ExtraHop Reveal(x)-Logs erfassen

Parserversion:12.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie ExtraHop Reveal(x)-Logs mit Bindplane in Google Security Operations aufnehmen. ExtraHop Reveal(x) ist eine NDR-Plattform (Network Detection and Response), die Echtzeiteinblicke in den Netzwerkverkehr bietet und es Unternehmen ermöglicht, Bedrohungen zu erkennen, Vorfälle zu untersuchen und auf Sicherheitsereignisse in Cloud- und On-Premise-Umgebungen zu reagieren.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Ein Windows Server 2016 oder höher oder ein Linux-Host mit systemd.
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Berechtigter Zugriff auf die Verwaltungseinstellungen von ExtraHop Reveal(x).

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:sudo systemctl status observiq-otel-collector
  • Windows:C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/extrahop:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EXTRAHOP
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/extrahop_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/extrahop

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • <CUSTOMER_ID>: Ihre Google SecOps-Kundennummer.
  • Aktualisieren Sie creds_file_path auf den Pfad, in dem die Authentifizierungsdatei für die Aufnahme gespeichert wurde:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • Aktualisieren Sie den Wert endpoint mit Ihrem regionalen Endpunkt:
    • USA: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Logs auf Fehler prüfen:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Services Console:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Logs auf Fehler prüfen:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für ExtraHop Reveal(x) konfigurieren

Syslog für Systembenachrichtigungen konfigurieren

  1. Melden Sie sich in den ExtraHop-Einstellungen für die Administration (https://<extrahop-hostname-or-IP-address>/admin) an.
  2. Klicken Sie im Bereich Netzwerkeinstellungen auf Benachrichtigungen.
  3. Klicken Sie auf Syslog.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Ziel: Geben Sie die IP-Adresse des Hosts des Bindplane-Agents ein.
    • Protokoll: Wählen Sie TCP aus.
    • Port: Geben Sie die im Bindplane-Agent konfigurierte Portnummer ein, z. B. 514.
  5. Klicken Sie auf Test Settings (Testeinstellungen) und dann auf Save (Speichern).

Syslog-Weiterleitung für Audit-Logs konfigurieren

  1. Rufen Sie in den ExtraHop-Einstellungen für Administration den Bereich Status and Diagnostics auf.
  2. Klicken Sie auf Audit-Log > Syslog-Einstellungen konfigurieren.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Ziel: Geben Sie die IP-Adresse des Hosts des Bindplane-Agents ein.
    • Protokoll: Wählen Sie TCP aus.
    • Port: Geben Sie 514 ein.
  4. Klicken Sie auf Test Settings (Testeinstellungen) und dann auf Save (Speichern).

Optional: RFC-konformes Syslog-Format konfigurieren

  1. Klicken Sie in den ExtraHop-Einstellungen unter Administration (Verwaltung) auf Running Config (Aktuelle Konfiguration) > Edit Config (Konfiguration bearbeiten).

  2. Fügen Sie unter dem Abschnitt syslog_notification den folgenden Eintrag hinzu:

    "rfc_compliant_format": "rfc5424"

