Reorganizamos la estructura de navegación de nuestra documentación para que se alinee directamente con tus flujos de trabajo operativos. Consulta las notas de la versión y el video explicativo para obtener más información.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros de ManageEngine AD360

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de ManageEngine AD360 a Google Security Operations con el agente de Bindplane.

ManageEngine AD360 es una solución integrada de administración de identidades y accesos que genera mensajes de syslog para los cambios de Active Directory, los eventos de autenticación, las conexiones de red y los incumplimientos de políticas de seguridad. El analizador extrae campos de los registros con formato syslog usando patrones de Grok y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y el servidor de ManageEngine AD360
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso de administrador a la IU web de ManageEngine AD360

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia.
Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID de cliente para configurar el exportador del agente de Bindplane.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debería mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de raíz o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir registros de Syslog y enviarlos a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml con la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/manage_engine_ad360:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: MANAGE_ENGINE_AD360
        raw_log_field: body

service:
    pipelines:
        logs/manage_engine_ad360_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/manage_engine_ad360

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- listen_address: Dirección IP y puerto que se escucharán:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).
Configuración del exportador:
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado de la consola de Google SecOps
- endpoint: URL del extremo regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.

Guarda el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura la exportación de syslog de ManageEngine AD360

Accede a la IU web de AD360.
Ve a Administrador > Administración > Integración de SIEM.
Haz clic en el vínculo Configurar ahora junto al componente ADSelfService.
Proporciona los siguientes detalles de configuración:
- Tipo de servidor: Selecciona Syslog.
- Nombre/IP del servidor: Ingresa la dirección IP del agente de Bindplane.
- Puerto: Ingresa el número de puerto del agente de Bindplane.
- Protocolo: Selecciona UDP.
- Syslog Standard: Selecciona RFC 5424.
- Haz clic en la lista Avanzada.
- Gravedad: Selecciona Informativa.
Haz clic en Configurar para guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
AccessControlRuleName	security_result.rule_name	Valor tomado del campo `AccessControlRuleName` si existe; de lo contrario, se toma del campo `rule_name`
ACPolicy	security_result.rule_labels.value	Valor tomado del campo `ACPolicy`
acción	security_result.action_details	Se asignan directamente al UDM
action_id	security_result.detection_fields.value	Valor tomado del campo `action_id`
application_protocol	network.application_protocol	Se asignan directamente al UDM
bytes	network.sent_bytes	Se asignan directamente al UDM
client_ip	principal.ip	Se asignan directamente al UDM
ConnectionID	network.session_id	Valor tomado del campo `connection_id` si existe, de lo contrario, del campo `ConnectionID` y, si no, del campo `ses`
destination_ip	target.ip	Se asignan directamente al UDM
destination_port	target.port	Se asignan directamente al UDM
DeviceUUID	target.asset_id	Valor tomado del campo `DeviceUUID` si existe; de lo contrario, se toma del campo `distinguished_name_device_id`
distinguished_name_device_id	target.asset_id	Valor tomado del campo `DeviceUUID` si existe; de lo contrario, se toma del campo `distinguished_name_device_id`
distinguished_name_user	target.user.userid	Se asignan directamente al UDM
DST	target.ip	Valor tomado del campo `DST` si existe; de lo contrario, se toma del campo `DstIP`
DPT	target.port	Valor tomado del campo `DPT` si existe, de lo contrario, del campo `DstPort` y, si no, del campo `destination_port`
DstIP	target.ip	Valor tomado del campo `DST` si existe; de lo contrario, se toma del campo `DstIP`
DstPort	target.port	Valor tomado del campo `DPT` si existe, de lo contrario, del campo `DstPort` y, si no, del campo `destination_port`
EgressInterface	additional.fields.value.string_value	Se asignan directamente al UDM
EgressZone	target.location.name	Se asignan directamente al UDM
EventPriority	security_result.severity	Se asigna a diferentes niveles de gravedad según el valor del campo `EventPriority`.
exe	principal.process.command_line	Se asignan directamente al UDM
geoip.city_name	principal.location.city	Se asignan directamente al UDM
geoip.country_name	principal.location.country_or_region	Se asignan directamente al UDM
geoip.latitude	principal.location.region_latitude	Se asignan directamente al UDM
geoip.longitude	principal.location.region_longitude	Se asignan directamente al UDM
http_status	network.http.response_code	Se asignan directamente al UDM
id	metadata.product_log_id	Se asignan directamente al UDM
IngressInterface	additional.fields.value.string_value	Se asignan directamente al UDM
IngressZone	principal.location.name	Se asignan directamente al UDM
LEN	additional.fields.value.string_value	Se asignan directamente al UDM
message_number		Sin asignar
NAPPolicy	security_result.rule_labels.value	Valor tomado del campo `NAPPolicy`
network_direction	network.direction	Se asignan directamente al UDM
OCT	additional.fields.value.string_value	Se asignan directamente al UDM
pid	target.process.pid	Se asignan directamente al UDM
ppid	target.process.parent_process.pid	Se asignan directamente al UDM
PREC	additional.fields.value.string_value	Se asignan directamente al UDM
principal_hostname	principal.hostname	Se asignan directamente al UDM
product_event_type	metadata.product_event_type	Se asignan directamente al UDM
protocolo	network.ip_protocol	Se usa para completar el campo `PROTO` y, luego, se asigna al UDM con una tabla de consulta.
PROTO	network.ip_protocol	Se asigna al UDM con una tabla de consulta basada en el número de protocolo.
request_method	network.http.method	Se asignan directamente al UDM
rule_name	security_result.rule_name	Valor tomado del campo `AccessControlRuleName` si existe; de lo contrario, se toma del campo `rule_name`
ses	network.session_id	Valor tomado del campo `connection_id` si existe, de lo contrario, del campo `ConnectionID` y, si no, del campo `ses`
source_ip	principal.ip	Se asignan directamente al UDM
source_port	principal.port	Se asignan directamente al UDM
SPT	principal.port	Valor tomado del campo `SPT` si existe, de lo contrario, del campo `SrcPort` y, si no, del campo `source_port`
SRC	principal.ip	Valor tomado del campo `SRC` si existe, de lo contrario, del campo `SrcIP` y, si no, del campo `client_ip`
SrcIP	principal.ip	Valor tomado del campo `SRC` si existe, de lo contrario, del campo `SrcIP` y, si no, del campo `client_ip`
SrcPort	principal.port	Valor tomado del campo `SPT` si existe, de lo contrario, del campo `SrcPort` y, si no, del campo `source_port`
timestamp	metadata.event_timestamp	Se asignan directamente al UDM
TOS	additional.fields.value.string_value	Se asignan directamente al UDM
TTL	additional.fields.value.string_value	Se asignan directamente al UDM
URL	target.url	Se asignan directamente al UDM
user_agent	network.http.user_agent	Se asignan directamente al UDM
WINDOW	additional.fields.value.string_value	Se asignan directamente al UDM
	metadata.vendor_name	El valor está codificado como `MANAGE_ENGINE_AD360`.
	metadata.product_name	El valor está codificado como `MANAGE_ENGINE_AD360`.
	metadata.log_type	El valor está codificado como `MANAGE_ENGINE_AD360`.
	metadata.event_type	El valor se establece en `NETWORK_CONNECTION` si están presentes los campos `SRC` y `DST`; de lo contrario, se establece en `STATUS_UPDATE` si está presente `SRC` o `principal_hostname`. Si no se cumple ninguna de estas condiciones, se aplicará el valor predeterminado `GENERIC_EVENT`.

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.