Collecter les journaux de l'antivirus ESET

Version de l'analyseur : 6.0

Compatible avec :

Ce document explique comment ingérer les journaux de l'antivirus ESET dans Google Security Operations à l'aide de l'agent Bindplane.

ESET est une solution de sécurité des points de terminaison qui génère des messages syslog pour les détections de menaces, les événements de pare-feu, les alertes HIPS et les actions d'audit. L'analyseur extrait les paires clé-valeur du syslog au format JSON et les mappe au modèle de données unifié (UDM).

Avant de commencer

  • Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps

  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd

  • Connectivité réseau entre l'agent BindPlane et le serveur ESET PROTECT

  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.

  • Accès privilégié à la console ESET PROTECT (sur site ou dans le cloud)

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.

  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/eset_av:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: ESET_AV
    raw_log_field: body

service:
  pipelines:
    logs/eset_av_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/eset_av

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite un accès racine sous Linux ; utilisez 1514 pour un accès non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/eset_av:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ESET_AV
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Vérifiez les journaux pour détecter d'éventuelles erreurs :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Vérifiez les journaux pour détecter d'éventuelles erreurs :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer syslog sur ESET PROTECT sur site

  1. Connectez-vous à la console Web ESET PROTECT.
  2. Cliquez sur More > Settings > Advanced Settings > Syslog Server (Plus > Paramètres > Paramètres avancés > Serveur Syslog).
  3. Activez l'option Activer Syslog.
  4. Fournissez les informations de configuration suivantes :
    • Hôte : saisissez l'adresse IP de l'agent BindPlane.
    • Port : saisissez 514.
    • Format : sélectionnez Syslog.
    • Transport : sélectionnez UDP.
    • Niveau de détail du journal de trace : sélectionnez Informations.
    • Export logs to Syslog (Exporter les journaux vers Syslog) : définissez l'option sur Enable (Activer).
    • Format des journaux exportés : sélectionnez JSON.
  5. Cliquez sur Enregistrer.

Configurer syslog sur ESET PROTECT Cloud

  1. Connectez-vous à la console ESET PROTECT Cloud.
  2. Cliquez sur More > Settings > Syslog Server (Plus > Paramètres > Serveur Syslog).
  3. Activez l'option Activer Syslog.
  4. Fournissez les informations de configuration suivantes :
    • Format de la charge utile : sélectionnez JSON.
    • Format de l'enveloppe : sélectionnez Syslog.
    • Niveau de journalisation minimal : sélectionnez Informations.
    • Types d'événements à consigner : sélectionnez Tous (ou des types spécifiques, si nécessaire).
    • Adresse IP de destination : saisissez l'adresse IP de l'agent BindPlane.
    • Port : saisissez 514.
  5. Cliquez sur Enregistrer.

