Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros del conmutador Dell

Versión del analizador: 11.0

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de conmutadores Dell a Google Security Operations con el agente de Bindplane.

Este analizador extrae los registros del conmutador Dell, normaliza las marcas de tiempo y usa patrones de Grok para estructurar el mensaje de registro en pares clave-valor. Luego, asigna estos campos extraídos al Modelo de datos unificado (UDM), controla varios formatos de registro y enriquece los datos con información contextual, como detalles de activos y gravedad de la seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y el conmutador de Dell
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Una conexión activa y credenciales administrativas para un conmutador Dell

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia.
Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID del cliente para configurar el exportador del agente de Bindplane.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debe mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de raíz o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml por la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/dell_switch:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: DELL_SWITCH
        raw_log_field: body

service:
    pipelines:
        logs/dell_switch_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/dell_switch

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- listen_address: Dirección IP y puerto para escuchar:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).
Configuración del exportador:
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado de la consola de Google SecOps
- endpoint: URL del endpoint regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura la exportación de Syslog desde un conmutador Dell

Conéctate al conmutador Dell con SSH o el puerto de la consola.
Accede con credenciales de administrador.
Usa el siguiente comando para especificar la dirección IP o el nombre de host del servidor syslog (reemplaza <syslog-server-ip>, <udp|tcp> y <syslog-port-number> por los detalles reales):
```
logging host <syslog-server-ip> transport <udp|tcp> port <syslog-port-number>
```
Opcional: Define el nivel de gravedad mínimo para los mensajes que se enviarán al servidor syslog. Por ejemplo, para registrar mensajes informativos y superiores, haz lo siguiente:
```
logging level informational
```
Guarda la configuración en ejecución en la configuración de inicio para garantizar que los cambios persistan después de los reinicios:
```
copy running-config startup-config
```
Guarda la configuración:
```
write memory
```

Registros de muestra de Dell Switch compatibles

SYSLOG

{
  "priority": 165,
  "version": 1,
  "timestamp": "2023-10-12T12:37:17.249566+00:00",
  "hostname": "switch-lon-01",
  "app_name": "dn_alm",
  "proc_id": "940",
  "message": "Node.1-Unit.1:PRI [event], Dell EMC (OS10) %ALM_AUTH_EVENT: Authentication event was raised MESSAGE=pam_unix(sshd:session): session opened for user service_account by (uid=0)"
}

JSON

{
  "appname": "SNOOP",
  "facility": 23,
  "hostname": "access-switch-a1",
  "message": "snooping.c(2177) 70820228 %% DBG Report from intf Gi6/0/11 ignored -- no router ports on vlan 193",
  "priority": 191,
  "proc_id": "snoopTask"
}

Formato de KV o eventos

Events: 
  Eventid        = {38812} 
  Occurrencetime = {3 Sept 2024 00:06:06} 
  Eventseverity  = {Minor} 
  Jobid          = {30506} 
  Computer       = {backup-server-01} 
  Program        = {DatabaseAgent} 
  Description    = {Block Change Tracking is found DISABLED on Oracle DB [PROD_DB]. Incremental backups may run slow.}

Auditar SYSLOG

{
    "priority": 110,
    "version": 1,
    "timestamp": "2023-12-12T00:58:26.893679+00:00",
    "hostname": "core-switch-palf",
    "app_name": ".clish",
    "proc_id": "29156",
    "message": "Node.1-Unit.1:PRI [audit], User sec_admin on /dev/pts/0 from 10.0.0.50 used cmd: 'terminal length 0' - completed"
}

Formato de trampa SNMP o TRAPMGR

{
  "priority": 189,
  "version": 1,
  "timestamp": "2023-12-28T23:37:27.394Z",
  "hostname": "dist-switch-01",
  "app_name": "TRAPMGR",
  "proc_id": "trapTask",
  "extensions": {
    "origin_ip": "192.168.1.1",
    "software": "N3000_Series",
    "swVersion": "6.3.2.3"
  },
  "message": "traputil.c(721) 1056839 %% Gi1/0/5 is transitioned from the Learning state to the Forwarding state"
}

