Recopila registros de DDI de EfficientIP

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de DDI de EfficientIP a Google Security Operations con el agente de Bindplane.

EfficientIP SOLIDserver es una solución integral de DDI (DNS-DHCP-IPAM) que ofrece dispositivos virtuales y de hardware sólidos, seguros y altamente escalables para servicios de red críticos, como DNS, DHCP, administración de direcciones IP, NTP y TFTP. La plataforma proporciona administración y automatización centralizadas para la infraestructura de red con capacidades avanzadas de supervisión y seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o un host de Linux con systemd
Conectividad de red entre el agente de Bindplane y el dispositivo EfficientIP SOLIDserver
Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso administrativo a la consola web de EfficientIP SOLIDserver
SOLIDserver versión 8.0 o posterior (probado con 8.3.x y 8.4.x)

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID de cliente para configurar el exportador del agente de Bindplane.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecute el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El estado del servicio debe ser RUNNING.

Instalación en Linux

Abre una terminal con privilegios de administrador o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecute el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El estado del servicio debe ser active (running).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solución de problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml por la siguiente configuración:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/efficientip_ddi:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EFFICIENTIP_DDI
    raw_log_field: body
    ingestion_labels:
      env: production
      source: solidserver

service:
  pipelines:
    logs/efficientip_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/efficientip_ddi

Reemplaza los marcadores de posición que se indican más abajo:
- Configuración del receptor:
  - listen_address: Se establece en 0.0.0.0:514 para escuchar en todas las interfaces en el puerto UDP 514.
    - Para las implementaciones de Linux que no son de raíz, usa el puerto 1514 o uno posterior.
    - Asegúrate de que el puerto coincida con la configuración de SOLIDserver.
- Configuración del exportador:
  - creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
    - Linux: /etc/bindplane-agent/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id: Reemplaza YOUR_CUSTOMER_ID por el ID del cliente del paso anterior.
  - endpoint: Es el extremo regional:
    - EE.UU.: malachiteingestion-pa.googleapis.com
    - Europa: europe-malachiteingestion-pa.googleapis.com
    - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    - Consulta Extremos regionales para obtener una lista completa.
  - log_type: Se debe establecer en EFFICIENTIP_DDI (se requiere concordancia exacta).
  - ingestion_labels: Etiquetas opcionales para categorizar registros (personaliza según sea necesario).

Guarda el archivo de configuración

Después de editarlo, guarda el archivo:

Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, haz lo siguiente:
1. Ejecuta el comando siguiente:
```
sudo systemctl restart observiq-otel-collector
```
2. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
3. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, haz lo siguiente:
1. Elige una de las siguientes opciones:
  - Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - Consola de Services:
    1. Presiona Win+R, escribe services.msc y presiona Intro.
    2. Busca observIQ OpenTelemetry Collector.
    3. Haz clic con el botón derecho y selecciona Reiniciar.
2. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
3. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura el reenvío de syslog de EfficientIP DDI

Accede a la consola web de EfficientIP SOLIDserver.
En el panel de navegación izquierdo, haz clic en Administración.
En la sección Monitoring, haz clic en Configuration.
En el menú, haz clic en + Agregar.
En la lista Servicios, selecciona los siguientes servicios: named (para los registros de DNS)
En el campo Servidor de destino, ingresa la dirección IP y el puerto del host del agente de Bindplane en el formato <ip-address>:<port>.
- Ejemplo: 192.168.1.100:514
- Si usas un puerto no estándar en Linux, especifícalo según corresponda (por ejemplo, 192.168.1.100:1514).
Haz clic en Aceptar para guardar la configuración.

Nota: Se actualizará la página de configuración y se mostrará la regla de reenvío de syslog recién agregada. SOLIDserver comenzará de inmediato a reenviar los registros de DNS al servidor de destino especificado.

Verifica el reenvío de registros

Revisa los registros del agente de BindPlane para confirmar que se estén recibiendo registros:
- Linux: sudo journalctl -u observiq-otel-collector -f
- Windows: type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Busca entradas de registro que contengan eventos de consultas y respuestas de DNS de SOLIDserver.
Accede a la consola de Google SecOps y verifica que los registros de DDI de EfficientIP aparezcan en la página Events.

Tipos de registros admitidos

Esta integración recopila los siguientes tipos de registros de EfficientIP SOLIDserver:

Registros de consultas de DNS: Consultas de DNS del cliente con tipo de consulta, nombre de dominio y IP del cliente
Registros de respuestas de DNS: Son las respuestas de DNS con registros de respuestas, TTL y códigos de respuesta.
Registros de DHCP: Operaciones de DHCP, incluidas DISCOVER, OFFER, REQUEST, ACK, NAK, RELEASE y INFORM
Registros de DNS Guardian: Eventos de seguridad, incluida la detección de comportamiento sospechoso y activadores de armado/desarmado
Registros de transferencia de zona de DNS: Operaciones y notificaciones de transferencia de zona
Registros de errores de DNS: Errores de formato, SERVFAIL, REFUSED y otros errores de DNS

