Coletar registros do sistema macOS

Versão do analisador:2.0

Compatível com:

Este documento explica como ingerir registros do sistema macOS no Google Security Operations usando o Bindplane. O macOS usa o sistema de registro unificado da Apple para capturar eventos no nível do sistema, incluindo autenticação, execução de processos, atividade do kernel e comportamento do aplicativo. Esses registros podem ser encaminhados via syslog para um coletor remoto para análise e monitoramento de segurança centralizados.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps.
  • Um host Windows 2016 ou mais recente ou Linux com systemd.
  • Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso administrativo aos endpoints do macOS que vão encaminhar registros.
  • macOS 10.12 (Sierra) ou mais recente com suporte para Unified Logging.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agente de coleta.
  3. Baixe o arquivo de autenticação de ingestão.
    • Salve o arquivo com segurança no sistema em que o Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para outras opções de instalação, consulte este guia.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:

    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /observiq-otel-collector/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MACOS'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
  • Substitua <PLACEHOLDER_CUSTOMER_ID> pelo ID de cliente real.
  • Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux:

  1. Execute este comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifique se o serviço está em execução:

    sudo systemctl status observiq-otel-collector

  3. Verifique se há erros nos registros:

    sudo journalctl -u observiq-otel-collector -f

Para reiniciar o agente do Bindplane em Windows:

  1. Escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console de serviços:
      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

  2. Verifique se o serviço está em execução:

    sc query observiq-otel-collector

  3. Verifique se há erros nos registros:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento de syslog do macOS

O macOS usa o sistema de registro unificado. Para encaminhar registros ao agente do Bindplane via syslog, configure o serviço syslogd integrado em cada endpoint do macOS.

Opção 1: configurar o encaminhamento de syslog usando syslog.conf

  1. Abra o Terminal no endpoint do macOS.

  2. Edite o arquivo de configuração do syslog:

    sudo nano /etc/syslog.conf

  3. Adicione a seguinte linha ao final do arquivo para encaminhar todos os registros via UDP ao agente do Bindplane:

    *.*     @<BINDPLANE_IP_ADDRESS>:514
    • Substitua <BINDPLANE_IP_ADDRESS> pelo endereço IP do host do agente do Bindplane (por exemplo, 192.168.1.100).

  4. Salve o arquivo e saia.

  5. Reinicie o daemon syslog:

    sudo launchctl unload /System/Library/LaunchDaemons/com.apple.syslogd.plist
sudo launchctl load /System/Library/LaunchDaemons/com.apple.syslogd.plist

Opção 2: configurar o encaminhamento de syslog usando asl.conf

  1. Abra o Terminal no endpoint do macOS.

  2. Edite o arquivo de configuração da ASL:

    sudo nano /etc/asl.conf

  3. Adicione a seguinte linha para encaminhar os registros ao servidor syslog remoto:

    ? [= Sender kernel] forward <BINDPLANE_IP_ADDRESS>:514
? [<= Level notice] forward <BINDPLANE_IP_ADDRESS>:514
    • Substitua <BINDPLANE_IP_ADDRESS> pelo endereço IP do host do agente Bindplane.

  4. Salve o arquivo e saia.

  5. Reinicie o daemon syslog:

    sudo launchctl unload /System/Library/LaunchDaemons/com.apple.syslogd.plist
sudo launchctl load /System/Library/LaunchDaemons/com.apple.syslogd.plist

Verificar o encaminhamento de registros

  1. No endpoint do macOS, gere uma mensagem de registro de teste:

    logger -p user.notice "Test syslog message for Bindplane"

  2. No host do agente do Bindplane, verifique os registros do agente para mensagens recebidas:

    sudo journalctl -u observiq-otel-collector -f

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
activityIdentifier_label additional.fields Mesclado
backtrace_label additional.fields Mesclado
bootUUID_label additional.fields Mesclado
category_label additional.fields Mesclado
chronicle_log_type_label additional.fields Mesclado
formatString_label additional.fields Mesclado
log_type_label additional.fields Mesclado
machTimestamp_label additional.fields Mesclado
messageType_label additional.fields Mesclado
parentActivityIdentifier_label additional.fields Mesclado
processImageUUID_label additional.fields Mesclado
senderImageUUID_label additional.fields Mesclado
senderProgramCounter_label additional.fields Mesclado
subprocess_label additional.fields Mesclado
subsystem_label additional.fields Mesclado
threadID_label additional.fields Mesclado
traceID_label additional.fields Mesclado
intermediary_host intermediary.hostname Mapeado diretamente
attributes.message metadata.description Mapeado diretamente
description metadata.description Mapeado diretamente
eventMessage metadata.description Mapeado diretamente
timestamp metadata.event_timestamp Analisado como ISO8601
has_principal metadata.event_type Mapeado: true → STATUS_UPDATE
has_user metadata.event_type Mapeado: true → USER_UNCATEGORIZED
attributes.process metadata.product_event_type Mapeado diretamente
eventType metadata.product_event_type Mapeado diretamente
attributes.host principal.asset.hostname Mapeado diretamente
hostname principal.asset.hostname Mapeado diretamente
source principal.asset.hostname Mapeado diretamente
senderImagePath principal.file.full_path Mapeado diretamente
attributes.host principal.hostname Mapeado diretamente
hostname principal.hostname Mapeado diretamente
source principal.hostname Mapeado diretamente
command_line principal.process.command_line Mapeado diretamente
processImagePath principal.process.file.full_path Mapeado diretamente
attributes.pid principal.process.pid Mapeado diretamente
processID principal.process.pid Mapeado diretamente
process_id principal.process.pid Mapeado diretamente
userID principal.user.userid Mapeado diretamente
N/A metadata.event_type Constante: USER_UNCATEGORIZED
N/A metadata.product_name Constante: MacOS
N/A metadata.vendor_name Constante: Apple
N/A principal.platform Constante: MAC
eventMessage event.idm.read_only_udm.metadata.description Mapeado do registro de mudanças
eventType event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de mudanças
senderImagePath event.idm.read_only_udm.principal.file.full_path Mapeado do registro de mudanças
processImagePath event.idm.read_only_udm.principal.process.file.full_path Mapeado do registro de mudanças
userID event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
activityIdentifier event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
bootUUID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
category event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
formatString event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
machTimestamp event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
messageType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parentActivityIdentifier event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
processImageUUID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
senderImageUUID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
senderProgramCounter event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
subsystem event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
threadID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
traceID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
backtrace.frames event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
processID event.idm.read_only_udm.principal.process.pid Mapeado do registro de mudanças
source event.idm.read_only_udm.principal.hostname Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.