Collecter les journaux iBoss Web Proxy

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux iBoss Web Proxy dans Google Security Operations à l'aide de Bindplane.

iBoss est une plate-forme SASE (Secure Access Service Edge) zéro confiance cloud natif qui fournit des fonctionnalités d'accès à Internet sécurisé, de passerelle Web sécurisée (SWG), de CASB, de ZTNA et de DLP. Il achemine le trafic via son infrastructure cloud pour appliquer des règles de sécurité et une protection contre les menaces cohérentes aux utilisateurs, où qu'ils se trouvent.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
• Connectivité réseau entre l'agent BindPlane et la plate-forme cloud iBoss
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
• Accès administrateur au portail iBoss avec les autorisations nécessaires pour configurer la place de marché des intégrations

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte BindPlane et effectuez une rotation de la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API Ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu l'arrêt le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM > Profil.
3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendez la fin de l'installation.

4. Vérifiez l'installation en exécutant la commande suivante :

   sc query observiq-otel-collector
   

   Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation de Linux

1. Ouvrez un terminal avec des privilèges root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendez la fin de l'installation.

4. Vérifiez l'installation en exécutant la commande suivante :

   sudo systemctl status observiq-otel-collector
   

   Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite la version 1.106.0 ou ultérieure du collecteur Bindplane. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

• Linux :

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows :

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifiez le fichier de configuration

• Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/iboss_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: IBOSS_WEBPROXY
      raw_log_field: body
      ingestion_labels:
        log_source: iboss
  
  service:
    pipelines:
      logs/iboss_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/iboss_webproxy
  

Paramètres de configuration

Remplacez les espaces réservés suivants :

• Configuration du récepteur :

  • listen_address : adresse IP et port sur lesquels l'agent Bindplane écoute les messages syslog entrants. Utilisez 0.0.0.0 pour écouter sur toutes les interfaces. Le port doit correspondre à celui configuré dans les paramètres de transfert syslog iBoss.
  • Si iBoss est configuré pour envoyer des journaux via TCP, remplacez le récepteur udplog par tcplog :

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  

  Remarque : Mettez à jour la référence du destinataire dans la section service.pipelines en conséquence.

• Configuration de l'exportateur :

  • <CREDS_FILE_PATH> : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
    • Linux : /opt/observiq-otel-collector/ingestion-auth.json
    • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID> : ID client Google SecOps copié précédemment.
  • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
  • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
  • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/iboss_webproxy:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: IBOSS_WEBPROXY
      raw_log_field: body
      ingestion_labels:
        log_source: iboss
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :

• Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
• Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux, procédez comme suit :

1. Exécutez la commande suivante :

   sudo systemctl restart observiq-otel-collector
   

2. Vérifiez que le service est en cours d'exécution :

   sudo systemctl status observiq-otel-collector
   

3. Recherchez les erreurs dans les journaux :

   sudo journalctl -u observiq-otel-collector -f
   

Pour redémarrer l'agent BindPlane sous Windows, procédez comme suit :

1. Choisissez l'une des options suivantes :

   • Invite de commande ou PowerShell en tant qu'administrateur :

     net stop observiq-otel-collector && net start observiq-otel-collector
     

   • Console Services :

     1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
     2. Recherchez observIQ OpenTelemetry Collector.
     3. Effectuez un clic droit et sélectionnez Redémarrer.

2. Vérifiez que le service est en cours d'exécution :

   sc query observiq-otel-collector
   

3. Recherchez les erreurs dans les journaux :

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurer le transfert syslog iBoss

1. Connectez-vous au portail iBoss.
2. Accédez à la place de marché des intégrations, puis sélectionnez Transfert de journaux dans le menu de gauche et cliquez sur le bouton Configurer associé au widget Transfert de journaux Syslog.
3. Cliquez sur le bouton Ajouter une intégration pour ajouter l'intégration Syslog.

4. Fournissez les informations de configuration suivantes :

   • Transférer depuis : sélectionnez Reporter dans le menu déroulant.
   • Sélectionner une base de données de reporting : sélectionnez la base de données de reporting.
   • Nom du service : saisissez un nom descriptif pour l'intégration (par exemple, SecOps-Bindplane).
   • Activer le service : définissez cette option sur Activé.
   • Type de journal : sélectionnez URL dans le menu déroulant. Cela permet de capturer les journaux de trafic du proxy Web (requêtes HTTP/HTTPS). Pour transférer d'autres catégories d'événements, telles que la protection contre la perte de données ou le DNS, configurez des intégrations distinctes avec le type de journal correspondant.

