Raccogli i log di Kaspersky Endpoint Security

Supportato in:

Questo documento spiega come importare i log di Kaspersky Endpoint Security in Google Security Operations utilizzando Bindplane. Kaspersky Endpoint Security offre una protezione multilivello contro malware, ransomware, exploit e minacce avanzate sugli endpoint che eseguono Windows, macOS e Linux. Kaspersky Security Center (KSC) è la console di gestione centralizzata che aggrega gli eventi di tutti gli endpoint gestiti e supporta l'inoltro di syslog per l'integrazione SIEM.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Un host Windows 2016 o versioni successive o Linux con systemd.
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso con privilegi alla console di amministrazione o alla console web di Kaspersky Security Center (KSC).
  • Kaspersky Security Center 14 o versioni successive con il componente di integrazione SIEM installato.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea service account.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
  7. Fai clic su Continua e poi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere, si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'KASPERSKY_AV'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
  • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
  • Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • Sostituisci <PLACEHOLDER_CUSTOMER_ID> con l'ID cliente effettivo.
  • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore dell'API di importazione precedente

  • Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'KASPERSKY_AV'
    raw_log_field: body
    ingestion_labels:

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per verificare la presenza di errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per verificare la presenza di errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura l'inoltro di syslog di Kaspersky Security Center

  1. Accedi alla console web di Kaspersky Security Center o apri la Console di amministrazione (MMC).
  2. Vai a Server di amministrazione > Proprietà (o fai clic con il tasto destro del mouse sul nodo Server di amministrazione e seleziona Proprietà).
  3. Nella finestra delle proprietà, vai a Esportazione eventi > SIEM.
  4. Seleziona la casella di controllo Esporta automaticamente gli eventi nel database del sistema SIEM.
  5. Fornisci i seguenti dettagli di configurazione:
    • Sistema SIEM: seleziona Altro.
    • Indirizzo del server del sistema SIEM: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
    • Porta del server del sistema SIEM: inserisci 514 (o la porta configurata in Bindplane).
    • Protocollo: seleziona TCP.
    • Formato: seleziona Syslog (formato CEF).

  6. Fai clic su Eventi da esportare per selezionare le categorie di eventi da inoltrare:

    1. Seleziona la casella di controllo Eventi critici.
    2. Seleziona la casella di controllo Errore funzionale.
    3. Seleziona la casella di controllo Avviso.
    4. Seleziona la casella di controllo Informazioni.

  7. Fai clic su Ok per salvare la configurazione di esportazione SIEM.

  8. Vai a Administration Server (Server di amministrazione) > Events (Eventi).

  9. Verifica che gli eventi vengano visualizzati e che l'invio di syslog sia attivo controllando i log dell'agente Bindplane.

