Raccogliere i log di ExtraHop Reveal(x)

Versione parser: 12.0

Supportato in:

Questo documento spiega come importare i log di ExtraHop Reveal(x) in Google Security Operations utilizzando Bindplane. ExtraHop Reveal(x) è una piattaforma di rilevamento e risposta della rete (NDR) che fornisce visibilità in tempo reale sul traffico di rete, consentendo alle organizzazioni di rilevare le minacce, esaminare gli incidenti e rispondere agli eventi di sicurezza negli ambienti cloud e on-premise.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Un Windows Server 2016 o versioni successive o un host Linux con systemd.
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso con privilegi alle impostazioni di amministrazione di ExtraHop Reveal(x).

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux: sudo systemctl status observiq-otel-collector
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/extrahop:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: EXTRAHOP
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/extrahop_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/extrahop

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • <CUSTOMER_ID>: il tuo ID cliente Google SecOps.
  • Aggiorna creds_file_path al percorso in cui è stato salvato il file di autenticazione dell'acquisizione:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • Aggiorna il valore endpoint con l'endpoint regionale:
    • Stati Uniti: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare l'inoltro di Syslog di ExtraHop Reveal(x)

Configura syslog delle notifiche di sistema

  1. Accedi alle impostazioni di amministrazione di ExtraHop (https://<extrahop-hostname-or-IP-address>/admin).
  2. Nella sezione Impostazioni di rete, fai clic su Notifiche.
  3. Fai clic su Syslog.
  4. Fornisci i seguenti dettagli di configurazione:
    • Destinazione: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
    • Protocollo: seleziona TCP.
    • Porta: inserisci il numero di porta configurato nell'agente Bindplane (ad esempio, 514).
  5. Fai clic su Testa impostazioni e poi su Salva.

Configura l'inoltro di syslog degli audit log

  1. Nelle impostazioni di amministrazione di ExtraHop, vai alla sezione Stato e diagnostica.
  2. Fai clic su Audit Log (Log di controllo) > Configure Syslog Settings (Configura impostazioni Syslog).
  3. Fornisci i seguenti dettagli di configurazione:
    • Destinazione: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
    • Protocollo: seleziona TCP.
    • Porta: inserisci 514.
  4. Fai clic su Testa impostazioni e poi su Salva.

(Facoltativo) Configura il formato syslog conforme a RFC

  1. Nelle impostazioni di Amministrazione di ExtraHop, fai clic su Running Config > Edit Config.

  2. Aggiungi la seguente voce alla sezione syslog_notification:

    "rfc_compliant_format": "rfc5424"