   • Type de protocole : sélectionnez UDP ou TCP dans le menu déroulant.

     Remarque : Le protocole doit correspondre au type de récepteur configuré dans le fichier config.yaml de l'agent Bindplane (udplog pour UDP, tcplog pour TCP). Le protocole TCP est recommandé pour les environnements de production, car il fournit une distribution fiable et ordonnée.

   • Niveau de l'installation Syslog : sélectionnez Installation Syslog dans le menu déroulant.

   • Groupe de rapports : sélectionnez Tous dans le menu déroulant.

   • Nom d'hôte : saisissez l'adresse IP ou le nom de domaine complet de l'hôte de l'agent Bindplane.

   • Port : saisissez le numéro de port correspondant au port listen_address dans la configuration de l'agent Bindplane (par exemple, 514).

     Remarque : Sous Linux, le port 514 est un port privilégié. Si l'agent Bindplane s'exécute en tant qu'utilisateur non racine, utilisez un port non privilégié (par exemple, 5514) et mettez à jour les champs Port iBoss et listen_address Bindplane pour qu'ils correspondent.

   • Format de journal : sélectionnez JSON dans le menu déroulant.

   • Intervalle de transfert : sélectionnez Continu dans le menu déroulant.

   • Délimiteur de champ : sélectionnez ESPACE dans le menu déroulant.

   • Send DLP/Web/DNS/Malware/Audit/ConnectionError Logs (Envoyer les journaux DLP/Web/DNS/Malware/Audit/ConnectionError) : définissez la valeur sur Enable (Activer) selon votre préférence pour l'envoi des journaux.

     Remarque : L'option Envoyer les journaux d'erreurs de connexion n'est visible dans l'interface utilisateur iBoss que lorsque l'option Envoyer les journaux Web est désactivée.

   • Champs à transférer : ajoutez tous les champs, à l'exception de Métadonnées encodées en Base64 pour la protection contre la perte de données, Métadonnées encodées en Base64 et Message ChatGPT.

5. Cliquez sur Ajouter un service.

Remarque : Si vous disposez de plusieurs nœuds de rapport, répétez les étapes 3 et 4 pour chacun d'eux.

Table de mappage UDM

Champ du journal	mappage UDM	Logique
intermédiaire	intermédiaire	Informations sur un appareil ou un service intermédiaire impliqué dans l'événement.
décroiss.	metadata.description	Description supplémentaire de l'événement.
metadata.event_type	metadata.event_type	Type d'événement (par exemple, USER_LOGIN, NETWORK_CONNECTION).
urlLogId	metadata.product_log_id	Identifiant unique de l'entrée de journal du produit.
requestMethod	network.http.method	Méthode HTTP utilisée dans la requête.
ref_url	network.http.referral_url	URL qui a redirigé l'utilisateur vers la page actuelle.
response_Code	network.http.response_code	Code de réponse HTTP.
user_Agent	network.http.user_agent	Chaîne user-agent de la requête HTTP.
up_stream	network.received_bytes	Nombre d'octets reçus dans la connexion réseau.
down_stream	network.sent_bytes	Nombre d'octets envoyés dans la connexion réseau.
computerName	principal.asset.hostname	Nom d'hôte de l'élément associé au compte principal.
computer_Mac_Address	principal.asset.mac	Adresse MAC de l'élément associé au compte principal.
filtering_Group_Name	principal.group.group_display_name	Nom à afficher du groupe associé au principal.
computerName	principal.hostname	Nom d'hôte du compte principal.
sourceIpAddress	principal.ip	Adresse IP du compte principal.
pri_ip	principal.ip
pub_ip	principal.ip
mac_address	principal.mac	Adresse MAC du compte principal.
src_port	principal.port	Numéro de port utilisé par le compte principal.
file_name	principal.process.file.names	Noms des fichiers associés au processus.
nom d'utilisateur	principal.user.userid	ID utilisateur du principal.
sec_res	security_result	Résultat de l'analyse de sécurité, y compris les actions et les catégories.
hôte	target.hostname	Nom d'hôte de la cible.
ipAddress	target.ip	Adresse IP de la cible.
targetPort	target.port	Numéro de port de la cible.
uri_path	target.process.file.full_path	Chemin d'accès complet au fichier ou à la ressource sur la cible.
url	target.url	URL de la cible.
metadata.product_name	metadata.product_name	Nom du produit qui a généré l'événement.
metadata.vendor_name	metadata.vendor_name	Nom du fournisseur qui a produit le produit.

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.