Reorganizamos nuestra estructura de navegación para que se alinee directamente con tus flujos de trabajo operativos. Consulta las notas de la versión de Google SecOps para obtener más información.

Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Recopila registros de Delinea Secret Server

Versión del analizador: 5.0

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de Delinea Secret Server a Google Security Operations con el agente de Bindplane.

Delinea Secret Server (anteriormente Thycotic) es una solución de administración de acceso con privilegios (PAM) que genera mensajes de syslog en formato CEF para el acceso a secretos, la autenticación de usuarios y los eventos de auditoría. El analizador extrae campos y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y el servidor de secretos de Delinea
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Credenciales de administrador para Delinea Secret Server

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia.
Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID de cliente para configurar el exportador del agente de Bindplane.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debería mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de administrador o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir registros de Syslog y enviarlos a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml con la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/delinea_secret_server:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: THYCOTIC
        raw_log_field: body

service:
    pipelines:
        logs/delinea_secret_server_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/delinea_secret_server

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- listen_address: Dirección IP y puerto que se escucharán:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).
Configuración del exportador:
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado de la consola de Google SecOps
- endpoint: URL del extremo regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.

Guarda el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura Thycotic Secret Server para enviar registros con syslog

Accede a Thycotic Secret Server con credenciales de administrador.
Ve a Administrador > Configuración.
Haz clic en Editar.
Selecciona la casilla de verificación Habilitar el registro de Syslog/CEF y especifica los siguientes detalles:
- Servidor Syslog/CEF: Ingresa la dirección IP de tu servidor Syslog o Bindplane.
- Protocolo Syslog/CEF: Selecciona UDP o TCP (según tu configuración de Bindplane).
- Puerto de Syslog/CEF: Ingresa el número de puerto en el que se configuró el servidor syslog o BindPlane para que escuche.
Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
Account_Domain	event1.idm.read_only_udm.principal.domain	El valor se toma del campo `Account_Domain` en el campo `msg` del registro sin procesar.
Por usuario	event1.idm.read_only_udm.principal.user.userid	El valor se toma del campo `By User` en el campo `msg` del registro sin procesar.
ID del contenedor	event1.idm.read_only_udm.principal.asset.asset_id	El valor se toma del campo `Container Id` en el campo `msg` del registro sin procesar y tiene el prefijo `container_id:`.
Nombre del contenedor	event1.idm.read_only_udm.principal.resource.name	El valor se toma del campo `Container name` en el campo `msg` del registro sin procesar.
cs2	event1.idm.read_only_udm.additional.fields[].value.string_value	El valor se toma del campo `cs2` en el campo `msg` del registro sin procesar.
cs3	event1.idm.read_only_udm.target.file.full_path	El valor se toma del campo `cs3` en el campo `msg` del registro sin procesar.
cs4	event1.idm.read_only_udm.principal.user.user_display_name	El valor se toma del campo `cs4` en el campo `msg` del registro sin procesar.
Detalles	event1.idm.read_only_udm.additional.fields[].value.string_value	El valor se toma del campo `Details` en el campo `msg` del registro sin procesar.
fname	event1.idm.read_only_udm.target.file.full_path	El valor se toma del campo `fname` en el campo `msg` del registro sin procesar.
Host	event1.idm.read_only_udm.principal.hostname, event1.idm.read_only_udm.principal.asset.hostname	El valor se toma del campo `Host` en el campo `msg` del registro sin procesar.
Nombre del elemento	event1.idm.read_only_udm.target.user.userid	El valor se toma del campo `Item Name` en el campo `msg` del registro sin procesar.
	event1.idm.read_only_udm.additional.fields[].key	El valor está codificado como `fname`.
	event1.idm.read_only_udm.additional.fields[].key	El valor está codificado como `Group or User`.
	event1.idm.read_only_udm.additional.fields[].key	El valor está codificado como `Details`.
	event1.idm.read_only_udm.additional.fields[].key	El valor está codificado como `type_id`.
	event1.idm.read_only_udm.extensions.auth.type	El valor está codificado como `MACHINE`.
	event1.idm.read_only_udm.metadata.description	El valor se toma del campo `thycotic_event`, que se extrae del registro sin procesar con un patrón de grok.
	event1.idm.read_only_udm.metadata.event_timestamp.seconds	El valor se deriva del campo `rt` si está presente; de lo contrario, se deriva del campo `ts`. Ambos campos se extraen del registro sin procesar con patrones de grok.
	event1.idm.read_only_udm.metadata.event_type	El valor se determina en función del campo `thycotic_event` y otras condiciones. Por ejemplo, si `thycotic_event` es `USER - LOGIN`, el tipo de evento se establece en `USER_LOGIN`.
	event1.idm.read_only_udm.metadata.log_type	El valor está codificado como `THYCOTIC`.
	event1.idm.read_only_udm.metadata.product_event_type	El valor se toma del campo `thycotic_event`, que se extrae del registro sin procesar con un patrón de grok.
	event1.idm.read_only_udm.metadata.product_log_id	El valor se toma del campo `action_id`, que se extrae del registro sin procesar con un patrón de grok.
	event1.idm.read_only_udm.metadata.product_name	El valor se toma del campo `device_product`, que se extrae del registro sin procesar con un patrón de grok. Si el campo está vacío, el valor se codifica como `Secret Server`.
	event1.idm.read_only_udm.metadata.product_version	El valor se toma del campo `device_version`, que se extrae del registro sin procesar con un patrón de grok.
