Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux EfficientIP DDI

Version de l'analyseur : 9.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux EfficientIP DDI dans Google Security Operations à l'aide de l'agent Bindplane.

EfficientIP SOLIDserver est une solution DDI (DNS-DHCP-IPAM) complète qui fournit des appliances virtuelles et matérielles hautement évolutives, sécurisées et robustes pour les services réseau critiques, y compris DNS, DHCP, IP Address Management, NTP et TFTP. La plate-forme fournit une gestion et une automatisation centralisées de l'infrastructure réseau, avec des fonctionnalités avancées de surveillance et de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou un hôte Linux avec systemd
Connectivité réseau entre l'agent Bindplane et l'appliance EfficientIP SOLIDserver
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès administrateur à la console Web EfficientIP SOLIDserver
SOLIDserver version 8.0 ou ultérieure (testé avec les versions 8.3.x et 8.4.x)

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```
L'état du service doit être RUNNING.

Installation sous Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```
L'état du service doit être active (running).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/efficientip_ddi:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: EFFICIENTIP_DDI
    raw_log_field: body
    ingestion_labels:
      env: production
      source: solidserver

service:
  pipelines:
    logs/efficientip_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/efficientip_ddi

Remplacez les espaces réservés suivants :
- Configuration du récepteur :
  - listen_address : définissez la valeur sur 0.0.0.0:514 pour écouter sur toutes les interfaces sur le port UDP 514.
    - Pour les déploiements Linux non racine, utilisez le port 1514 ou un port supérieur.
    - Assurez-vous que le port correspond à la configuration dans SOLIDserver.
- Configuration de l'exportateur :
  - creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
    - Linux : /opt/observiq-otel-collector/ingestion-auth.json
    - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id : remplacez YOUR_CUSTOMER_ID par le numéro client de l'étape précédente.
  - location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
  - project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
  - endpoint : laissez la valeur définie sur chronicle.googleapis.com.
  - log_type : définissez sur EFFICIENTIP_DDI (correspondance exacte requise).
  - ingestion_labels : étiquettes facultatives pour catégoriser les journaux (à personnaliser selon vos besoins).

