Esta página foi traduzida pela API Cloud Translation.

Recolha registos de auditoria do HSM Entrust nShield

Suportado em:

Google secops SIEM

Este documento explica como carregar registos de auditoria do HSM Entrust nShield para o Google Security Operations através do Bindplane.

Antes de começar

Certifique-se de que cumpre os seguintes pré-requisitos:

Uma instância do Google SecOps
Um anfitrião Windows 2016 ou posterior, ou Linux com systemd
Se estiver a ser executado através de um proxy, certifique-se de que as portas da firewall estão abertas de acordo com os requisitos do agente Bindplane
Acesso privilegiado à consola de gestão do HSM nShield da Entrust
Um mundo de segurança inicializado com capacidade de registo de auditoria

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

Inicie sessão na consola Google SecOps.
Aceda a Definições do SIEM > Agentes de recolha.
Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

Inicie sessão na consola Google SecOps.
Aceda a Definições do SIEM > Perfil.
Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instale o agente do Bindplane no seu sistema operativo Windows ou Linux de acordo com as seguintes instruções.

Instalação de janelas

Abra a Linha de comandos ou o PowerShell como administrador.

Execute o seguinte comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de raiz ou sudo.

Execute o seguinte comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte este guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

Aceda ao ficheiro de configuração:
1. Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
2. Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

Edite o ficheiro config.yaml da seguinte forma:

receivers:
  udplog:
    # nShield HSM only supports UDP for audit logs
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Use ENTRUST_HSM as the log type
    log_type: 'ENTRUST_HSM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <customer_id> pelo ID de cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar o agente Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configure o encaminhamento de Syslog no HSM Entrust nShield

O método de configuração depende do modelo de implementação do HSM nShield. O registo de auditoria tem de estar ativado na criação do mundo de segurança ou quando um HSM é integrado num mundo de segurança existente.

Opção 1: configure através do utilitário config-auditlogging (recomendado)

No computador cliente com o software Security World instalado, execute o seguinte comando:
```
config-auditlogging --server <BINDPLANE_IP> --port 514 --enable-syslog
```
- Substitua <BINDPLANE_IP> pelo endereço IP do anfitrião do agente do Bindplane.
As alterações de configuração são escritas no ficheiro de configuração do servidor físico.
Reinicie o servidor para aplicar as alterações:
- Linux: /opt/nfast/sbin/init.d-ncipher restart
- Windows: net stop "nfast server" && net start "nfast server"

Opção 2: configure através do ficheiro de configuração do servidor

Edite o ficheiro de configuração do hardserver:
- Linux: /opt/nfast/kmdata/config/config
- Windows: %NFAST_KMDATA%\config\config
Adicione ou modifique as seguintes entradas no ficheiro de configuração:
```
auditlog_addr=<BINDPLANE_IP>
auditlog_port=514
```
- Substitua <BINDPLANE_IP> pelo endereço IP do anfitrião do agente do Bindplane.
Guarde o ficheiro de configuração.
Reinicie o servidor para aplicar as alterações:
- Linux: /opt/nfast/sbin/init.d-ncipher restart
- Windows: net stop "nfast server" && net start "nfast server"

Opção 3: configure para HSMs ligados à rede (nShield Connect)

Para HSMs ligados à rede, pode enviar a configuração remotamente:

Certifique-se de que o envio de configurações está ativado no RFS (sistema de ficheiros remoto).

Copie o ficheiro de configuração do HSM:

cp /opt/nfast/kmdata/hsm-ESN/config/config /opt/nfast/kmdata/hsm-ESN/config/config.new

Edite config.new para adicionar a configuração do registo de auditoria:
```
[audit_logging]
auditlog_addr=<BINDPLANE_IP>
auditlog_port=514
```
Envie a configuração para o HSM:
```
cfg-pushnethsm --address=<HSM_IP> /opt/nfast/kmdata/hsm-ESN/config/config.new
```
- Substitua <HSM_IP> pelo endereço IP do seu HSM nShield Connect.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.