Per ulteriori dettagli, consulta la documentazione di Kaspersky Security Center sull'integrazione SIEM.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
message about Mappato: CEF:0 → about
deviceNtDomain about.administrative_domain Rinominato/mappato
deviceExternalId about.asset.asset_id Mappato direttamente
device_product about.asset.asset_id Mappata direttamente
device_vendor about.asset.asset_id Mappata direttamente
fileHash about.file.full_path Mappata direttamente
filePath about.file.full_path Rinominato/mappato
_hash about.file.sha256 Rinominate/mappate
fileHash about.file.sha256 Rinominate/mappate
fsize about.file.size Rinominate/mappate
dvchost about.hostname Rinominate/mappate
ips about.ip Unita
message about.ip Mappatura: CEF:0 → ips
dvc_mac about.mac Mappatura: slot → mac_address
dvcmac about.mac Unita
mac_address about.mac Unita
message about.mac Mappato: CEF:0 → mac_address, CEF:0 → dvcmac
deviceTranslatedAddress about.nat_ip Unita
message about.nat_ip Mappatura: CEF:0 → deviceTranslatedAddress
Emne about.process.command_line Mappato direttamente
Path about.process.command_line Mappata direttamente
Subject about.process.command_line Mappata direttamente
deviceProcessName about.process.command_line Rinominato/mappato
dvcpid about.process.pid Rinominate/mappate
message about.resource.attribute.permissions Mappato: CEF:0 → permissions
permissions about.resource.attribute.permissions Unita
additional_cfp1 additional.fields Unita
additional_cfp2 additional.fields Unita
additional_cfp3 additional.fields Unita
additional_cfp4 additional.fields Unita
additional_cn1 additional.fields Unita
additional_cn2 additional.fields Unita
additional_cn3 additional.fields Unita
additional_cs1 additional.fields Unita
additional_cs2 additional.fields Unita
additional_cs3 additional.fields Unita
additional_cs4 additional.fields Unita
additional_cs5 additional.fields Unita
additional_cs6 additional.fields Unita
additional_cs7 additional.fields Unita
additional_devicePayloadId additional.fields Unita
additional_eventId additional.fields Unita
additional_flexString1 additional.fields Unita
additional_fname additional.fields Unita
cn1_label additional.fields Unita
cs2 additional.fields Mappatura: arc_test → additional_cs2
cs5_label additional.fields Unita
cs9_label additional.fields Unita
event_component_label additional.fields Unita
event_type_label additional.fields Unita
kl_event_status_label additional.fields Unita
message additional.fields Valori mappati (25 in totale, ad es. CEF:0 → additional_eventId, CEF:0 → `additional_devicePa…
tdn_label additional.fields Unita
message extensions.vulns.vulnerabilities Mappatura: CEF:0 → vulnerabilities
vulnerabilities extensions.vulns.vulnerabilities Unita
message intermediary Mappatura: CEF:0 → intermediary
intermediary_host intermediary.hostname Mappato direttamente
intermediary_hostname intermediary.hostname Mappata direttamente
meta_description metadata.description Mappata direttamente
msg metadata.description Rinominate/mappate
Generated metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
formatted_timestamp metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss Z
rt metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
time metadata.event_timestamp Analizzato come ISO8601
ts metadata.event_timestamp Analizzato come ISO8601
event_name metadata.event_type Mappatura: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
event_type metadata.event_type Mappato direttamente
event_type_set metadata.event_type Mappatura: false → NETWORK_CONNECTION, false → STATUS_UPDATE
message metadata.event_type Valori mappati (7 in totale, ad es. CEF:0 → PROCESS_UNCATEGORIZED, CEF:0 → `SCAN_UNCATEGORIZE…
target_hostname_present metadata.event_type Mappatura: true → USER_UNCATEGORIZED
device_event_class_id metadata.product_event_type Mappato direttamente
et metadata.product_event_type Mappata direttamente
event_name metadata.product_event_type Mappata direttamente
product_event_type metadata.product_event_type Mappata direttamente
externalId metadata.product_log_id Mappata direttamente
device_product metadata.product_name Mappato direttamente
message metadata.product_name Mappatura: CEF:0 → SecurityCenter, CEF:0 → KASPERSKY_AV
device_version metadata.product_version Mappato direttamente
device_vendor metadata.vendor_name Rinominate/mappate
message metadata.vendor_name Mappatura: CEF:0 → KasperskyLab, CEF:0 → KASPERSKY
app_protocol_output network.application_protocol Mappata direttamente
message network.application_protocol Mappatura: CEF:0 → HTTP
protocol network.application_protocol Mappato: (?i)http → HTTP
deviceDirection network.direction Mappatura: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappatura: CEF:0 → INBOUND, CEF:0 → OUTBOUND
method network.http.method Mappata direttamente
requestMethod network.http.method Rinominate/mappate
