Collecter les journaux du proxy Web iBoss

Compatible avec :

Ce document explique comment ingérer des journaux iBoss Web Proxy dans Google Security Operations à l'aide de Bindplane.

iBoss est une plate-forme SASE (Secure Access Service Edge) zéro confiance native du cloud qui fournit des fonctionnalités d'accès sécurisé à Internet, de passerelle Web sécurisée (SWG), de CASB, de ZTNA et de DLP. Il achemine le trafic via son infrastructure cloud pour appliquer des règles de sécurité et une protection contre les menaces cohérentes pour les utilisateurs, où qu'ils se trouvent.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et la plate-forme cloud iBoss
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès administrateur au portail iBoss avec les autorisations nécessaires pour configurer la place de marché des intégrations

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/iboss_webproxy:
        compression: gzip
        creds_file_path: '<CREDS_FILE_PATH>'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IBOSS_WEBPROXY
        raw_log_field: body
        ingestion_labels:
            log_source: iboss

service:
    pipelines:
        logs/iboss_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/iboss_webproxy

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port sur lesquels l'agent Bindplane écoute les messages syslog entrants. Utilisez 0.0.0.0 pour écouter sur toutes les interfaces. Le port doit correspondre à celui configuré dans les paramètres de transfert syslog iBoss.

    • Si iBoss est configuré pour envoyer des journaux via TCP, remplacez le récepteur udplog par tcplog :

      receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

  • Configuration de l'exportateur :

    • <CREDS_FILE_PATH> : chemin d'accès complet au fichier d'authentification de l'ingestion :
      • Linux : /etc/bindplane-agent/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <CUSTOMER_ID> : ID client Google SecOps copié précédemment.
    • endpoint : URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe : europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

Une fois les modifications effectuées, enregistrez le fichier :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows, procédez comme suit :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog iBoss

  1. Connectez-vous au portail iBoss.
  2. Accédez à la place de marché des intégrations, puis sélectionnez Transfert de journaux dans le menu de gauche et cliquez sur le bouton Configurer associé au widget Transfert de journaux Syslog.
  3. Cliquez sur le bouton Ajouter une intégration pour ajouter l'intégration Syslog.

  4. Fournissez les informations de configuration suivantes :

    • Transférer de : sélectionnez Signalant dans le menu déroulant.
    • Sélectionnez la base de données de reporting : sélectionnez la base de données de reporting.
    • Nom du service : saisissez un nom descriptif pour l'intégration (par exemple, SecOps-Bindplane).
    • Activer le service : définissez cette option sur Activé.
    • Type de journal : sélectionnez URL dans le menu déroulant. Cela permet de capturer les journaux de trafic du proxy Web (requêtes HTTP/HTTPS). Pour transférer d'autres catégories d'événements, comme les événements DLP ou DNS, configurez des intégrations distinctes avec le type de journal correspondant.

    • Type de protocole : sélectionnez UDP ou TCP dans le menu déroulant.

    • Niveau de facilité Syslog : sélectionnez Facilité Syslog dans le menu déroulant.

    • Groupe de rapports : sélectionnez Tous dans le menu déroulant.

    • Nom d'hôte : saisissez l'adresse IP ou le nom de domaine complet de l'hôte de l'agent Bindplane.

    • Port : saisissez le numéro de port correspondant au port listen_address dans la configuration de l'agent Bindplane (par exemple, 514).

    • Format du journal : sélectionnez JSON dans le menu déroulant.

    • Intervalle de transfert : sélectionnez Continu dans le menu déroulant.

    • Délimiteur de champ : sélectionnez ESPACE dans le menu déroulant.

    • Send DLP/Web/DNS/Malware/Audit/ConnectionError Logs (Envoyer les journaux DLP/Web/DNS/Malware/Audit/ConnectionError) : définissez la valeur sur Enable (Activer) selon votre préférence pour l'envoi des journaux.

    • Champs à transférer : ajoutez tous les champs, à l'exception de Métadonnées encodées en Base64 pour la protection contre la perte de données, Métadonnées encodées en Base64 et Message Chat GPT.

  5. Cliquez sur Ajouter un service.

Table de mappage UDM

Champ du journal Mappage UDM Logique
intermédiaire intermédiaire Informations sur un appareil ou un service intermédiaire impliqué dans l'événement.
décroiss. metadata.description Description supplémentaire de l'événement.
metadata.event_type metadata.event_type Type d'événement (par exemple, USER_LOGIN, NETWORK_CONNECTION).
urlLogId metadata.product_log_id Identifiant unique de l'entrée de journal du produit.
requestMethod network.http.method Méthode HTTP utilisée dans la requête.
ref_url network.http.referral_url URL qui a redirigé l'utilisateur vers la page actuelle.
response_Code network.http.response_code Code de réponse HTTP.
user_Agent network.http.user_agent Chaîne user-agent de la requête HTTP.
up_stream network.received_bytes Nombre d'octets reçus dans la connexion réseau.
down_stream network.sent_bytes Nombre d'octets envoyés dans la connexion réseau.
computerName principal.asset.hostname Nom d'hôte de l'élément associé au compte principal.
computer_Mac_Address principal.asset.mac Adresse MAC de l'élément associé au principal.
filtering_Group_Name principal.group.group_display_name Nom à afficher du groupe associé au principal.
computerName principal.hostname Nom d'hôte du principal.
sourceIpAddress principal.ip Adresse IP du compte principal.
pri_ip principal.ip
pub_ip principal.ip
mac_address principal.mac Adresse MAC du compte principal.
src_port principal.port Numéro de port utilisé par le principal.
file_name principal.process.file.names Noms des fichiers associés au processus.
nom d'utilisateur principal.user.userid ID utilisateur du principal.
sec_res security_result Résultat de l'analyse de sécurité, y compris les actions et les catégories.
hôte target.hostname Nom d'hôte de la cible.
ipAddress target.ip Adresse IP de la cible.
targetPort target.port Numéro de port de la cible.
uri_path target.process.file.full_path Chemin d'accès complet au fichier ou à la ressource sur la cible.
url target.url URL de la cible.
metadata.product_name metadata.product_name Nom du produit ayant généré l'événement.
metadata.vendor_name metadata.vendor_name Nom du fournisseur qui a produit le produit.

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.