Coletar registros de modems Digi

Compatível com:

Este documento explica como ingerir registros de modems Digi no Google Security Operations usando o Bindplane. Primeiro, o código do analisador extrai campos como carimbo de data/hora, nome do host, tipo de produto e conteúdo do registro das mensagens syslog DIGI_MODEMS usando padrões grok. Em seguida, ele analisa ainda mais o conteúdo para identificar tentativas de login (bem-sucedidas ou com falha), extraindo detalhes como usuário, endereço IP, porta e protocolos, mapeando esses campos extraídos em um esquema de Modelo de Dados Unificado (UDM) para análise de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Instância do Google SecOps
  • Windows 2016 ou mais recente ou um host Linux com systemd
  • Se estiver executando por trás de um proxy, as portas do firewall estarão abertas.
  • Acesso privilegiado ao Digi Remote Manager ou UI da Web do modem Digi local

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de Comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:
    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'DIGI_MODEMS'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
    • Substitua <customer_id> pelo ID do cliente real.
    • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

  1. Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  2. Para reiniciar o agente do Bindplane em Windows, use o console Serviços ou insira o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar o servidor Syslog no modem Digi

  1. Faça login no Digi Remote Manager ou na UI da Web local do Digi Modem.
  2. Acesse a configuração do dispositivo com o Gerenciador remoto:
    • Localize o dispositivo em que você quer configurar o Syslog.
    • Clique em ID do dispositivo > Configurações > Config.
  3. Acesse a configuração do dispositivo com a interface da Web do modem Digi local:
    • Clique em Sistema > Configuração > Configuração do dispositivo.
  4. Acesse Sistema > Registro.
  5. Clique para expandir a Lista de servidores.
  6. Clique em Adicionar servidor +.
  7. Informe os seguintes detalhes de configuração:
    • Servidor: insira o endereço IP do agente do Bindplane.
    • Selecione as categorias de evento que serão enviadas ao servidor. Todas as categorias são ativadas por padrão.
    • Porta de saída do Syslog: insira o número da porta do agente Bindplane (o padrão é 514).
    • Protocolo: selecione UDP.
  8. Clique em Aplicar.

Tabela de mapeamento do UDM

Campo de registro Mapeamento do UDM Lógica
conteúdo security_result.description Mapeado diretamente do campo content após a análise inicial do grok.
http_method network.http.method Extraído do campo content usando um padrão grok.
http_version network.application_protocol_version Extraído do campo content usando um padrão grok.
nome do host principal.hostname Extraído da mensagem de registro usando um padrão grok.
ip target.ip Extraído do campo content usando um padrão grok.
porta target.port Extraído do campo content usando um padrão grok e convertido em um número inteiro.
proto network.application_protocol Extraído do campo content usando um padrão grok.
ts metadata.event_timestamp Extraído da mensagem de registro usando um padrão grok e convertido em um carimbo de data/hora.
tipo login_type_label.value Extraído do campo content usando um padrão grok.
extensions.auth.type Definido como MACHINE pela lógica do analisador.
login_type_label.key Definido como Login type pela lógica do analisador.
metadata.event_type Determinado pela presença de campos específicos, como ip ou user, e definido como NETWORK_CONNECTION ou USER_LOGIN.
metadata.log_type Definido como DIGI_MODEMS pela lógica do analisador.
metadata.product_event_type Extraído do campo product_type na mensagem de registro.
metadata.product_name Definido como DIGI_MODEMS pela lógica do analisador.
metadata.vendor_name Definido como DIGI_MODEMS pela lógica do analisador.
security_result.action Determinado pela presença de Login OK ou Login failure na mensagem e definido como ALLOW ou BLOCK, respectivamente.
usuário target.user.userid Extraído do campo content usando um padrão grok.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.