Table de mappage UDM

Champ du journal Mappage UDM Logique
compte principal.administrative_domain Extrait du champ account à l'aide du modèle grok %{DATA:admin_domain}\\\\%{WORD:user_id}.
compte principal.user.userid Extrait du champ account à l'aide du modèle grok %{DATA:admin_domain}\\\\%{WORD:user_id}.
action security_result.action Si action est Block (non sensible à la casse), la valeur est définie sur BLOCK. Si action est Start (non sensible à la casse), la valeur est définie sur ALLOW.
action_taken security_result.action_details Mappé directement à partir du champ action_taken.
computer_severity_score security_result.detection_fields Une paire clé-valeur est créée avec la clé computer_severity_score et la valeur du champ computer_severity_score. Cette paire est ajoutée au tableau security_result.detection_fields.
important security_result.description Mappé directement à partir du champ detail.
domaine principal.domain.name Mappé directement à partir du champ domain.
eialarmid security_result.detection_fields Une paire clé-valeur est créée avec la clé eialarmid et la valeur du champ eialarmid. Cette paire est ajoutée au tableau security_result.detection_fields.
eiconsolelink principal.url Mappé directement à partir du champ eiconsolelink.
événement metadata.description Renommage de event en event_desc et mappage vers metadata.description.
event_type metadata.product_event_type Mappé directement à partir du champ event_type.
group_name principal.group.group_display_name Mappé directement à partir du champ group_name.
hash principal.file.sha1 Converties en minuscules. Si la valeur en minuscules correspond à l'expression régulière SHA-1, elle est mappée à principal.file.sha1.
hash principal.resource.attribute.labels Une paire clé-valeur est créée avec la clé hash et la valeur du champ hash. Cette paire est ajoutée au tableau principal.resource.attribute.labels.
nom d'hôte principal.asset.hostname Mappé directement à partir du champ hostname.
nom d'hôte principal.hostname Mappé directement à partir du champ hostname.
entrant network.direction Si la valeur est "true", définissez-la sur INBOUND. Si la valeur est "false", définissez-la sur OUTBOUND.
ipv4 target.asset.ip Mappé directement à partir du champ ipv4 si target_address est vide.
ipv4 target.ip Mappé directement à partir du champ ipv4 si target_address est vide.
json_data Analysé au format JSON pour extraire différents champs.
message Analysé à l'aide de grok pour extraire le code temporel, l'hôte et json_data.
need_restart additional.fields Une paire clé-valeur est créée avec la clé need_restart et la valeur du champ need_restart (convertie en chaîne). Cette paire est ajoutée au tableau additional.fields.
os_name principal.platform Si la valeur contient Window ou window (non sensible à la casse), définissez-la sur WINDOWS. Si la valeur contient Linux ou linux (non sensible à la casse), définissez-la sur LINUX. Si la valeur contient Mac ou mac (non sensible à la casse), définissez-la sur MAC.
os_name principal.platform_version Mappé directement à partir du champ os_name.
process_name principal.process.file.full_path Mappé directement à partir du champ process_name. Si ce champ est vide, il prend la valeur de processname.
processname principal.process.file.full_path Si process_name est vide, mappé sur process_name.
protocol network.ip_protocol Converties en majuscules. Si la valeur en majuscules correspond à des protocoles connus (TCP, UDP, ICMP, etc.), elle est mappée à network.ip_protocol.
résultat security_result.summary Mappé directement à partir du champ result.
rulename security_result.rule_name Mappé directement à partir du champ rulename.
scan_id security_result.detection_fields Une paire clé-valeur est créée avec la clé scan_id et la valeur du champ scan_id. Cette paire est ajoutée au tableau security_result.detection_fields.
scanner_id security_result.detection_fields Une paire clé-valeur est créée avec la clé scanner_id et la valeur du champ scanner_id. Cette paire est ajoutée au tableau security_result.detection_fields.
de gravité, security_result.severity Si la valeur contient Warn ou warn (non sensible à la casse), définissez-la sur HIGH. Si la valeur contient Info ou info (non sensible à la casse), définissez-la sur LOW.
severity_score security_result.detection_fields Une paire clé-valeur est créée avec la clé severity_score et la valeur du champ severity_score. Cette paire est ajoutée au tableau security_result.detection_fields.
source_address principal.asset.ip Mappé directement à partir du champ source_address.
source_address principal.ip Mappé directement à partir du champ source_address.
source_port principal.port Converti en chaîne, puis en entier. Mappé sur principal.port.
source_uuid metadata.product_log_id Mappé directement à partir du champ source_uuid.
cible Renommé en target1.
target_address target.asset.ip Mappé directement à partir du champ target_address.
target_address target.ip Mappé directement à partir du champ target_address.
target_port target.port Converti en chaîne, puis en entier. Mappé sur target.port.
threat_handled security_result.detection_fields Une paire clé-valeur est créée avec la clé threat_handled et la valeur du champ threat_handled (convertie en chaîne). Cette paire est ajoutée au tableau security_result.detection_fields.
threat_name security_result.threat_name Mappé directement à partir du champ threat_name.
threat_type security_result.threat_id Mappé directement à partir du champ threat_type.
heure metadata.event_timestamp Utilisé pour renseigner metadata.event_timestamp.
nom d'utilisateur principal.user.userid Mappé directement à partir du champ username si user_id et user sont vides.
utilisateur principal.user.userid Mappé directement à partir du champ user si user_id est vide.
metadata.event_type Si source_address et target_address ne sont pas vides, définissez-les sur NETWORK_CONNECTION. Sinon, si has_user est défini sur "true", définissez-le sur USER_UNCATEGORIZED. Sinon, si has_principal est défini sur "true", définissez-le sur STATUS_UPDATE. Sinon, définissez-le sur GENERIC_EVENT.
metadata.log_type Variable définie sur ESET_AV.
metadata.product_name Variable définie sur ESET_AV.
metadata.vendor_name Variable définie sur ESET_AV.
intermediary.hostname La valeur de ce champ est extraite du champ host du message de journal.
principal.user.userid Si le champ account n'est pas vide, l'analyseur extrait l'ID utilisateur du champ account à l'aide d'un modèle grok. Sinon, il vérifie si le champ user n'est pas vide. Si c'est le cas, il prend sa valeur. Si account et user sont tous deux vides, il vérifie si le champ username n'est pas vide. Si c'est le cas, il prend sa valeur.
timestamp event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
event_id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
process_pid event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
desc event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
occurred event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
threatHandled event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
actionTaken event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
threatName event.idm.read_only_udm.security_result.threat_name Mappé à partir du journal des modifications
threatType event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
target target.resource.attribute.labels Mappé à partir du journal des modifications
object_uri target.url Mappé à partir du journal des modifications
severity security_result.severity_details Mappé à partir du journal des modifications
threat_flags security_result.detection_fields Mappé à partir du journal des modifications
category security_result.category_details Mappé à partir du journal des modifications
object_type" and "engine_version principal.resource.attribute.labels Mappé à partir du journal des modifications
circumstances security_result.description Mappé à partir du journal des modifications
security_result_action BLOCK Mappé à partir du journal des modifications
security_result_action ALLOW Mappé à partir du journal des modifications
scan_id", "scanner_id", and "threat_handled security_result.detection_fields Mappé à partir du journal des modifications
group_name principal.group_display_name Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.