Recopila registros del motor distribuido de Delinea

Versión del analizador: 1.0

Se admite en los siguientes sistemas operativos:

En este documento, se explica cómo transferir registros de Delinea Distributed Engine a Google Security Operations con el agente de Bindplane.

El motor distribuido de Delinea proporciona conectividad segura entre la plataforma en la nube de Delinea y los recursos locales. El motor genera mensajes de syslog en formato CEF para eventos operativos, de sincronización y de detección. El analizador extrae campos y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd
  • Conectividad de red entre el agente de Bindplane y el motor distribuido de Delinea
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso con privilegios a la IU web del portal de Delinea

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.

  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debe mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:5145"

exporters:
    chronicle/delinea_distributed_engine:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: DELINEA_DISTRIBUTED_ENGINE
        raw_log_field: body

service:
    pipelines:
        logs/delinea_distributed_engine_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/delinea_distributed_engine

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Dirección IP y puerto para escuchar:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 5145 es el puerto syslog configurado (ajusta según sea necesario).

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado de la consola de Google SecOps
    • endpoint: URL del endpoint regional:
      • EE.UU.: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
    • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      sudo systemctl status observiq-otel-collector

    2. Revisa los registros en busca de errores:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de Servicios:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura el registro de Syslog de Delinea

  1. Accede a la IU web del portal de Delinea.
  2. Ve a Admin > Application.
  3. Haz clic en el botón Editar.
  4. Haz clic en la casilla de verificación Habilitar la salida de registros de Syslog/CEF. Se muestra una sección de Syslog.
  5. Ingresa la dirección IP del agente de Bindplane.
  6. Ingresa el número de puerto del agente de Bindplane.
  7. Haz clic en el menú Protocolo y selecciona TCP.
  8. Haz clic para seleccionar Lista de zonas horarias a la hora UTC o Hora del servidor, según tu preferencia.
  9. Haz clic en el menú Sitio para seleccionar el Sitio relacionado en el que se ejecutará Syslog/CEF.
  10. (Opcional) Selecciona Escribir Syslogs como eventos de Windows para escribir auditorías y suscripciones a eventos en el registro de eventos de Windows.
  11. Haz clic en Guardar.

Configura el nivel de registro para los motores distribuidos

  1. Accede a la IU web del portal de Delinea.
  2. Ve a Admin > Distributed Engine.
  3. Haz clic en el ícono de tres puntos sobre el motor correspondiente y selecciona Mostrar configuración.
  4. Selecciona el menú Log Level y, luego, Info.
  5. Haz clic en Aceptar.

Registros de muestra del motor distribuido de Delinea compatibles

  • SYSLOG (formato propietario de Delinea)

    2024-09-26 21:14:27,369 [CID:] [C:] [TID:PriorityScheduler Elastic Thread @ Normal] INFO Thycotic.DE.Feature.SS.LocalAccountDiscovery.Areas.Discovery.LocalAccountConsumer - server-dummy-01: Send Local Account Results Count: 0 - (null)