  3. Klicken Sie auf Speichern und dann auf Änderungen übernehmen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
act security_result.action_details Zuordnung von Rohlogwerten.
cat metadata.product_event_type Zuordnung von Rohlogwerten.
deviceExternalId metadata.product_log_id Zuordnung von Rohlogwerten.
dhost target.hostname Zuordnung von Rohlogwerten.
dpt target.port Zuordnung von Rohlogwerten.
dst target.ip Zuordnung von Rohlogwerten.
duser target.user.userid Zuordnung von Rohlogwerten.
msg metadata.description Zuordnung von Rohlogwerten.
proto network.ip_protocol Zuordnung von Rohlogwerten.
severity security_result.severity Wird auf Grundlage des CEF-Schweregradwerts zugeordnet.
shost principal.hostname Zuordnung von Rohlogwerten.
spt principal.port Zuordnung von Rohlogwerten.
src principal.ip Zuordnung von Rohlogwerten.
suser principal.user.userid Zuordnung von Rohlogwerten.
– metadata.log_type Legen Sie EXTRAHOP fest.
– metadata.product_name Legen Sie Reveal(x) fest.
– metadata.vendor_name Legen Sie ExtraHop fest.
tar_ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
tar_port event.idm.read_only_udm.target.port Aus dem Änderungsprotokoll zugeordnet
extrahop_detail event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
alert_value event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
jsonPayload.target.ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
jsonPayload.principal.mac event.idm.read_only_udm.principal.mac und event.idm.read_only_udm.principal.asset.mac Aus dem Änderungsprotokoll zugeordnet
jsonPayload.target.mac event.idm.read_only_udm.target.mac und event.idm.read_only_udm.target.asset.mac Aus dem Änderungsprotokoll zugeordnet
jsonPayload.principal.hostname event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
jsonPayload.target.hostname event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus dem Änderungsprotokoll zugeordnet
jsonPayload.vulnerability.cvss_vector event.idm.read_only_udm.security_result.about.asset.vulnerabilities.cvss_vector Aus dem Änderungsprotokoll zugeordnet
suspicious_domain event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus dem Änderungsprotokoll zugeordnet
reference event.idm.read_only_udm.security_result.about.url Aus dem Änderungsprotokoll zugeordnet
sid event.idm.read_only_udm.security_result.rule_id Aus dem Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.metadata.product_log_id Aus dem Änderungsprotokoll zugeordnet
description event.idm.read_only_udm.metadata.description Aus dem Änderungsprotokoll zugeordnet
type event.idm.read_only_udm.metadata.product_event_type Aus dem Änderungsprotokoll zugeordnet
start_time event.idm.read_only_udm.metadata.event_timestamp und event.idm.read_only_udm.security_result.first_discovered_time Aus dem Änderungsprotokoll zugeordnet
update_time event.idm.read_only_udm.security_result.last_updated_time Aus dem Änderungsprotokoll zugeordnet
end_time event.idm.read_only_udm.security_result.last_discovered_time Aus dem Änderungsprotokoll zugeordnet
title event.idm.read_only_udm.security_result.summary Aus dem Änderungsprotokoll zugeordnet
risk_score event.idm.read_only_udm.security_result.risk_score Aus dem Änderungsprotokoll zugeordnet
categories event.idm.read_only_udm.security_result.category_details Aus dem Änderungsprotokoll zugeordnet
participant.endpoint event.idm.read_only_udm.principal.asset.category Aus dem Änderungsprotokoll zugeordnet
participant.object_id event.idm.read_only_udm.principal.asset.product_object_id Aus dem Änderungsprotokoll zugeordnet
participant.object_value event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
participant.hostname event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
participant.username event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
participant.endpoint event.idm.read_only_udm.target.asset.category Aus dem Änderungsprotokoll zugeordnet
participant.object_id event.idm.read_only_udm.target.asset.product_object_id Aus dem Änderungsprotokoll zugeordnet
participant.object_value event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
participant.hostname event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus dem Änderungsprotokoll zugeordnet
participant.username event.idm.read_only_udm.target.user.userid Aus dem Änderungsprotokoll zugeordnet
mitre_tactics.id event.idm.read_only_udm.security_result.attack_details.tactics.id Aus dem Änderungsprotokoll zugeordnet
mitre_tactics.name event.idm.read_only_udm.security_result.attack_details.tactics.name Aus dem Änderungsprotokoll zugeordnet