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`acct`	`principal.user.userid`	Se usa como `userid` si el campo `user` no está presente.
`addr`	`principal.asset.ip`, `principal.ip`	Se analiza como una dirección IP y se usa para la IP principal y la IP del activo si es una IP válida y diferente del nombre de host.
`application`	`principal.application`	Se asigna directamente.
`asset`	`principal.asset.attribute.labels.value`	Se asigna directamente al valor de la etiqueta de activo, con la clave codificada como "Nombre del activo". Si el campo del activo está vacío y el mensaje contiene "Dell", el activo se establece en "Dell".
`auid`	`principal.resource.attribute.labels.value`	Se asigna directamente a una etiqueta con la clave `auid` dentro de `principal.resource.attribute.labels`.
`datetime`	`metadata.event_timestamp`	Se analiza a partir de varios formatos en el campo del mensaje y se convierte en una marca de tiempo.
`dest_ip`	`target.asset.ip`, `target.ip`	Se asigna a la IP de destino y a la IP del activo de destino.
`enterpriseId`	`principal.resource.attribute.labels.value`	Se asigna a una etiqueta con la clave `enterpriseId` dentro de `principal.resource.attribute.labels`.
`exe`	`sec_result.detection_fields.value`	Se asignó a un campo de detección con la clave `exe`.
`File`	`target.file.full_path`	Se asigna directamente.
`grantors`	`principal.resource.attribute.labels.value`	Se asigna a una etiqueta con la clave `grantors` dentro de `principal.resource.attribute.labels`.
`host`	`principal.hostname`, `principal.asset.hostname`, `metadata.event_type`	Se usa como nombre de host principal y nombre de host del recurso. Si `host` está presente, `metadata.event_type` se establece en `STATUS_UPDATE`. Si el nombre de host está presente, pero el host no, se usa el nombre de host como host.
`hostname`	`principal.asset.ip`, `principal.ip`, `host`	Si es una IP válida, se usa para la IP principal y la IP del activo. Si `host` está vacío, se usa como `host`.
`ID`	`principal.resource.attribute.labels.value`	Se asigna a una etiqueta con la clave `ID` dentro de `principal.resource.attribute.labels`.
`ip`	`principal.asset.ip`, `principal.ip`	Se asigna a la IP principal y a la IP del activo.
`is_synced`	`sec_result.detection_fields.value`	Se asignó a un campo de detección con la clave `is_synced`.
`local`	`target.asset.ip`, `target.ip`, `target.port`	Se analizó para extraer la IP y el puerto locales, y se asignó a la IP de destino, la IP del activo de destino y el puerto de destino.
`local_ip`	`target.asset.ip`, `target.ip`	Se extrae del campo `local` y se asigna a la IP de destino y a la IP del activo de destino.
`local_port`	`target.port`	Se extrae del campo `local` y se asigna al puerto de destino.
`mac`	`principal.mac`	Si es una dirección MAC válida, se asigna a la dirección MAC principal.
`msg`	`metadata.description`	Se usa como la descripción del evento si está presente. También se analizó para obtener campos adicionales.
`msg1`	`metadata.description`	Se usa como descripción del evento si no está presente `msg2`.
`msg2`	`sec_result.description`, `metadata.event_type`, `extensions.auth.type`	Se usa como descripción del resultado de seguridad. Si contiene "opened for user", el tipo de evento se establece en `USER_LOGIN` y el tipo de autenticación en `MACHINE`. Si contiene "closed for user", el tipo de evento se establece en `USER_LOGOUT` y el tipo de autenticación en `MACHINE`.
`op`	`metadata.product_event_type`	Se usa como tipo de evento del producto si está presente.
`pid`	`principal.process.pid`	Se asigna directamente.
`port`	`principal.port`	Se asigna directamente.
`prod_event_type`	`metadata.product_event_type`	Se usa como tipo de evento del producto si está presente.
`res`	`sec_result.summary`	Se asigna directamente.
`sec_description`	`sec_result.description`, `target.url`, `target.ip`, `target.asset.ip`, `sec_result.action_details`	Se analiza para obtener la URL de destino, la IP, los detalles de la acción y se usa como descripción del resultado de seguridad.