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
ip_version	additional.fields	Se combina como etiqueta con la clave "ip_version" si no está vacía.
message_size	additional.fields	Se combina como etiqueta con la clave "message_size" si no está vacío.
domain_name	additional.fields	Se combina como etiqueta con la clave "domain_name" si no está vacío.
N/A	intermediario	Se combinó a partir de un objeto intermedio
descripción	metadata.description	El valor se copia directamente si no está vacío.
msg2	metadata.description	Se establece en msg2 si event_type es GENERIC_EVENT y la descripción está vacía.
su_cmd	metadata.event_type	Se establece en "PROCESS_OPEN" si su_cmd es "sudo".
activity_type	metadata.event_type	Se establece en "NETWORK_DNS" si activity_type coincide con dns y has_dns_questions es verdadero.
mensaje	metadata.event_type	Se establece en "NETWORK_DHCP" si el mensaje coincide con DHCP.
inner_message	metadata.event_type	Se establece en "NETWORK_UNCATEGORIZED" si inner_message coincide con patrones específicos y has_principal y has_target son verdaderos.
inversa	metadata.event_type	Se establece en "NETWORK_DNS" si el proceso es "named" y has_dns_questions es verdadero; se establece en "STATUS_UPDATE" si el proceso es "named" y has_principal es verdadero; se establece en "GENERIC_EVENT" si el proceso es "named"; se establece en "NETWORK_DHCP" si el proceso es "dhcpd".
PWD	metadata.event_type	Se establece en "PROCESS_OPEN" si PWD no está vacío y has_target o has_principal es verdadero.
activity_type	metadata.product_event_type	Valor copiado directamente
N/A	metadata.vendor_name	Se establece en "EFFICIENTIP_DDI".
N/A	metadata.product_name	Se estableció en "DHCP de EFFICIENTIP_DDI"
activity_type	network.application_protocol	Se establece en "DNS" si activity_type coincide con dns y has_dns_questions es verdadero.
mensaje	network.application_protocol	Se establece en "DHCP" si el mensaje coincide con dhcp.
inversa	network.application_protocol	Se establece en "DNS" si el proceso es "named"; se establece en "DHCP" si el proceso es "dhcpd".
src_mac	network.dhcp.chaddr	El valor se copia directamente si el proceso es "dhcpd".
src_ip	network.dhcp.ciaddr	El valor se copia directamente si dhcp_info es "REQUEST".
giaddr	network.dhcp.giaddr	Valor copiado directamente
dhcp_info	network.dhcp.opcode	Se establece en "BOOTREQUEST" si dhcp_info es "INFORM", "DISCOVER" o "REQUEST"; se establece en "BOOTREPLY" si dhcp_info es "OFFER" o "ACK".
siaddr	network.dhcp.siaddr	Valor copiado directamente
transaction_id	network.dhcp.transaction_id	Valor convertido en uinteger si no está vacío o es "0"
dhcp_info	network.dhcp.type	Se establece en "INFORM" si dhcp_info es "INFORM"; se establece en "DISCOVER" si es "DISCOVER"; se establece en "OFFER" si es "OFFER"; se establece en "REQUEST" si es "REQUEST"; se establece en "ACK" si es "PACK".
yiaddr	network.dhcp.yiaddr	Valor copiado directamente
src_ip	network.dhcp.yiaddr	Se establece en src_ip si el proceso es "dhcpd" y yiaddr está vacío.
answer_rrs	network.dns.answers	Se fusionó del objeto de respuesta para cada rd en answer_rrs
N/A	network.dns.questions	Se fusiona del objeto de preguntas si has_dns_questions es verdadero.
rcode	network.dns.response_code	Valor convertido en entero sin signo
response_code	network.dns.response_code	Valor asignado al código numérico y convertido en uinteger
transporte	network.ip_protocol	El valor se muestra en mayúsculas si coincide con udp o tcp.
observador	observer.ip	Valor convertido a ipaddress
su_cmd	principal.application	El valor se copia directamente si su_cmd es "sudo".
inversa	principal.application	Se establece para procesar si el proceso es "named" o "dhcpd".
host	principal.asset.hostname	El valor se copia directamente si no está vacío.
Nombre de host	principal.asset.hostname	El valor se copia directamente si no está vacío y el host está vacío.
src_ip	principal.asset.ip	Valor copiado directamente
asset_id	principal.asset_id	Se concatena como "ID:" + asset_id
host	principal.hostname	El valor se copia directamente si no está vacío.
Nombre de host	principal.hostname	El valor se copia directamente si no está vacío y el host está vacío.
domain_name	principal.hostname	El valor se copia directamente si la descripción contiene el nombre de host y el host o el nombre de host están vacíos.
src_ip	principal.ip	El valor se copia directamente si la conversión a ipaddress se realiza correctamente; se extrae de la descripción si src_ip está vacío.
src_mac	principal.mac	Valor copiado directamente
src_port	principal.port	Valor convertido en número entero
process_id	principal.process.pid	Valor copiado directamente
source_user	principal.user.userid	Valor copiado directamente
N/A	security_result	Se combinó desde sec_result
dst_ip	target.asset.ip	Valor copiado directamente
file_path	target.file.full_path	Valor copiado directamente
dst_ip	target.hostname	El valor se copia directamente si no es una dirección IP válida.
host	target.hostname	El valor se copia directamente si inner_message coincide con patrones específicos
dst_ip	target.ip	Valor copiado directamente
dst_port	target.port	Valor convertido en número entero
target_cmd_line	target.process.command_line	Valor copiado directamente
target_user	target.user.userid	Valor copiado directamente

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.