Collecter les journaux du moteur distribué Delinea

Version de l'analyseur : 1.0

Compatible avec :

Ce document explique comment ingérer des journaux Delinea Distributed Engine dans Google Security Operations à l'aide de l'agent Bindplane.

Delinea Distributed Engine fournit une connectivité sécurisée entre la plate-forme cloud Delinea et les ressources sur site. Le moteur génère des messages syslog au format CEF pour les événements de découverte, de synchronisation et opérationnels. L'analyseur extrait les champs et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et le moteur distribué Delinea
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à l'interface utilisateur Web du portail Delinea

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  tcplog:
    listen_address: "0.0.0.0:5145"

exporters:
  chronicle/delinea_distributed_engine:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: DELINEA_DISTRIBUTED_ENGINE
    raw_log_field: body

service:
  pipelines:
    logs/delinea_distributed_engine_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/delinea_distributed_engine

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 5145 est le port syslog configuré (ajustez-le si nécessaire).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/delinea_distributed_engine:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: DELINEA_DISTRIBUTED_ENGINE
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le syslog Delinea

  1. Connectez-vous à l'UI Web du portail Delinea.
  2. Accédez à Admin > Application.
  3. Cliquez sur le bouton Modifier.
  4. Cochez la case Activer la sortie des journaux Syslog/CEF. Une section "Syslog" s'affiche.
  5. Saisissez l'adresse IP de l'agent Bindplane.
  6. Saisissez le numéro de port de l'agent BindPlane.
  7. Cliquez sur le menu Protocole, puis sélectionnez TCP.
  8. Cliquez pour sélectionner Liste des fuseaux horaires sur l'heure UTC ou Heure du serveur, selon vos préférences.
  9. Cliquez sur le menu Site pour sélectionner le site associé sur lequel Syslog/CEF s'exécutera.
  10. (Facultatif) Sélectionnez Write Syslogs As Windows Events (Écrire les Syslogs en tant qu'événements Windows) pour écrire les audits et les abonnements aux événements dans le journal des événements Windows.
  11. Cliquez sur Enregistrer.

Configurer le niveau de journalisation pour les moteurs distribués

  1. Connectez-vous à l'UI Web du portail Delinea.
  2. Accédez à Admin > Distributed Engine.
  3. Cliquez sur l'icône à trois points au-dessus du moteur concerné, puis sélectionnez Afficher les paramètres.
  4. Sélectionnez le menu Niveau de consignation, puis Info.
  5. Cliquez sur OK.

Exemples de journaux Delinea Distributed Engine acceptés

  • SYSLOG (format propriétaire Delinea)

    2024-09-26 21:14:27,369 [CID:] [C:] [TID:PriorityScheduler Elastic Thread @ Normal] INFO Thycotic.DE.Feature.SS.LocalAccountDiscovery.Areas.Discovery.LocalAccountConsumer - server-dummy-01: Send Local Account Results Count: 0 - (null)

