Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux EfficientIP DDI

Version de l'analyseur : 9.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux EfficientIP DDI dans Google Security Operations à l'aide de l'agent Bindplane.

EfficientIP SOLIDserver est une solution DDI (DNS-DHCP-IPAM) complète qui fournit des dispositifs virtuels et matériels hautement évolutifs, sécurisés et robustes pour les services réseau critiques, y compris DNS, DHCP, la gestion des adresses IP, NTP et TFTP. La plate-forme permet de gérer et d'automatiser de manière centralisée l'infrastructure réseau, avec des fonctionnalités avancées de surveillance et de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou un hôte Linux avec systemd
Connectivité réseau entre l'agent BindPlane et l'appliance EfficientIP SOLIDserver
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
Accès administrateur à la console Web EfficientIP SOLIDserver
SOLIDserver version 8.0 ou ultérieure (testé avec les versions 8.3.x et 8.4.x)

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.
Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Remarque : Le numéro client est requis pour configurer l'exportateur de l'agent BindPlane.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```
L'état du service doit être RUNNING.

Installation sous Linux

Ouvrez un terminal avec des droits d'accès racine ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```
L'état du service doit être active (running).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/efficientip_ddi:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: EFFICIENTIP_DDI
    raw_log_field: body
    ingestion_labels:
      env: production
      source: solidserver

service:
  pipelines:
    logs/efficientip_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/efficientip_ddi

Remplacez les espaces réservés suivants :
- Configuration du récepteur :
  - listen_address : définissez cette option sur 0.0.0.0:514 pour écouter toutes les interfaces sur le port UDP 514.
    - Pour les déploiements Linux non racine, utilisez le port 1514 ou un port supérieur.
    - Assurez-vous que le port correspond à la configuration dans SOLIDserver.
- Configuration de l'exportateur :
  - creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
    - Linux : /opt/observiq-otel-collector/ingestion-auth.json
    - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id : remplacez YOUR_CUSTOMER_ID par le numéro client de l'étape précédente.
  - location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
  - project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
  - endpoint : laissez la valeur définie sur chronicle.googleapis.com.
  - log_type : définissez sur EFFICIENTIP_DDI (mot clé exact requis).
  - ingestion_labels : étiquettes facultatives pour catégoriser les journaux (à personnaliser selon vos besoins).

