Coletar registros do sistema macOS

Versão do analisador:2.0

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do sistema macOS no Google Security Operations usando o Bindplane. O macOS usa o sistema de registro unificado da Apple para capturar eventos no nível do sistema, incluindo autenticação, execução de processos, atividade do kernel e comportamento de aplicativos. Esses registros podem ser encaminhados via syslog para um coletor remoto para monitoramento de segurança centralizado e análise.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Um host Windows 2016 ou posterior ou Linux com systemd.
• Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso administrativo aos endpoints do macOS que vão encaminhar registros.
• macOS 10.12 (Sierra) ou mais recente com suporte para Unified Logging.

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no consoleGoogle Cloud e selecione o projeto Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para configurar o exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do BindPlane e alterne a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para outras opções de instalação, consulte este guia.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:

   • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /observiq-otel-collector/ no Linux ou no diretório de instalação no Windows.
   • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <PLACEHOLDER_CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MACOS'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
• Substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor.
• Substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
• Substitua <PLACEHOLDER_CUSTOMER_ID> pelo ID de cliente real.
• Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de chave da conta de serviço (Opção 1) foi salvo na seção Receber credenciais do Google SecOps para o agente do Bindplane.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <PLACEHOLDER_CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MACOS'
      raw_log_field: body
      ingestion_labels:
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for descontinuada em 20 de julho de 2027.

Reinicie o agente do Bindplane para aplicar as mudanças:

Para reiniciar o agente do Bindplane no Linux:

1. Execute este comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifique se o serviço está em execução:

   sudo systemctl status observiq-otel-collector
   

3. Verifique se há erros nos registros:

   sudo journalctl -u observiq-otel-collector -f
   

Para reiniciar o agente do Bindplane em Windows:

1. Escolha uma das seguintes opções:

   • Prompt de comando ou PowerShell como administrador:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console de serviços:
     1. Pressione Win+R, digite services.msc e pressione Enter.
     2. Localize o Coletor do OpenTelemetry da observIQ.
     3. Clique com o botão direito do mouse e selecione Reiniciar.

2. Verifique se o serviço está em execução:

   sc query observiq-otel-collector
   

3. Verifique se há erros nos registros:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurar o encaminhamento de syslog do macOS

O macOS usa o sistema de registro unificado. Para encaminhar registros ao agente do BindPlane via syslog, configure o serviço syslogd integrado em cada endpoint do macOS.

Opção 1: configurar o encaminhamento de syslog usando syslog.conf

1. Abra o Terminal no endpoint do macOS.

2. Edite o arquivo de configuração do syslog:

   sudo nano /etc/syslog.conf
   

3. Adicione a seguinte linha ao final do arquivo para encaminhar todos os registros via UDP ao agente do Bindplane:

   *.*     @<BINDPLANE_IP_ADDRESS>:514
   

   • Substitua <BINDPLANE_IP_ADDRESS> pelo endereço IP do host do agente do Bindplane (por exemplo, 192.168.1.100).
   Observação: use @ para encaminhamento de UDP. Use @@ para encaminhamento de TCP.

4. Salve o arquivo e saia.

5. Reinicie o daemon do syslog:

   sudo launchctl unload /System/Library/LaunchDaemons/com.apple.syslogd.plist
   sudo launchctl load /System/Library/LaunchDaemons/com.apple.syslogd.plist
   

Opção 2: configurar o encaminhamento de syslog usando asl.conf

1. Abra o Terminal no endpoint do macOS.

2. Edite o arquivo de configuração da ASL:

   sudo nano /etc/asl.conf
   

3. Adicione a seguinte linha para encaminhar os registros ao servidor syslog remoto:

   ? [= Sender kernel] forward <BINDPLANE_IP_ADDRESS>:514
   ? [<= Level notice] forward <BINDPLANE_IP_ADDRESS>:514
   

   • Substitua <BINDPLANE_IP_ADDRESS> pelo endereço IP do host do agente Bindplane.

4. Salve o arquivo e saia.

5. Reinicie o daemon syslog:

   sudo launchctl unload /System/Library/LaunchDaemons/com.apple.syslogd.plist
   sudo launchctl load /System/Library/LaunchDaemons/com.apple.syslogd.plist
   

Verificar o encaminhamento de registros

1. No endpoint do macOS, gere uma mensagem de registro de teste:

   logger -p user.notice "Test syslog message for Bindplane"
   

2. No host do agente do Bindplane, verifique os registros do agente para mensagens recebidas:

   sudo journalctl -u observiq-otel-collector -f
   

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
activityIdentifier_label	additional.fields	Mesclado
backtrace_label	additional.fields	Mesclado
bootUUID_label	additional.fields	Mesclado
category_label	additional.fields	Mesclado
chronicle_log_type_label	additional.fields	Mesclado
formatString_label	additional.fields	Mesclado
log_type_label	additional.fields	Mesclado
machTimestamp_label	additional.fields	Mesclado
messageType_label	additional.fields	Mesclado
parentActivityIdentifier_label	additional.fields	Mesclado
processImageUUID_label	additional.fields	Mesclado
senderImageUUID_label	additional.fields	Mesclado
senderProgramCounter_label	additional.fields	Mesclado
subprocess_label	additional.fields	Mesclado
subsystem_label	additional.fields	Mesclado
threadID_label	additional.fields	Mesclado
traceID_label	additional.fields	Mesclado
intermediary_host	intermediary.hostname	Mapeado diretamente
attributes.message	metadata.description	Mapeado diretamente
description	metadata.description	Mapeado diretamente
eventMessage	metadata.description	Mapeado diretamente
timestamp	metadata.event_timestamp	Analisado como ISO8601
has_principal	metadata.event_type	Mapeado: true → STATUS_UPDATE
has_user	metadata.event_type	Mapeado: true → USER_UNCATEGORIZED
attributes.process	metadata.product_event_type	Mapeado diretamente
eventType	metadata.product_event_type	Mapeado diretamente
attributes.host	principal.asset.hostname	Mapeado diretamente
hostname	principal.asset.hostname	Mapeado diretamente
source	principal.asset.hostname	Mapeado diretamente
senderImagePath	principal.file.full_path	Mapeado diretamente
attributes.host	principal.hostname	Mapeado diretamente
hostname	principal.hostname	Mapeado diretamente
source	principal.hostname	Mapeado diretamente
command_line	principal.process.command_line	Mapeado diretamente
processImagePath	principal.process.file.full_path	Mapeado diretamente
attributes.pid	principal.process.pid	Mapeado diretamente
processID	principal.process.pid	Mapeado diretamente
process_id	principal.process.pid	Mapeado diretamente
userID	principal.user.userid	Mapeado diretamente
N/A	metadata.event_type	Constante: USER_UNCATEGORIZED
N/A	metadata.product_name	Constante: MacOS
N/A	metadata.vendor_name	Constante: Apple
N/A	principal.platform	Constante: MAC
eventMessage	event.idm.read_only_udm.metadata.description	Mapeado do registro de mudanças
eventType	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de alterações
senderImagePath	event.idm.read_only_udm.principal.file.full_path	Mapeado do registro de alterações
processImagePath	event.idm.read_only_udm.principal.process.file.full_path	Mapeado do registro de alterações
userID	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
activityIdentifier	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
bootUUID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
category	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
formatString	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
machTimestamp	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
messageType	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
parentActivityIdentifier	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
processImageUUID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
senderImageUUID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
senderProgramCounter	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
subsystem	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
threadID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
traceID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
backtrace.frames	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
processID	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
source	event.idm.read_only_udm.principal.hostname	Mapeado do registro de mudanças

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.