Table de mappage UDM

Champ de journal Mappage UDM Logique
ACTION security_result.action Si ACTION_CODE est défini sur "1", définissez-le sur "ALLOW". Sinon, si ACTION_CODE n'est pas vide, définissez-le sur "BLOCK". Sinon, la valeur par défaut est "UNKNOWN_ACTION" (définie plus tôt dans l'analyseur).
ACTION_CODE security_result.action Utilisé dans la logique pour déterminer security_result.action.
APP_NAME network.http.user_agent Mappé directement.
BYTES_RECVD network.received_bytes Mappé directement, converti en entier non signé.
BYTES_SENT network.sent_bytes Mappé directement, converti en entier non signé.
CLOUDGENIX_HOST principal.hostname Mappé directement si le champ NAME est vide. Utilisé comme nom d'hôte intermédiaire si NAME est présent.
CODE metadata.product_event_type Concaténé avec FACILITY pour former metadata.product_event_type. Également utilisé pour déterminer metadata.event_type (par exemple, si CODE contient "DOWN", metadata.event_type est défini sur "STATUS_SHUTDOWN").
DESTINATION_ZONE_NAME about.labels Directement mappé en tant qu'étiquette avec la clé "DESTINATION_ZONE_NAME".
DEVICE_TIME metadata.event_timestamp Mappé directement après avoir été analysé en tant que date.
DST_INTERFACE target.hostname Mappage direct.
DST_IP target.ip Mappage direct.
DST_PORT target.port Mappé directement, converti en entier.
ELEMENT_ID about.labels Mappé directement en tant qu'étiquette avec la clé "ELEMENT_ID".
EVENT_TIME metadata.event_timestamp Mappé directement après avoir été analysé en tant que date.
FACILITY metadata.product_event_type Concaténé avec CODE pour former metadata.product_event_type.
FLOW_EVENT security_result.summary Utilisé dans la chaîne security_result.summary.
IDENTIFIER about.labels Directement mappé en tant que libellé avec la clé "IDENTIFIER".
ION_HOST principal.hostname Mappé directement si les champs CLOUDGENIX_HOST et NAME sont vides.
MSG metadata.description Mappage direct. Également utilisé pour la correspondance d'expressions régulières afin de déterminer metadata.event_type et d'extraire target.ip.
NAME principal.hostname Mappage direct. Si ce champ est présent, CLOUDGENIX_HOST devient intermediary.hostname.
PROCESS_NAME principal.process.file.full_path Mappage direct.
PROTOCOL_NAME network.ip_protocol Mappé directement, converti en majuscules.
REMOTE_HOSTNAME target.hostname Mappage direct.
REMOTE_IP target.ip Mappage direct.
RULE_NAME security_result.rule_name Mappage direct.
SEVERITY security_result.severity, security_result.severity_details Mappé sur security_result.severity_details. Également utilisé pour déterminer security_result.severity (par exemple, si SEVERITY est défini sur "mineur", security_result.severity est défini sur "FAIBLE").
SOURCE_ZONE_NAME about.labels Mappé directement en tant qu'étiquette avec la clé "SOURCE_ZONE_NAME".
SRC_INTERFACE principal.hostname Mappé directement.
SRC_IP principal.ip Mappage direct.
SRC_PORT principal.port Mappé directement, converti en entier.
VPN_LINK_ID target.resource.id Mappage direct.
(Logique de l'analyseur) is_alert Défini sur "true" si log_type est "alert" ou "alarm".
(Logique de l'analyseur) is_significant Défini sur "true" si log_type est "alert" ou "alarm".
(Logique de l'analyseur) metadata.event_type Déterminé par une série d'instructions conditionnelles basées sur les valeurs de CODE, MSG, src_ip et dest_ip. La valeur par défaut est "GENERIC_EVENT".
(Logique de l'analyseur) metadata.log_type Définissez-le sur "CLOUDGENIX_SDWAN".
(Logique de l'analyseur) metadata.product_event_type La valeur par défaut est la concaténation de CODE et FACILITY. Définissez cette option sur "cgxFlowLogV1" pour les journaux de flux.
(Logique de l'analyseur) metadata.product_name Définissez-le sur "CloudGenix SD-WAN".
(Logique de l'analyseur) metadata.vendor_name Défini sur "Palo Alto Networks".
(Logique de l'analyseur) principal.process.pid Définissez la valeur de pid à partir du journal brut pour les journaux de flux.
(Logique de l'analyseur) security_result.action La valeur par défaut est "UNKNOWN_ACTION".
(Logique de l'analyseur) security_result.severity La valeur par défaut est "UNKNOWN_SEVERITY". Définissez cette valeur en fonction de la valeur de SEVERITY. Définissez cette option sur "INFORMATIONAL" pour les journaux de flux.
(Logique de l'analyseur) security_result.summary Définissez la valeur de CODE pour les messages syslog. Définissez une chaîne descriptive incluant FLOW_EVENT, SRC_IP et DST_IP pour les journaux de flux.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.