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/efficientip_ddi:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EFFICIENTIP_DDI
    raw_log_field: body
    ingestion_labels:
      env: production
      source: solidserver
```

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :

Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :
1. Exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
2. Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```
3. Vérifiez les journaux pour détecter d'éventuelles erreurs :
```
sudo journalctl -u observiq-otel-collector -f
```
Pour redémarrer l'agent BindPlane sous Windows :
1. Choisissez l'une des options suivantes :
  - Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - Console Services :
    1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
    2. Recherchez observIQ OpenTelemetry Collector.
    3. Effectuez un clic droit et sélectionnez Redémarrer.
2. Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```
3. Vérifiez les journaux pour détecter d'éventuelles erreurs :
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer le transfert syslog EfficientIP DDI

Connectez-vous à la console Web EfficientIP SOLIDserver.
Dans le volet de navigation de gauche, cliquez sur Administration.
Dans la section Surveillance, cliquez sur Configuration.
Dans le menu, cliquez sur + Ajouter.
Dans la liste Services, sélectionnez les services suivants : named (pour les journaux DNS)
Dans le champ Serveur cible, saisissez l'adresse IP et le port de l'hôte de l'agent BindPlane au format <ip-address>:<port>.
- Exemple : 192.168.1.100:514
- Si vous utilisez un port non standard sous Linux, spécifiez-le en conséquence (par exemple, 192.168.1.100:1514).
Cliquez sur OK pour enregistrer la configuration.

Remarque : La page de configuration s'actualise et affiche la règle de transfert syslog que vous venez d'ajouter. SOLIDserver commencera immédiatement à transférer les journaux DNS vers le serveur cible spécifié.

Vérifier le transfert des journaux

Vérifiez les journaux de l'agent Bindplane pour confirmer que les journaux sont bien reçus :
- Linux : sudo journalctl -u observiq-otel-collector -f
- Windows : type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Recherchez les entrées de journal contenant des événements de requête et de réponse DNS provenant de SOLIDserver.
Connectez-vous à la console Google SecOps et vérifiez que les journaux EfficientIP DDI s'affichent sur la page Événements.

Types de journaux compatibles

Cette intégration collecte les types de journaux suivants à partir d'EfficientIP SOLIDserver :

Journaux de requêtes DNS : requêtes DNS des clients avec le type de requête, le nom de domaine et l'adresse IP du client
Journaux de réponses DNS : réponses DNS avec enregistrements de réponse, TTL et codes de réponse
Journaux DHCP : opérations DHCP, y compris DISCOVER, OFFER, REQUEST, ACK, NAK, RELEASE et INFORM
Journaux DNS Guardian : événements liés à la sécurité, y compris la détection de comportements suspects, les déclencheurs d'armement/désarmement
Journaux de transfert de zone DNS : opérations et notifications de transfert de zone
Journaux d'erreurs DNS : erreurs de format, SERVFAIL, REFUSED et autres erreurs DNS

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
ip_version	additional.fields	Fusionné en tant qu'étiquette avec la clé "ip_version" si elle n'est pas vide
message_size	additional.fields	Fusionné en tant qu'étiquette avec la clé "message_size" si elle n'est pas vide
domain_name	additional.fields	Fusionné en tant qu'étiquette avec la clé "domain_name" si elle n'est pas vide
N/A	intermédiaire	Fusionné à partir d'un objet intermédiaire
description	metadata.description	Valeur copiée directement si elle n'est pas vide
msg2	metadata.description	Définissez sur msg2 si event_type est GENERIC_EVENT et que la description est vide
su_cmd	metadata.event_type	Définissez cette option sur "PROCESS_OPEN" si su_cmd est "sudo".
activity_type	metadata.event_type	Définissez sur "NETWORK_DNS" si activity_type correspond à "dns" et que has_dns_questions est défini sur "true".
message	metadata.event_type	Définissez cette option sur "NETWORK_DHCP" si le message correspond à DHCP.
inner_message	metadata.event_type	Définissez cette option sur "NETWORK_UNCATEGORIZED" si inner_message correspond à des modèles spécifiques, et si has_principal et has_target sont définis sur "true".
de diffusion inverse	metadata.event_type	Définissez sur "NETWORK_DNS" si le processus est "named" et que "has_dns_questions" est défini sur "true". Définissez sur "STATUS_UPDATE" si le processus est "named" et que "has_principal" est défini sur "true". Définissez sur "GENERIC_EVENT" si le processus est "named". Définissez sur "NETWORK_DHCP" si le processus est "dhcpd".
PWD	metadata.event_type	Définissez cette option sur "PROCESS_OPEN" si PWD n'est pas vide et que has_target ou has_principal est défini sur "true".
activity_type	metadata.product_event_type	Valeur copiée directement
N/A	metadata.vendor_name	Définissez cette option sur "EFFICIENTIP_DDI".
N/A	metadata.product_name	Définissez cette option sur "EFFICIENTIP_DDI DHCP".
activity_type	network.application_protocol	Définissez sur "DNS" si activity_type correspond à dns et que has_dns_questions est défini sur "true".
message	network.application_protocol	Définir sur "DHCP" si le message correspond à dhcp
de diffusion inverse	network.application_protocol	Définissez cette option sur "DNS" si le processus est "named" ou sur "DHCP" si le processus est "dhcpd".
src_mac	network.dhcp.chaddr	Valeur copiée directement si le processus est "dhcpd"
src_ip	network.dhcp.ciaddr	Valeur copiée directement si dhcp_info est "REQUEST"
giaddr	network.dhcp.giaddr	Valeur copiée directement
dhcp_info	network.dhcp.opcode	Définissez sur "BOOTREQUEST" si dhcp_info est défini sur "INFORM", "DISCOVER" ou "REQUEST". Définissez sur "BOOTREPLY" si dhcp_info est défini sur "OFFER" ou "ACK".
siaddr	network.dhcp.siaddr	Valeur copiée directement
transaction_id	network.dhcp.transaction_id	Valeur convertie en entier non signé si elle n'est pas vide ou si elle n'est pas égale à "0"
dhcp_info	network.dhcp.type	Définie sur "INFORM" si dhcp_info est "INFORM", sur "DISCOVER" si "DISCOVER", sur "OFFER" si "OFFER", sur "REQUEST" si "REQUEST" et sur "ACK" si "PACK"
yiaddr	network.dhcp.yiaddr	Valeur copiée directement
src_ip	network.dhcp.yiaddr	Définie sur src_ip si le processus est "dhcpd" et que yiaddr est vide
answer_rrs	network.dns.answers	Fusionné à partir de l'objet de réponse pour chaque rd dans answer_rrs
N/A	network.dns.questions	Fusionné à partir de l'objet "questions" si "has_dns_questions" est défini sur "true"
rcode	network.dns.response_code	Valeur convertie en entier non signé
response_code	network.dns.response_code	Valeur mappée sur un code numérique et convertie en uinteger
transport	network.ip_protocol	Valeur en majuscules si elle correspond à udp ou tcp
observateur	observer.ip	Valeur convertie en adresse IP
su_cmd	principal.application	Valeur copiée directement si su_cmd est "sudo"
de diffusion inverse	principal.application	Définir sur "process" si le processus est "named" ou "dhcpd"
hôte	principal.asset.hostname	Valeur copiée directement si elle n'est pas vide
nom d'hôte	principal.asset.hostname	Valeur copiée directement si elle n'est pas vide et que l'hôte est vide
src_ip	principal.asset.ip	Valeur copiée directement
asset_id	principal.asset_id	Concaténé sous la forme "ID:" + asset_id
hôte	principal.hostname	Valeur copiée directement si elle n'est pas vide
nom d'hôte	principal.hostname	Valeur copiée directement si elle n'est pas vide et que l'hôte est vide
domain_name	principal.hostname	Valeur copiée directement si la description contient le nom d'hôte et que l'hôte/le nom d'hôte sont vides
src_ip	principal.ip	Valeur copiée directement si la conversion en adresse IP réussit ; extraite de la description si src_ip est vide
src_mac	principal.mac	Valeur copiée directement
src_port	principal.port	Valeur convertie en entier
process_id	principal.process.pid	Valeur copiée directement
source_user	principal.user.userid	Valeur copiée directement
N/A	security_result	Fusionné à partir de sec_result
dst_ip	target.asset.ip	Valeur copiée directement
file_path	target.file.full_path	Valeur copiée directement
dst_ip	target.hostname	Valeur copiée directement si elle ne correspond pas à une adresse IP valide
hôte	target.hostname	Valeur copiée directement si inner_message correspond à des modèles spécifiques
dst_ip	target.ip	Valeur copiée directement
dst_port	target.port	Valeur convertie en entier
target_cmd_line	target.process.command_line	Valeur copiée directement
target_user	target.user.userid	Valeur copiée directement
`RR_msg`	`event.idm.read_only_udm.metadata.description`	Mappé à partir du journal des modifications
`client_id`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`key_office`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`rrset_type`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`syslog_priority`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`updating_zone`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`view_office`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.