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
ACTION security_result.action Si ACTION_CODE es "1", se establece en "ALLOW". De lo contrario, si ACTION_CODE no está vacío, se establece en "BLOCK". De lo contrario, se establece el valor predeterminado "UNKNOWN_ACTION" del analizador anterior.
ACTION_CODE security_result.action Se usa en la lógica para determinar security_result.action.
APP_NAME network.http.user_agent Se asigna directamente.
BYTES_RECVD network.received_bytes Se asigna directamente y se convierte en un número entero sin signo.
BYTES_SENT network.sent_bytes Se asigna directamente y se convierte en un número entero sin signo.
CLOUDGENIX_HOST principal.hostname Se asigna directamente si el campo NAME está vacío. Se usa como nombre de host intermedio si NAME está presente.
CODE metadata.product_event_type Se concatenó con FACILITY para formar metadata.product_event_type. También se usa para determinar metadata.event_type (p.ej., si CODE contiene "DOWN", metadata.event_type se establece en "STATUS_SHUTDOWN").
DESTINATION_ZONE_NAME about.labels Se asigna directamente como una etiqueta con la clave "DESTINATION_ZONE_NAME".
DEVICE_TIME metadata.event_timestamp Se asigna directamente después de analizarse como fecha.
DST_INTERFACE target.hostname Se asigna directamente.
DST_IP target.ip Se asigna directamente.
DST_PORT target.port Se asigna directamente y se convierte en un número entero.
ELEMENT_ID about.labels Se asigna directamente como una etiqueta con la clave "ELEMENT_ID".
EVENT_TIME metadata.event_timestamp Se asigna directamente después de analizarse como fecha.
FACILITY metadata.product_event_type Se concatenó con CODE para formar metadata.product_event_type.
FLOW_EVENT security_result.summary Se usa como parte de la cadena security_result.summary.
IDENTIFIER about.labels Se asigna directamente como una etiqueta con la clave "IDENTIFIER".
ION_HOST principal.hostname Se asigna directamente si los campos CLOUDGENIX_HOST y NAME están vacíos.
MSG metadata.description Se asigna directamente. También se usa para la coincidencia de regex para determinar metadata.event_type y extraer target.ip.
NAME principal.hostname Se asigna directamente. Si está presente, CLOUDGENIX_HOST se convierte en intermediary.hostname.
PROCESS_NAME principal.process.file.full_path Se asigna directamente.
PROTOCOL_NAME network.ip_protocol Se asigna directamente y se convierte a mayúsculas.
REMOTE_HOSTNAME target.hostname Se asigna directamente.
REMOTE_IP target.ip Se asigna directamente.
RULE_NAME security_result.rule_name Se asigna directamente.
SEVERITY security_result.severity, security_result.severity_details Se asignó a security_result.severity_details. También se usa para determinar security_result.severity (p.ej., si SEVERITY es "minor", security_result.severity se establece en "LOW").
SOURCE_ZONE_NAME about.labels Se asigna directamente como una etiqueta con la clave "SOURCE_ZONE_NAME".
SRC_INTERFACE principal.hostname Se asigna directamente.
SRC_IP principal.ip Se asigna directamente.
SRC_PORT principal.port Se asigna directamente y se convierte en un número entero.
VPN_LINK_ID target.resource.id Se asigna directamente.
(Lógica del analizador) is_alert Se establece como verdadero si log_type es "alert" o "alarm".
(Lógica del analizador) is_significant Se establece como verdadero si log_type es "alert" o "alarm".
(Lógica del analizador) metadata.event_type Se determina mediante una serie de instrucciones condicionales basadas en los valores de CODE, MSG, src_ip y dest_ip. El valor predeterminado es “GENERIC_EVENT”.
(Lógica del analizador) metadata.log_type Se debe establecer en "CLOUDGENIX_SDWAN".
(Lógica del analizador) metadata.product_event_type El valor predeterminado es la concatenación de CODE y FACILITY. Se establece en "cgxFlowLogV1" para los registros de flujo.
(Lógica del analizador) metadata.product_name Establece el valor en "CloudGenix SD-WAN".
(Lógica del analizador) metadata.vendor_name Se debe establecer en "Palo Alto Networks".
(Lógica del analizador) principal.process.pid Se establece en el valor de pid del registro sin procesar para los registros de flujo.
(Lógica del analizador) security_result.action El valor predeterminado es "UNKNOWN_ACTION".
(Lógica del analizador) security_result.severity El valor predeterminado es "UNKNOWN_SEVERITY". Se establece según el valor de SEVERITY. Se establece en "INFORMATIONAL" para los registros de flujo.
(Lógica del analizador) security_result.summary Se establece según el valor de CODE para los mensajes de syslog. Se establece en una cadena descriptiva que incluye FLOW_EVENT, SRC_IP y DST_IP para los registros de flujo.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.