mitre_techniques.id event.idm.read_only_udm.security_result.attack_details.techniques.id Aus dem Änderungsprotokoll zugeordnet
mitre_techniques.name event.idm.read_only_udm.security_result.attack_details.techniques.name Aus dem Änderungsprotokoll zugeordnet
create_time event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
url event.idm.read_only_udm.url_back_to_product Aus dem Änderungsprotokoll zugeordnet
time event.idm.read_only_udm.metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
security_result.severity CRITICAL Aus dem Änderungsprotokoll zugeordnet
security_result.severity ERROR Aus dem Änderungsprotokoll zugeordnet
security_result.severity HIGH Aus dem Änderungsprotokoll zugeordnet
security_result.severity MEDIUM Aus dem Änderungsprotokoll zugeordnet
security_result.severity LOW Aus dem Änderungsprotokoll zugeordnet
security_result.severity INFORMATIONAL Aus dem Änderungsprotokoll zugeordnet
jsonPayload.msg metadata.description Aus dem Änderungsprotokoll zugeordnet
jsonPayload.srcdata principal.ip Aus dem Änderungsprotokoll zugeordnet
jsonPayload.dstdata target.ip Aus dem Änderungsprotokoll zugeordnet
jsonPayload.dhost target.hostname Aus dem Änderungsprotokoll zugeordnet
jsonPayload.shost principal.hostname Aus dem Änderungsprotokoll zugeordnet
insertId additional.fields Aus dem Änderungsprotokoll zugeordnet
jsonPayload.cn2 security_result.risk_score Aus dem Änderungsprotokoll zugeordnet
jsonPayload.name security_result.summary Aus dem Änderungsprotokoll zugeordnet
jsonPayload.rt metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
jsonPayload.start", "jsonPayload.end" and "logName additional.fields Aus dem Änderungsprotokoll zugeordnet
resource.labels.method" and "resource.labels.service target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
jsonPayload.cat" and "jsonPayload.cs5 security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
dst target.asset.ip Aus dem Änderungsprotokoll zugeordnet
url principal.url Aus dem Änderungsprotokoll zugeordnet
title", "id", "description_format", "victims.name", "victims.external", "offenders.name", "offenders.externaal", "victim_primary.name", victim_primary.external", "offender_primary.name", and "offender_primary.external additional.fields Aus dem Änderungsprotokoll zugeordnet
dst.type target.resource_type Aus dem Änderungsprotokoll zugeordnet
dst.hostname target.hostname Aus dem Änderungsprotokoll zugeordnet
dst.ipaddr target.ip Aus dem Änderungsprotokoll zugeordnet
dst.role target_resource.attribute.roles Aus dem Änderungsprotokoll zugeordnet
dst.device.macaddr target.mac Aus dem Änderungsprotokoll zugeordnet
src.type principal.resource_type Aus dem Änderungsprotokoll zugeordnet
src.hostname principal.hostname Aus dem Änderungsprotokoll zugeordnet
src.ipaddr principal.ip Aus dem Änderungsprotokoll zugeordnet
src.role principal_resource.attribute.roles Aus dem Änderungsprotokoll zugeordnet
src.device.macaddr principal.mac Aus dem Änderungsprotokoll zugeordnet
api.ip", "api.status", "api.id", "api.start_time", "api.mod_time", "api.categories", "api.update_time", and "api.ticket_id security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
victims.ipaddr principal.ip Aus dem Änderungsprotokoll zugeordnet
offenders.ipaddr target.ip Aus dem Änderungsprotokoll zugeordnet
victim_primary.ipaddr principal.ip Aus dem Änderungsprotokoll zugeordnet
offender_primary.ipaddr target.ip Aus dem Änderungsprotokoll zugeordnet
api.participants.role", "api.participants.object_id", "api.participants.object_type", and "api.participants.external section_details.fields Aus dem Änderungsprotokoll zugeordnet
risk_score" and "api.risk_score security_result.risk_score Aus dem Änderungsprotokoll zugeordnet
src.endpoint" and "src.device.oid principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
dst.endpoint" and "dst.device.oid target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
dst.device.ipaddr target.ip Aus dem Änderungsprotokoll zugeordnet
src.device.ipaddr principal.ip Aus dem Änderungsprotokoll zugeordnet
categories_array" and "categories_id additional.fields Aus dem Änderungsprotokoll zugeordnet
src principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
device_version metadata.product_version Aus dem Änderungsprotokoll zugeordnet
signature security_result.summary Aus dem Änderungsprotokoll zugeordnet
events.vulnerability.description metadata.description Aus dem Änderungsprotokoll zugeordnet
detectionID security_result.rule_labels Aus dem Änderungsprotokoll zugeordnet
event_type STATUS_UPDATE Aus dem Änderungsprotokoll zugeordnet
prin_url principal.url Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten