Recolha registos de PAM da Delinea

Suportado em:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como carregar registos do Delinea Privileged Access Manager (PAM) para o Google Security Operations através do Bindplane. O código do analisador Logstash extrai dados de eventos de segurança dos registos DELINEA_PAM no formato SYSLOG ou CSV. Em seguida, usa padrões Grok e a análise CSV para estruturar os dados, mapeia os campos extraídos para o modelo de dados unificado (UDM) e, finalmente, produz os dados de eventos transformados.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

• Instância do Google SecOps
• Windows 2016 ou posterior, ou um anfitrião Linux com systemd
• Se estiver a ser executado através de um proxy, as portas da firewall estão abertas
• Acesso privilegiado ao Delinea Privileged Access Manager

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação de janelas

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:
   • Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   • Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # Add optional ingestion labels for better organization
           ingestion_labels:
               log_type: 'DELINEA_PAM'
               raw_log_field: body
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.

4. Substitua <customer_id> pelo ID de cliente real.

5. Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente do Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configure o Syslog no Delinea Privilege Manager

Nota: a opção Enviar feedback sobre políticas tem de estar ativada em todas as políticas que devem enviar eventos formatados em Syslog.

1. Inicie sessão na IU Web do Delinea PAM.
2. Aceda a Administração > Configuração > Sistemas externos.
3. Clique em Criar na página Syslog.
4. Forneça os seguintes detalhes de configuração:
   • Nome: introduza um nome descritivo para o servidor.
   • Protocolo: selecione UDP (também pode selecionar TCP, consoante a configuração do agente Bindplane).
   • Anfitrião: introduza o endereço IP do agente do Bindplane.
   • Porta: introduza o número da porta do agente do Bindplane. (514 para UDP).
5. Clique em Guardar alterações.

Configure tarefas do servidor SysLog no Delinea Privilege Manager

1. Aceda a Admin > Tasks > expanda a pasta Server Tasks > expanda a pasta Foreign Systems.
2. Selecione Syslog.
3. Clique em Criar.
4. Opções de modelos:
   • Enviar eventos de ação da aplicação SysLog: use este modelo para enviar eventos de ação da aplicação para o seu sistema SysLog. Os eventos de ação da aplicação contêm informações genéricas sobre a aplicação que foi executada, a política que foi acionada, a data e a hora, o computador e o utilizador, por exemplo.
   • Enviar eventos de justificação de aplicações SysLog: use este modelo para enviar eventos de justificação de aplicações para o seu sistema SysLog. Por exemplo, se um utilizador executar uma aplicação que exija um fluxo de trabalho de justificação.
   • Enviar eventos de ação de aplicação com má classificação do SysLog: use este modelo para enviar um evento para o seu sistema SysLog quando uma aplicação com uma má classificação de segurança estiver a ser instalada ou executada.
   • Enviar eventos do histórico de alterações do SysLog: use este modelo para enviar eventos do histórico de alterações para o seu sistema SysLog. Quando esta tarefa é executada pela primeira vez, envia todo o histórico de alterações para o seu servidor SysLog. Nas execuções subsequentes, envia apenas a diferença dos novos eventos do histórico de alterações.
   • Enviar eventos SysLog: use este modelo para enviar todos os eventos SysLog para o seu sistema SysLog. Estes eventos baseiam-se nas diferentes opções que selecionou no servidor SysLog durante a configuração.
   • Enviar eventos de ficheiros recém-descobertos do SysLog: use este modelo para enviar eventos de ficheiros recém-descobertos para o seu sistema SysLog. Para que isto produza eventos, a política de inventário de ficheiros predefinida tem de estar ativada e as programações de deteção de recursos têm de ser personalizadas.
   • Enviar eventos de divulgação de palavras-passe do SysLog: use este modelo para enviar todos os eventos de divulgação de palavras-passe para o seu sistema SysLog.
5. Forneça os seguintes detalhes de configuração:
   • Modelo: selecione um modelo de syslog (por exemplo, Send Syslog Events para enviar todos os eventos).
   • Nome: introduza um nome significativo para a tarefa (por exemplo, pode introduzir o mesmo nome do modelo selecionado).
   • Nome do evento: introduza um nome para os eventos.
   • Gravidade do evento: introduza um limite de nível de gravidade para os eventos a enviar.
   • Sistema Syslog: selecione o servidor do agente Bindplane do sistema externo do servidor Syslog que criou no passo anterior.
6. Clique em Criar.

Nota: depois de concluir a criação da tarefa, é apresentada a nova página Tarefa agendada, onde pode executar a tarefa a pedido ou especificar a frequência com que quer que os eventos recebidos pelo Privilege Manager (por exemplo, todos os eventos vistos em Administração > Descoberta de eventos) sejam enviados para o servidor Syslog. A programação pode ser de hora em hora, a cada 30 minutos ou diária.

Registos de amostra do PAM da Delinea suportados

• SYSLOG + CSV

  2023-10-24T22:25:00.219Z DELINEA-PAM-HOST-01 CEF:0|Delinea Software|Secret Server|11.5.000002|500|System Log|7|msg=Delinea.PAM.Business.Autofac.Modules.MessageQueue.PublishToExternalMessageQueueModule`2+NoOpExternalBusUnavailableException[Delinea.PAM.Business.DistributedEngine.ISessionRecordingAgentResponseBusConnectionInformationProvider,Delinea.PAM.Business.Autofac.Modules.MessageQueue.SessionRecordingWorkerPublishMessageQueueModule+BusInjectionTarget]: Bus is not available because of a startup issue.   at Delinea.PAM.Business.Autofac.Modules.MessageQueue.PublishToExternalMessageQueueModule`2.NoOpExternalCommonBus.BasicPublish(String exchangeName, IBasicConsumable request, Boolean persistent, IDictionary`2 customProperties, Action`1 prePublishCallback)   at Delinea.PAM.Business.Logic.MessageQueue.Buses.RoleRequestBus.BasicPublish(IBasicConsumable request, Boolean persistent, IDictionary`2 customProperties)   at Delinea.PAM.BackgroundScheduler.Logic.Areas.SessionRecording....
  

Tabela de mapeamento da UDM

Campo de registo	Mapeamento da UDM	Lógica
CEF:0|...|coluna1	metadata.vendor_name	Extraído da string CEF, especificamente o valor após o primeiro "
CEF:0|...|coluna2	metadata.product_name	Extraído da string CEF, especificamente o valor após o segundo "
CEF:0|...|coluna3	metadata.product_version	Extraído da string CEF, especificamente o valor após o terceiro "
CEF:0|...|column5	metadata.product_event_type	Extraído da string CEF, especificamente o valor após o quinto "
CEF:0|...|column7	security_result.description	Extraído da string CEF, especificamente o valor após o sétimo "
%{HOSTNAME}	principal.hostname	Extraído da mensagem de registo através do padrão grok "%{HOSTNAME}".
%{TIMESTAMP_ISO8601}	metadata.event_timestamp	Extraído da mensagem de registo através do padrão grok "%{TIMESTAMP_ISO8601}".
	metadata.event_type	Codificado como "STATUS_UPDATE" no código do analisador.
	metadata.log_type	Codificado como "DELINEA_PAM" no código do analisador.
timestamp	timestamp	A data/hora do evento é analisada a partir do campo "timestamp" no registo não processado, convertendo-o num formato de data/hora da UDM.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.