	event1.idm.read_only_udm.metadata.vendor_name	El valor está codificado como `Thycotic`.
	event1.idm.read_only_udm.network.ip_protocol	El valor se establece en `TCP` si el campo `input.type` es `tcp`.
	event1.idm.read_only_udm.observer.application	El valor se toma del campo `agent.type` si está presente; de lo contrario, se codifica como `Secret Server`.
	event1.idm.read_only_udm.observer.asset_id	El valor se establece en `Agent ID:` concatenado con el campo `agent.id`.
	event1.idm.read_only_udm.observer.hostname	El valor se toma del campo `agent.hostname` si está presente; de lo contrario, se toma del campo `server`.
	event1.idm.read_only_udm.observer.platform_version	El valor se toma del campo `agent.version`.
	event1.idm.read_only_udm.observer.user.userid	El valor se toma del campo `agent.name`.
	event1.idm.read_only_udm.principal.asset.asset_id	El valor se establece en `ID:` concatenado con el campo `host.id`.
	event1.idm.read_only_udm.principal.asset.hardware.cpu_platform	El valor se toma del campo `host.architecture`.
	event1.idm.read_only_udm.principal.asset.hostname	El valor se toma del campo `server` si está presente; de lo contrario, se toma del campo `host.hostname`.
	event1.idm.read_only_udm.principal.asset.ip	El valor se toma del campo `src` si está presente; de lo contrario, se toma del campo `src_ip`.
	event1.idm.read_only_udm.principal.hostname	El valor se toma del campo `host.hostname` si está presente; de lo contrario, se toma del campo `server`.
	event1.idm.read_only_udm.principal.ip	El valor se toma del campo `src` si está presente; de lo contrario, se toma del campo `src_ip` o del campo `host.ip`.
	event1.idm.read_only_udm.principal.mac	El valor se toma del campo `host.mac`.
	event1.idm.read_only_udm.principal.platform	El valor se establece en `LINUX` si el campo `host_os_platform` es `centos`; de lo contrario, se establece en el valor en mayúsculas del campo `host_os_platform`.
	event1.idm.read_only_udm.principal.platform_patch_level	El valor se toma del campo `host.os.kernel`.
	event1.idm.read_only_udm.principal.platform_version	El valor se toma del campo `host.os.version`.
	event1.idm.read_only_udm.principal.port	El valor se toma del campo `src_port`, que se extrae del campo `log.source.address` con un patrón de grok.
	event1.idm.read_only_udm.principal.user.user_display_name	El valor se toma del campo `cs4` en el campo `msg` del registro sin procesar.
	event1.idm.read_only_udm.principal.user.userid	El valor se toma del campo `suser` en el campo `msg` del registro sin procesar o del campo `By User` si `thycotic_event` es `USER - LOGIN`, `USER - LOGOUT`, `USER - LOGINFAILURE` o `USER - EDIT`.
	event1.idm.read_only_udm.security_result.action	El valor se toma del campo `Action` en el campo `msg` del registro sin procesar. También se puede establecer en `ALLOW` o `BLOCK` según el valor de `thycotic_event`.
	event1.idm.read_only_udm.security_result.description	El valor se toma del campo `temp_message`, que contiene la parte restante del campo `msg` después de extraer otros campos.
	event1.idm.read_only_udm.security_result.severity	El valor se determina según el campo `syslog_severity`. Por ejemplo, si `syslog_severity` contiene `error` o `warning`, la gravedad se establece en `HIGH`. Si `thycotic_event` es `System Log`, la gravedad se establece en `INFORMATIONAL`.
	event1.idm.read_only_udm.security_result.severity_details	El valor se toma del campo `syslog_severity`.
	event1.idm.read_only_udm.target.file.full_path	El valor se construye concatenando los campos `cs3` y `fname` con un separador `/` si ambos campos están presentes. Si solo hay un campo presente, el valor se toma de ese campo.
	event1.idm.read_only_udm.target.resource.product_object_id	El valor se toma del campo `type_id`.
	event1.idm.read_only_udm.target.user.userid	El valor se toma del campo `item_name` en el campo `msg` del registro sin procesar o del campo `Item Name` si `thycotic_event` es `USER - LOGIN`, `USER - LOGOUT`, `USER - LOGINFAILURE` o `USER - EDIT`.
	events.timestamp.seconds	El valor se deriva del campo `rt` si está presente; de lo contrario, se deriva del campo `ts`. Ambos campos se extraen del registro sin procesar con patrones de grok.
rt	event1.idm.read_only_udm.metadata.event_timestamp.seconds	El valor se toma del campo `rt` en el campo `msg` del registro sin procesar y se usa para establecer la marca de tiempo del evento.
src	event1.idm.read_only_udm.principal.asset.ip, event1.idm.read_only_udm.principal.ip	El valor se toma del campo `src` en el campo `msg` del registro sin procesar.
src_ip	event1.idm.read_only_udm.principal.asset.ip, event1.idm.read_only_udm.principal.ip	El valor se toma del campo `src_ip`, que se extrae del campo `log.source.address` con un patrón de grok.
`msg`	`event.idm.read_only_udm.metadata.description`	Se asignó desde el registro de cambios
`suid`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Se asignó desde el registro de cambios
`cs4Label`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Se asignó desde el registro de cambios
`user_data`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Se asignó desde el registro de cambios
`EventClassId`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`item_Id`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`Details`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`Event`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`Action_data`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`item_name`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`source_host_network_ipaddress`	`principal.ip`	Se asignó desde el registro de cambios
`target_host_name`	`target_host_name`	Se asignó desde el registro de cambios
`machineTimeZone`	`additional.fields`	Se asignó desde el registro de cambios
`machineName`	`additional.fields`	Se asignó desde el registro de cambios
`schemaVersion`	`additional.fields`	Se asignó desde el registro de cambios
`byUserEmailAddress`	`principal.user.email_addresses`	Se asignó desde el registro de cambios
`byUserDisplayName`	`principal.user.email_addresses`	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.