url network.http.referral_url Mappato direttamente
Application network.http.user_agent Mappata direttamente
description network.http.user_agent Mappata direttamente
requestClientApplication network.http.user_agent Rinominate/mappate
ip_protocol_out network.ip_protocol Mappata direttamente
in network.received_bytes Rinominato/mappato
out network.sent_bytes Rinominato/mappato
domain principal.administrative_domain Mappata direttamente
sntdom principal.administrative_domain Rinominato/mappato
sourceServiceName principal.application Rinominate/mappate
ip principal.asset.ip Unita
message principal.asset.ip Mappato: CEF:0 → ip
Group_name principal.group.group_display_name Mappata direttamente
Gruppenavn principal.group.group_display_name Mappata direttamente
Device_name principal.hostname Mappata direttamente
Enhetsnavn principal.hostname Mappata direttamente
description principal.hostname Mappata direttamente
hdn principal.hostname Mappata direttamente
host_name principal.hostname Mappata direttamente
shost principal.hostname Rinominate/mappate
hip principal.ip Unita
ip principal.ip Unita
message principal.ip Mapped: CEF:0 → principal_ip, CEF:0 → shost, CEF:0 → ip, CEF:0 → hip
principal_ip principal.ip Unita
shost principal.ip Unita
mac principal.mac Unita
message principal.mac Mappatura: CEF:0 → mac
message principal.nat_ip Mappato: CEF:0 → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Unita
sourceTranslatedPort principal.nat_port Rinominate/mappate
spt principal.port Rinominate/mappate
sproc principal.process.command_line Rinominato/mappato
Process ID principal.process.pid Mappata direttamente
spid principal.process.pid Rinominato/mappato
message principal.user.attribute.roles Mappatura: CEF:0 → principal_role
principal_role principal.user.attribute.roles Unita
p7 principal.user.user_display_name Mappato direttamente
suser principal.user.user_display_name Mappata direttamente
user_name principal.user.user_display_name Mappata direttamente
username principal.user.user_display_name Mappata direttamente
suid principal.user.userid Rinominato/mappato
message security_result Mappatura: CEF:0 → security_result
gn_label security_result.about.labels Unita
label_task_name security_result.about.labels Unita
message security_result.about.labels Mappato: CEF:0 → gn_label, CEF:0 → rtid_labels, CEF:0 → label_task_name
rtid_labels security_result.about.labels Unita
_action security_result.action Unita
act security_result.action Mappato: accept → _action, deny → _action
message security_result.action Mappatura: CEF:0 → _action, CEF:0 → sr_action
sr_action security_result.action Unita
Action_Taken security_result.action_details Mappato direttamente
act security_result.action_details Mappato direttamente
Content category security_result.category_details Unita
cat security_result.category_details Unita
et security_result.category_details Unita
message security_result.category_details Mappatura: CEF:0 → cat, CEF:0 → Content category, CEF:0 → et
Result description security_result.description Rinominato/mappato
Rule security_result.description Mappato direttamente
Scan_Type security_result.description Mappata direttamente
Type security_result.description Mappata direttamente
description security_result.description Mappata direttamente
label security_result.description Mappata direttamente
msg_data_2 security_result.description Mappato direttamente
bid_id_label security_result.detection_fields Unita
certificate_verification_status_label security_result.detection_fields Unita
et2_label security_result.detection_fields Unita
exchange_label security_result.detection_fields Unita
ifm_ori_label security_result.detection_fields Unita
infection_channel_label security_result.detection_fields Unita
message security_result.detection_fields Valori mappati (20 in totale, ad es. CEF:0 → operation_label, CEF:0 → operasjon_label, `CEF…
object_name_label security_result.detection_fields Unita
object_path_label security_result.detection_fields Unita
object_type_label security_result.detection_fields Unita
operasjon_label security_result.detection_fields Unita
operation_label security_result.detection_fields Unita
permission_label security_result.detection_fields Unita
pub_label security_result.detection_fields Unita
publisher_id_label security_result.detection_fields Unita
sec_id_label security_result.detection_fields Unita
site_id_label security_result.detection_fields Unita
spyware_Grayware_Type_label security_result.detection_fields Unita
threat_probability_label security_result.detection_fields Unita
tillatelse_label security_result.detection_fields Unita
xrtb_id_label security_result.detection_fields Unita
mwProfile security_result.rule_name Mappato direttamente
p5 security_result.rule_name Mappata direttamente
message security_result.severity Mappato: CEF:0 → LOW, CEF:0 → MEDIUM, CEF:0 → HIGH, CEF:0 → CRITICAL