`Server_ID`	`target.resource.product_object_id`	Se asigna directamente.
`server`	`principal.asset.ip`, `principal.ip`, `principal.port`	Se analizó para extraer la IP y el puerto del servidor, y se asignó a la IP principal, la IP del recurso principal y el puerto principal.
`server_ip`	`principal.asset.ip`, `principal.ip`	Se extrae del campo `server` y se asigna a la IP principal y a la IP del activo principal.
`server_port`	`principal.port`	Se extrae del campo `server` y se asigna al puerto principal.
`ses`	`network.session_id`	Se asigna directamente.
`severity`	`sec_result.severity`, `metadata.product_event_type`	Se usa para determinar la gravedad del resultado de seguridad y el tipo de evento del producto según valores específicos.
`software`	`principal.asset.software`	Se asigna directamente.
`softwareName`	`software.name`	Se asigna directamente.
`Status`	`sec_result.summary`	Se usa como resumen del resultado de seguridad si no está presente `res`.
`subj`	`principal.resource.attribute.labels.value`	Se asigna a una etiqueta con la clave `subj` dentro de `principal.resource.attribute.labels`.
`swVersion`	`software.version`	Se asigna directamente.
`target_host`	`target.hostname`, `target.asset.hostname`	Se asigna directamente al nombre de host de destino y al nombre de host del recurso de destino.
`target_ip`	`target.asset.ip`, `target.ip`	Se asigna directamente a la IP de destino y a la IP del activo de destino.
`target_url`	`target.url`	Se asigna directamente.
`target_user_id`	`target.user.userid`	Se asigna directamente.
`terminal`	`principal.resource.attribute.labels.value`	Se asigna a una etiqueta con la clave `terminal` dentro de `principal.resource.attribute.labels`.
`tzknown`	`sec_result.detection_fields.value`	Se asignó a un campo de detección con la clave `tzknown`.
`uid`	`principal.resource.attribute.labels.value`	Se asigna a una etiqueta con la clave `uid` dentro de `principal.resource.attribute.labels`.
`user`	`principal.user.userid`, `metadata.event_type`	Se usa como ID de usuario principal. Si `user` está presente, `metadata.event_type` se establece en `USER_UNCATEGORIZED`.
`username`	`target.user.userid`	Se asigna directamente al ID del usuario objetivo.
N/A	`metadata.vendor_name`	Está codificado como "Dell".
N/A	`metadata.product_name`	Está codificado como "Dell Switch".
N/A	`extensions.auth.type`	Se establece en `MACHINE` para eventos específicos de acceso o salida.
N/A	`metadata.event_type`	Se determina con una lógica compleja basada en varios campos y condiciones, y el valor predeterminado es `GENERIC_EVENT` si no se configura de otra manera. Puede ser `USER_LOGIN`, `USER_LOGOUT`, `USER_UNCATEGORIZED`, `NETWORK_CONNECTION`, `NETWORK_UNCATEGORIZED`, `STATUS_UPDATE` o `GENERIC_EVENT`.
`reason_code`	`event.idm.read_only_udm.security_result.detection_fields`	Se asignó desde el registro de cambios
`Eventid`	`metadata.product_log_id`	Se asignó desde el registro de cambios
`Eventseverity`	`security_result.severity`	Se asignó desde el registro de cambios
`Computer`	`principal.hostname`	Se asignó desde el registro de cambios
`Program`	`principal.application`	Se asignó desde el registro de cambios
`Description`	`security_result.description`	Se asignó desde el registro de cambios
`tzknown", "is_synced" and "exe`	`security_result.detection_fields`	Se asignó desde el registro de cambios
`res`	`security_result.summary`	Se asignó desde el registro de cambios
`status`	`security_result.summary`	Se asignó desde el registro de cambios
`uid", "enterpriseId", "auid", "terminal", "subj", "grantors", and "ID`	`principal.resource.attribute.labels`	Se asignó desde el registro de cambios
`sec_description`	`security_result.description`	Se asignó desde el registro de cambios
`action_details`	`security_result.action_details`	Se asignó desde el registro de cambios
`softwareName`	`principal.asset.software.name`	Se asignó desde el registro de cambios
`swVersion`	`principal.asset.software.version`	Se asignó desde el registro de cambios
`port`	`principal_port`	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.