Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros de HP Linux

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros del sistema operativo HP-UX a Google Security Operations con el agente de Bindplane.

HP-UX es un sistema operativo UNIX empresarial para servidores HP Integrity y PA-RISC. Los registros del sistema HP-UX capturan eventos de autenticación, ejecución de procesos, datos de auditoría de seguridad y actividad general del sistema. Los archivos de Syslog se almacenan de forma local en /var/adm/syslog/.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y el servidor de HP-UX
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso con privilegios (raíz) al servidor de HP-UX

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia.
Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID del cliente para configurar el exportador del agente de Bindplane.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debería mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de raíz o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml por la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/hp_linux:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: HP_LINUX
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/hpux_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/hp_linux

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- udplog: Es el tipo de receptor según el protocolo:
  - udplog para Syslog a través de UDP
  - tcplog para el registro del sistema TCP
- 0.0.0.0: Es la dirección IP en la que se escuchará:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - Dirección IP específica para escuchar en una interfaz
- 514: Número de puerto en el que se debe escuchar (por ejemplo, 514, 1514, 6514)
Configuración del exportador:
- hp_linux: Nombre descriptivo del exportador
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>: ID del cliente del paso anterior
- endpoint: URL del endpoint regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.
- HP_LINUX: Es el tipo de registro tal como aparece en Chronicle.
- ingestion_labels: Etiquetas opcionales en formato YAML (por ejemplo, env: production)
Configuración de la canalización:
- hpux_to_chronicle: Nombre descriptivo de la canalización

Cómo guardar el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura el reenvío de Syslog de HP-UX

Accede al servidor HP-UX con privilegios de raíz.
Edita el archivo de configuración de syslog:
```
vi /etc/syslog.conf
```
Agrega la siguiente línea para reenviar todos los mensajes de syslog al agente de Bindplane:
```
*.* @<BINDPLANE_AGENT_IP>
```
- Reemplaza <BINDPLANE_AGENT_IP> por la dirección IP del host del agente de Bindplane.
- El prefijo @ envía registros a través de UDP. De forma predeterminada, HP-UX syslog usa UDP.

Para reenviar solo instalaciones específicas, usa líneas individuales:

auth.*  @<BINDPLANE_AGENT_IP>
kern.*  @<BINDPLANE_AGENT_IP>
*.err   @<BINDPLANE_AGENT_IP>

Guarde y cierre el archivo.

Reinicia el daemon de syslog para aplicar los cambios:

/sbin/init.d/syslogd stop
/sbin/init.d/syslogd start

Verifica que se reciban los mensajes de syslog consultando los registros del agente de Bindplane.

Nota: HP-UX almacena los datos de syslog en archivos como /var/adm/syslog/syslog.log, /var/adm/syslog/mail.log y archivos de registro rotados en /var/adm/syslog/. Los archivos /var/adm/btmp y /var/adm/wtmp capturan los intentos de acceso fallidos y los registros de acceso y salida, respectivamente.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`audit_type_label`	`additional.fields`	Combinado
`auth_failures_label`	`additional.fields`	Combinado
`ctladdr_label`	`additional.fields`	Combinado
`da_instance_label`	`additional.fields`	Combinado
`delay_label`	`additional.fields`	Combinado
`dsn_label`	`additional.fields`	Combinado
`event_code_label`	`additional.fields`	Combinado
`mailer_label`	`additional.fields`	Combinado
`msg_id_label`	`additional.fields`	Combinado
`pri_label`	`additional.fields`	Combinado
`raw_severity_label`	`additional.fields`	Combinado
`ssh_version_label`	`additional.fields`	Combinado
`stat_label`	`additional.fields`	Combinado
`suite_label`	`additional.fields`	Combinado
`syslog_priority_label`	`additional.fields`	Combinado
`to_label`	`additional.fields`	Combinado
`tty_label`	`additional.fields`	Combinado
`xdelay_label`	`additional.fields`	Combinado
`process`	`extensions.auth.type`	Asignado: `"sshd", "login"` → `AUTHTYPE_UNSPECIFIED`
`msg`	`metadata.description`	Asignada directamente
`ts`	`metadata.event_timestamp`	Se analizó como `MMM d HH:mm:ss`
`utc`	`metadata.event_timestamp`	Se analizó como `UNIX_MS`
`event_type`	`metadata.event_type`	Asignada directamente
`action_type`	`metadata.product_event_type`	Asignada directamente
`centrifyEventID`	`metadata.product_log_id`	Asignada directamente
`version`	`metadata.product_version`	Asignada directamente
`message`	`network.application_protocol`	Asignado: `(?i)ssh` → `SSH`
`proto`	`network.ip_protocol`	Asignado: `tcp` → `TCP`
`DASessID`	`network.session_id`	Asignada directamente
`process`	`principal.application`	Asignada directamente
`host`	`principal.asset.hostname`	Asignada directamente
`src_ip`	`principal.asset.ip`	Combinado
`host`	`principal.hostname`	Asignada directamente
`src_ip`	`principal.ip`	Combinado
`src_port`	`principal.port`	Asignada directamente
`p_id`	`principal.process.pid`	Asignada directamente
`principal_user`	`principal.user.userid`	Asignada directamente
`user`	`principal.user.userid`	Asignada directamente
`security_result_action`	`security_result.action`	Combinado
`ruleset`	`security_result.rule_name`	Asignada directamente
`log_level`	`security_result.severity`	Asignado: `INFO` → `INFORMATIONAL`
`sev`	`security_result.severity`	Asignado: `(?i)ERROR` → `ERROR`
`log_level`	`security_result.severity_details`	Asignada directamente
`t_domain`	`target.administrative_domain`	Asignada directamente
`t_app`	`target.application`	Asignada directamente
`t_hostname`	`target.asset.hostname`	Asignada directamente
`target_hostname`	`target.asset.hostname`	Asignada directamente
`t_hostname`	`target.hostname`	Asignada directamente
`target_hostname`	`target.hostname`	Asignada directamente
`target_user`	`target.user.userid`	Asignada directamente
`user`	`target.user.userid`	Asignada directamente
N/A	`extensions.auth.type`	Constante: `AUTHTYPE_UNSPECIFIED`
N/A	`metadata.product_name`	Constante: `HP Linux`
N/A	`metadata.vendor_name`	Constante: `HP Linux`
N/A	`network.application_protocol`	Constante: `SSH`
N/A	`network.ip_protocol`	Constante: `TCP`
N/A	`security_result.severity`	Constante: `INFORMATIONAL`

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.