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/efficientip_ddi:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EFFICIENTIP_DDI
    raw_log_field: body
    ingestion_labels:
      env: production
      source: solidserver
```

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :

Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :
1. Exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
2. Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```
3. Recherchez les erreurs dans les journaux :
```
sudo journalctl -u observiq-otel-collector -f
```
Pour redémarrer l'agent Bindplane sous Windows :
1. Choisissez l'une des options suivantes :
  - Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - Console Services :
    1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
    2. Recherchez observIQ OpenTelemetry Collector.
    3. Effectuez un clic droit, puis sélectionnez Redémarrer.
2. Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```
3. Recherchez les erreurs dans les journaux :
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer le transfert syslog EfficientIP DDI

Connectez-vous à la console Web EfficientIP SOLIDserver.
Dans le volet de navigation de gauche, cliquez sur Administration.
Dans la section Surveillance, cliquez sur Configuration.
Dans le menu, cliquez sur + Ajouter.
Dans la liste Services, sélectionnez les services suivants : named (pour les journaux DNS)
Dans le champ Serveur cible, saisissez l'adresse IP et le port de l'hôte de l'agent Bindplane au format <ip-address>:<port>.
- Exemple : 192.168.1.100:514
- Si vous utilisez un port non standard sous Linux, spécifiez-le en conséquence (par exemple, 192.168.1.100:1514).
Cliquez sur OK pour enregistrer la configuration.

Remarque : La page de configuration s'actualise et affiche la règle de transfert syslog que vous venez d'ajouter. SOLIDserver commence immédiatement à transférer les journaux DNS vers le serveur cible spécifié.

Vérifier le transfert de journaux

Vérifiez les journaux de l'agent BindPlane pour confirmer que les journaux sont bien reçus :
- Linux : sudo journalctl -u observiq-otel-collector -f
- Windows : type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Recherchez les entrées de journal contenant des événements de requête et de réponse DNS provenant de SOLIDserver.
Connectez-vous à la console Google SecOps et vérifiez que les journaux EfficientIP DDI s'affichent sur la page Événements.

Types de journaux compatibles

Cette intégration collecte les types de journaux suivants à partir d'EfficientIP SOLIDserver :

Journaux des requêtes DNS : requêtes DNS des clients avec le type de requête, le nom de domaine et l'adresse IP du client
Journaux de réponses DNS : réponses DNS avec enregistrements de réponse, TTL et codes de réponse
Journaux DHCP : opérations DHCP, y compris DISCOVER, OFFER, REQUEST, ACK, NAK, RELEASE et INFORM
Journaux DNS Guardian : événements de sécurité, y compris la détection de comportements suspects, les déclencheurs d'armement/désarmement
Journaux de transfert de zone DNS : opérations et notifications de transfert de zone
Journaux d'erreurs DNS : erreurs de format, SERVFAIL, REFUSED et autres erreurs DNS

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
ip_version	additional.fields	Fusionné en tant qu'étiquette avec la clé "ip_version" si elle n'est pas vide
message_size	additional.fields	Fusionné en tant que libellé avec la clé "message_size" si elle n'est pas vide
domain_name	additional.fields	Fusionné en tant qu'étiquette avec la clé "domain_name" si elle n'est pas vide
N/A	intermédiaire	Fusionné à partir d'un objet intermédiaire
description	metadata.description	Valeur copiée directement si elle n'est pas vide
msg2	metadata.description	Définir sur msg2 si event_type est GENERIC_EVENT et que la description est vide
su_cmd	metadata.event_type	Définissez sur "PROCESS_OPEN" si su_cmd est "sudo".
activity_type	metadata.event_type	Défini sur "NETWORK_DNS" si activity_type correspond à dns et que has_dns_questions est défini sur "true"
message	metadata.event_type	Définie sur "NETWORK_DHCP" si le message correspond à DHCP
inner_message	metadata.event_type	Définie sur "NETWORK_UNCATEGORIZED" si inner_message correspond à des modèles spécifiques, et que has_principal et has_target sont définis sur "true"
de diffusion inverse	metadata.event_type	Définissez sur "NETWORK_DNS" si le processus est "named" et que has_dns_questions est défini sur "true", sur "STATUS_UPDATE" si le processus est "named" et que has_principal est défini sur "true", sur "GENERIC_EVENT" si le processus est "named", et sur "NETWORK_DHCP" si le processus est "dhcpd".
PWD	metadata.event_type	Définissez sur "PROCESS_OPEN" si PWD n'est pas vide et que has_target ou has_principal est défini sur "true".
activity_type	metadata.product_event_type	Valeur copiée directement
N/A	metadata.vendor_name	Définie sur "EFFICIENTIP_DDI"
N/A	metadata.product_name	Défini sur "EFFICIENTIP_DDI DHCP"
activity_type	network.application_protocol	Défini sur "DNS" si activity_type correspond à dns et que has_dns_questions est défini sur "true"
message	network.application_protocol	Définie sur "DHCP" si le message correspond à DHCP
de diffusion inverse	network.application_protocol	Définissez la valeur sur "DNS" si le processus est "named" ou sur "DHCP" si le processus est "dhcpd".
src_mac	network.dhcp.chaddr	Valeur copiée directement si le processus est "dhcpd"
src_ip	network.dhcp.ciaddr	Valeur copiée directement si dhcp_info est "REQUEST"
giaddr	network.dhcp.giaddr	Valeur copiée directement
dhcp_info	network.dhcp.opcode	Définissez cette option sur "BOOTREQUEST" si dhcp_info est défini sur "INFORM", "DISCOVER" ou "REQUEST". Définissez cette option sur "BOOTREPLY" si dhcp_info est défini sur "OFFER" ou "ACK".
siaddr	network.dhcp.siaddr	Valeur copiée directement
transaction_id	network.dhcp.transaction_id	Valeur convertie en uinteger si elle n'est pas vide ou égale à "0"
dhcp_info	network.dhcp.type	Définie sur "INFORM" si dhcp_info est "INFORM", sur "DISCOVER" si "DISCOVER", sur "OFFER" si "OFFER", sur "REQUEST" si "REQUEST" et sur "ACK" si "PACK"
yiaddr	network.dhcp.yiaddr	Valeur copiée directement
src_ip	network.dhcp.yiaddr	Défini sur src_ip si le processus est "dhcpd" et que yiaddr est vide
answer_rrs	network.dns.answers	Fusionné à partir de l'objet de réponse pour chaque rd dans answer_rrs
N/A	network.dns.questions	Fusionné à partir de l'objet "questions" si "has_dns_questions" est défini sur "true"
rcode	network.dns.response_code	Valeur convertie en uinteger
response_code	network.dns.response_code	Valeur mappée sur un code numérique et convertie en uinteger
transport	network.ip_protocol	Valeur en majuscules si elle correspond à udp ou tcp
observateur	observer.ip	Valeur convertie en adresse IP
su_cmd	principal.application	Valeur copiée directement si su_cmd est "sudo"
de diffusion inverse	principal.application	Définir sur "process" si le processus est "named" ou "dhcpd"
hôte	principal.asset.hostname	Valeur copiée directement si elle n'est pas vide
nom d'hôte	principal.asset.hostname	La valeur est copiée directement si elle n'est pas vide et que l'hôte est vide.
src_ip	principal.asset.ip	Valeur copiée directement
asset_id	principal.asset_id	Concaténé sous la forme "ID :" + asset_id
hôte	principal.hostname	Valeur copiée directement si elle n'est pas vide
nom d'hôte	principal.hostname	La valeur est copiée directement si elle n'est pas vide et que l'hôte est vide.
domain_name	principal.hostname	Valeur copiée directement si la description contient le nom d'hôte et que l'hôte/le nom d'hôte sont vides
src_ip	principal.ip	Valeur copiée directement si la conversion en adresse IP réussit ; extraite de la description si src_ip est vide
src_mac	principal.mac	Valeur copiée directement
src_port	principal.port	Valeur convertie en entier
process_id	principal.process.pid	Valeur copiée directement
source_user	principal.user.userid	Valeur copiée directement
N/A	security_result	Fusionné à partir de sec_result
dst_ip	target.asset.ip	Valeur copiée directement
file_path	target.file.full_path	Valeur copiée directement
dst_ip	target.hostname	Valeur copiée directement si l'adresse IP n'est pas valide
hôte	target.hostname	Valeur copiée directement si inner_message correspond à des modèles spécifiques
dst_ip	target.ip	Valeur copiée directement
dst_port	target.port	Valeur convertie en entier
target_cmd_line	target.process.command_line	Valeur copiée directement
target_user	target.user.userid	Valeur copiée directement
`RR_msg`	`event.idm.read_only_udm.metadata.description`	Mappé à partir du journal des modifications
`client_id`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`key_office`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`rrset_type`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`syslog_priority`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`updating_zone`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`view_office`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.