata.product_event_type Il valore viene estratto dal campo model.now.name.
model.now.pid principal.process.pid Il valore viene estratto dal campo model.now.pid e convertito in una stringa.
model.now.uuid principal.user.userid Il valore viene estratto dal campo model.now.uuid e il tipo di evento è impostato su USER_UNCATEGORIZED.
model.pid principal.process.pid Il valore viene estratto dal campo model.pid e convertito in una stringa.
model.then.description principal.resource.attribute.labels.Model Then Description Il valore viene estratto dal campo model.then.description.
model.then.name principal.resource.attribute.labels.Model Then Name Il valore viene estratto dal campo model.then.name.
model.then.pid principal.resource.attribute.labels.Model Then Pid Il valore viene estratto dal campo model.then.pid e convertito in una stringa.
model.then.uuid principal.resource.attribute.labels.Model Then UUID Il valore viene estratto dal campo model.then.uuid.
model.uuid principal.user.userid Il valore viene estratto dal campo model.uuid e il tipo di evento è impostato su USER_UNCATEGORIZED.
relatedBreaches.0.modelName security_result.description Il valore viene estratto dal campo relatedBreaches.0.modelName.
punteggio security_result.priority, security_result.priority_details Se il valore è compreso tra 0,8 e 1, la priorità è impostata su HIGH_PRIORITY. Se il valore è compreso tra 0,5 e 0,79, la priorità è impostata su MEDIUM_PRIORITY. Se il valore è compreso tra 0 e 0,49, la priorità è impostata su LOW_PRIORITY. I dettagli della priorità sono impostati su Score : seguito dal valore di score convertito in una stringa.
gravità security_result.severity Se il valore è 2, il campo UDM è impostato su MEDIUM. Se il valore è maggiore di 2, il campo UDM è impostato su HIGH.
spettro principal.hostname, principal.asset.hostname Il valore viene estratto dal campo shost.
smac principal.mac Il valore viene estratto dal campo smac.
src principal.ip, principal.asset.ip Il valore viene estratto dal campo src.
stato network.http.response_code Il valore viene estratto dal campo status e convertito in una stringa.
riepilogo metadata.description Il valore viene estratto dal campo summary.
tempo Il valore viene estratto dal campo time, convertito in una stringa e analizzato come timestamp UNIX in millisecondi.
timestamp Il valore viene estratto dal campo timestamp e analizzato come timestamp ISO8601 o timestamp UNIX in millisecondi.
titolo security_result.summary Il valore viene estratto dal campo title.
triggeredComponents.ip intermediary.ip Il valore viene estratto dal campo triggeredComponents.ip se corrisponde al formato dell'indirizzo IP.
triggeredComponents.port intermediary.port Il valore viene estratto dal campo triggeredComponents.port e convertito in un numero intero.
nome utente principal.user.userid Il valore viene estratto dal campo username.
metadata.vendor_name Imposta su DARKTRACE.
metadata.product_name Imposta su DCIP.
metadata.log_type Imposta su DARKTRACE.
network.ip_protocol Imposta su TCP se issue_msg non contiene UDP. In caso contrario, impostalo su UDP.
security_result.action Imposta su BLOCK se status è 401, altrimenti imposta su ALLOW.
security_result.severity Imposta su INFORMATIONAL.
network.application_protocol Imposta questo valore su HTTP se method non è vuoto.
metadata.event_type Imposta questo valore su NETWORK_HTTP se method non è vuoto. Imposta su USER_LOGIN se description contiene logged into \\\\S+ over ssh. Imposta questo valore su NETWORK_CONNECTION se target_ip non è vuoto. In caso contrario, imposta il valore su STATUS_UPDATE.
extensions.auth.type Imposta su MACHINE se description contiene logged into \\\\S+ over ssh.
security_result.category Imposta su DATA_EXFILTRATION se issue_msg contiene Exfiltration. Imposta su NETWORK_MALICIOUS se issue_msg contiene Compromise. In caso contrario, imposta il valore su NETWORK_SUSPICIOUS.
percentScore event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
device.credentials event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
url event.idm.read_only_udm.principal.url Mappato dal log delle modifiche
username event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
iris-event-type event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
inhibitor event.idm.read_only_udm.target.ip Mappato dal log delle modifiche
inhibitor event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
inhibitor event.idm.read_only_udm.target.port Mappato dal log delle modifiche
device.os event.idm.read_only_udm.principal.platform Mappato dal log delle modifiche
device.typename event.idm.read_only_udm.principal.asset.type Mappato dal log delle modifiche
device.ossource event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
model.tags event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
codeid event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
inhibitor event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
host_ip event.idm.read_only_udm.intermediary.ip Mappato dal log delle modifiche
technique_data event.idm.read_only_udm.security_result.attack_details.techniques Mappato dal log delle modifiche
tactics_data event.idm.read_only_udm.security_result.attack_details.tactics Mappato dal log delle modifiche
model.created.userid principal.user.userid Mappato dal log delle modifiche
model.edited.userid additional.fields Mappato dal log delle modifiche
direction network.direction Mappato dal log delle modifiche
filterType" under "triggeredFilters additional.fields Mappato dal log delle modifiche
trigger.value" under "triggeredFilters additional.fields Mappato dal log delle modifiche
from principal.user.email_addresses Mappato dal log delle modifiche
subject metadata.description Mappato dal log delle modifiche
anomaly_score", "tags", "link_hosts", and "message_id additional.fields Mappato dal log delle modifiche
recipients observer.user.email_addresses Mappato dal log delle modifiche
attachment_sha1s" and "attachment_sha256s security_result.detection_fields Mappato dal log delle modifiche
triggeredFilter.trigger.value target.ip Mappato dal log delle modifiche
from network.email.from Mappato dal log delle modifiche
subject network.email.subject Mappato dal log delle modifiche
attachment_sha1s", "attachment_sha256s", "recipients", "link_hosts", "tags", "actions", "anomaly_score", "message_id security_result.detection_fields Mappato dal log delle modifiche
model.name principal.user.user_display_name Mappato dal log delle modifiche
breachUrl security_result.url_back_to_product Mappato dal log delle modifiche
device.typelabel", "device.sid", "device.typename principal.resource.attribute.labels Mappato dal log delle modifiche
device.ips.0.subnet additional_fields Mappato dal log delle modifiche
device.device.lastSeen principal.asset.last_seen_time Mappato dal log delle modifiche
mitreTechniques security_result.attack_details.techniques Mappato dal log delle modifiche
details sec_result.about.resource.attribute.labels Mappato dal log delle modifiche
principal_port_no principal.port Mappato dal log delle modifiche
location principal.location.country_or_region Mappato dal log delle modifiche
target_host target.hostname Mappato dal log delle modifiche
source_ip principal.ip Mappato dal log delle modifiche
source_port principal.port Mappato dal log delle modifiche
dest_ip target.ip Mappato dal log delle modifiche
dest_port target.port Mappato dal log delle modifiche
@host principal.hostname Mappato dal log delle modifiche
note principal.application Mappato dal log delle modifiche
@type sec_result.about.resource.attribute.labels Mappato dal log delle modifiche
opcode sec_result.about.resource.attribute.labels Mappato dal log delle modifiche
trans_id sec_result.about.resource.attribute.labels Mappato dal log delle modifiche
query_class sec_result.about.resource.attribute.labels Mappato dal log delle modifiche
deviceMacAddress principal.mac Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.