severity security_result.severity Mappato: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"…
Erreur security_result.summary Mappato direttamente
Reason security_result.summary Mappata direttamente
Result security_result.summary Mappata direttamente
appcategory security_result.summary Mappata direttamente
cs10 security_result.summary Mappata direttamente
reason security_result.summary Rinominate/mappate
summary security_result.summary Mappato direttamente
Spyware security_result.threat_name Mappata direttamente
Type security_result.threat_name Mappata direttamente
Unknown_Threat security_result.threat_name Mappata direttamente
Virus_Malware_Name security_result.threat_name Mappata direttamente
oldFilePath src.file.full_path Rinominato/mappato
oldFileSize src.file.size Rinominato/mappato
message src.resource.attribute.permissions Mappatura: CEF:0 → old_permissions
old_permissions src.resource.attribute.permissions Unita
dntdom target.administrative_domain Rinominate/mappate
destinationServiceName target.application Rinominato/mappato
name target.file.full_path Mappata direttamente
file_name target.file.names Unita
message target.file.names Mappatura: CEF:0 → file_name
temp_dhost target.hostname Mappato direttamente
IPv6_Address target.ip Unita
dst_ip target.ip Unita
ipv6 target.ip Mappato: - → IPv6_Address
message target.ip Mappatura: CEF:0 → dst_ip, CEF:0 → IPv6_Address
mac_address target.mac Unita
message target.mac Mappatura: CEF:0 → mac_address
destination_translated_address target.nat_ip Unita
message target.nat_ip Mappatura: CEF:0 → destination_translated_address
destinationTranslatedPort target.nat_port Rinominato/mappato
dpt target.port Rinominate/mappate
dproc target.process.command_line Rinominato/mappato
Application path target.process.file.full_path Mappato direttamente
File_name target.process.file.full_path Mappata direttamente
Infected_Resource target.process.file.full_path Mappata direttamente
Name target.process.file.full_path Mappata direttamente
Nom target.process.file.full_path Mappata direttamente
Object target.process.file.full_path Mappata direttamente
Objekt target.process.file.full_path Mappata direttamente
application_path target.process.file.full_path Mappata direttamente
p2 target.process.file.full_path Mappata direttamente
MD5 target.process.file.md5 Mappata direttamente
MD5 file hash target.process.file.md5 Mappata direttamente
md5 target.process.file.md5 Mappata direttamente
File SHA256 hash target.process.file.sha256 Mappata direttamente
SHA256 target.process.file.sha256 Mappata direttamente
p1 target.process.file.sha256 Mappata direttamente
dpid target.process.pid Rinominate/mappate
process_id target.process.pid Mappata direttamente
cs4_label target.resource.attribute.labels Unita
message target.resource.attribute.labels Mappatura: CEF:0 → resource_Type_label, CEF:0 → cs4_label
resource_Type_label target.resource.attribute.labels Unita
Component target.resource.name Mappato direttamente
message target.resource.type Mappatura: CEF:0 → DATABASE, Content category source → DATABASE
source target.resource.type Mappatura: databases → DATABASE
Requested web page target.url Mappata direttamente
request target.url Mappata direttamente
message target.user.attribute.roles Mappatura: CEF:0 → target_role
target_role target.user.attribute.roles Unita
CustomerName target.user.user_display_name Mappato direttamente
temp_duser target.user.user_display_name Mappata direttamente
Bruker target.user.userid Mappata direttamente
User_value target.user.userid Mappata direttamente
temp_duid target.user.userid Mappata direttamente
N/D metadata.event_type Costante: PROCESS_UNCATEGORIZED
N/D metadata.product_name Costante: SecurityCenter
N/D metadata.vendor_name Costante: KasperskyLab
N/D network.application_protocol Costante: HTTP
N/D network.direction Costante: INBOUND
N/D security_result.severity Costante: LOW
N/D target.resource.type Costante: DATABASE
cs9 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cn1 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
kl_event_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs10 event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
cs4 event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
vendor_name event.idm.read_only_udm.metadata.vendor_name Mappato dal log delle modifiche
product_name event.idm.read_only_udm.metadata.product_name Mappato dal log delle modifiche
Event_Component additional.fields Mappato dal log delle modifiche
EventType additional.fields Mappato dal log delle modifiche
threat_level vulnerabilities.severity_details Mappato dal log delle modifiche
Hachage SHA256", "p1 target.process.file.sha256 Mappato dal log delle modifiche
Hachage MD5", "md5 target.process.file.md5 Mappato dal log delle modifiche
intermediary event.idm.read_only_udm.intermediary Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.