  3. Fai clic su Salva e poi su Applica modifiche.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
act security_result.action_details Mappatura dei valori dei log non elaborati.
cat metadata.product_event_type Mappatura dei valori dei log non elaborati.
deviceExternalId metadata.product_log_id Mappatura dei valori dei log non elaborati.
dhost target.hostname Mappatura dei valori dei log non elaborati.
dpt target.port Mappatura dei valori dei log non elaborati.
dst target.ip Mappatura dei valori dei log non elaborati.
duser target.user.userid Mappatura dei valori dei log non elaborati.
msg metadata.description Mappatura dei valori dei log non elaborati.
proto network.ip_protocol Mappatura dei valori dei log non elaborati.
severity security_result.severity Mappato in base al valore di gravità CEF.
shost principal.hostname Mappatura dei valori dei log non elaborati.
spt principal.port Mappatura dei valori dei log non elaborati.
src principal.ip Mappatura dei valori dei log non elaborati.
suser principal.user.userid Mappatura dei valori dei log non elaborati.
N/D metadata.log_type Imposta su EXTRAHOP.
N/D metadata.product_name Imposta su Reveal(x).
N/D metadata.vendor_name Imposta su ExtraHop.
tar_ip event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
tar_port event.idm.read_only_udm.target.port Mappato dal log delle modifiche
extrahop_detail event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
alert_value event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
jsonPayload.target.ip event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
jsonPayload.principal.mac event.idm.read_only_udm.principal.mac e event.idm.read_only_udm.principal.asset.mac Mappato dal log delle modifiche
jsonPayload.target.mac event.idm.read_only_udm.target.mac e event.idm.read_only_udm.target.asset.mac Mappato dal log delle modifiche
jsonPayload.principal.hostname event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
jsonPayload.target.hostname event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
jsonPayload.vulnerability.cvss_vector event.idm.read_only_udm.security_result.about.asset.vulnerabilities.cvss_vector Mappato dal log delle modifiche
suspicious_domain event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
reference event.idm.read_only_udm.security_result.about.url Mappato dal log delle modifiche
sid event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
id event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
description event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
type event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
start_time event.idm.read_only_udm.metadata.event_timestamp e event.idm.read_only_udm.security_result.first_discovered_time Mappato dal log delle modifiche
update_time event.idm.read_only_udm.security_result.last_updated_time Mappato dal log delle modifiche
end_time event.idm.read_only_udm.security_result.last_discovered_time Mappato dal log delle modifiche
title event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
risk_score event.idm.read_only_udm.security_result.risk_score Mappato dal log delle modifiche
categories event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
participant.endpoint event.idm.read_only_udm.principal.asset.category Mappato dal log delle modifiche
participant.object_id event.idm.read_only_udm.principal.asset.product_object_id Mappato dal log delle modifiche
participant.object_value event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
participant.hostname event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
participant.username event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
participant.endpoint event.idm.read_only_udm.target.asset.category Mappato dal log delle modifiche
participant.object_id event.idm.read_only_udm.target.asset.product_object_id Mappato dal log delle modifiche
participant.object_value event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
participant.hostname event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
participant.username event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
mitre_tactics.id event.idm.read_only_udm.security_result.attack_details.tactics.id Mappato dal log delle modifiche
mitre_tactics.name event.idm.read_only_udm.security_result.attack_details.tactics.name Mappato dal log delle modifiche
mitre_techniques.id event.idm.read_only_udm.security_result.attack_details.techniques.id Mappato dal log delle modifiche
mitre_techniques.name event.idm.read_only_udm.security_result.attack_details.techniques.name Mappato dal log delle modifiche
create_time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
url event.idm.read_only_udm.url_back_to_product Mappato dal log delle modifiche
time event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
security_result.severity CRITICAL Mappato dal log delle modifiche
security_result.severity ERROR Mappato dal log delle modifiche
security_result.severity HIGH Mappato dal log delle modifiche
security_result.severity MEDIUM Mappato dal log delle modifiche
security_result.severity LOW Mappato dal log delle modifiche
security_result.severity INFORMATIONAL Mappato dal log delle modifiche
jsonPayload.msg metadata.description Mappato dal log delle modifiche
jsonPayload.srcdata principal.ip Mappato dal log delle modifiche
jsonPayload.dstdata target.ip Mappato dal log delle modifiche
jsonPayload.dhost target.hostname Mappato dal log delle modifiche
jsonPayload.shost principal.hostname Mappato dal log delle modifiche
insertId additional.fields Mappato dal log delle modifiche
jsonPayload.cn2 security_result.risk_score Mappato dal log delle modifiche
jsonPayload.name security_result.summary Mappato dal log delle modifiche
jsonPayload.rt metadata.event_timestamp Mappato dal log delle modifiche
jsonPayload.start", "jsonPayload.end" and "logName additional.fields Mappato dal log delle modifiche
resource.labels.method" and "resource.labels.service target.resource.attribute.labels Mappato dal log delle modifiche
jsonPayload.cat" and "jsonPayload.cs5 security_result.detection_fields Mappato dal log delle modifiche
dst target.asset.ip Mappato dal log delle modifiche
url principal.url Mappato dal log delle modifiche
title", "id", "description_format", "victims.name", "victims.external", "offenders.name", "offenders.externaal", "victim_primary.name", victim_primary.external", "offender_primary.name", and "offender_primary.external additional.fields Mappato dal log delle modifiche
dst.type target.resource_type Mappato dal log delle modifiche
dst.hostname target.hostname Mappato dal log delle modifiche
dst.ipaddr target.ip Mappato dal log delle modifiche
dst.role target_resource.attribute.roles Mappato dal log delle modifiche
dst.device.macaddr target.mac Mappato dal log delle modifiche
src.type principal.resource_type Mappato dal log delle modifiche
src.hostname principal.hostname Mappato dal log delle modifiche
src.ipaddr principal.ip Mappato dal log delle modifiche
src.role principal_resource.attribute.roles Mappato dal log delle modifiche
src.device.macaddr principal.mac Mappato dal log delle modifiche
api.ip", "api.status", "api.id", "api.start_time", "api.mod_time", "api.categories", "api.update_time", and "api.ticket_id security_result.detection_fields Mappato dal log delle modifiche
victims.ipaddr principal.ip Mappato dal log delle modifiche
offenders.ipaddr target.ip Mappato dal log delle modifiche
victim_primary.ipaddr principal.ip Mappato dal log delle modifiche
offender_primary.ipaddr target.ip Mappato dal log delle modifiche
api.participants.role", "api.participants.object_id", "api.participants.object_type", and "api.participants.external section_details.fields Mappato dal log delle modifiche
risk_score" and "api.risk_score security_result.risk_score Mappato dal log delle modifiche
src.endpoint" and "src.device.oid principal.resource.attribute.labels Mappato dal log delle modifiche
dst.endpoint" and "dst.device.oid target.resource.attribute.labels Mappato dal log delle modifiche
dst.device.ipaddr target.ip Mappato dal log delle modifiche
src.device.ipaddr principal.ip Mappato dal log delle modifiche
categories_array" and "categories_id additional.fields Mappato dal log delle modifiche
src principal.asset.ip Mappato dal log delle modifiche
device_version metadata.product_version Mappato dal log delle modifiche
signature security_result.summary Mappato dal log delle modifiche
events.vulnerability.description metadata.description Mappato dal log delle modifiche
detectionID security_result.rule_labels Mappato dal log delle modifiche
event_type STATUS_UPDATE Mappato dal log delle modifiche
prin_url principal.url Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.