Raccogli i log di Claroty xDome for Healthcare

Supportato in:

Questo documento spiega come importare i log di Claroty xDome for Healthcare in Google SecOps utilizzando l'agente Bindplane.

Claroty xDome for Healthcare (precedentemente Medigate Device Security Platform) è una piattaforma di cybersecurity incentrata sul settore sanitario che offre visibilità, rilevamento delle minacce e gestione dei rischi per i dispositivi IoT (XIoT) medici. La piattaforma monitora i dispositivi medici connessi, identifica le vulnerabilità, rileva comportamenti anomali e fornisce approfondimenti utili per proteggere le reti sanitarie dalle minacce informatiche.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e Claroty xDome for Healthcare
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso con privilegi alla console di gestione di Claroty xDome for Healthcare
  • Ruolo di amministratore o responsabile della sicurezza in Claroty xDome for Healthcare

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
  syslog:
    tcp:
      listen_address: "0.0.0.0:514"
    protocol: rfc5424

exporters:
  chronicle/claroty_xdome:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MEDIGATE_IOT
    raw_log_field: body

service:
  pipelines:
    logs/claroty_to_chronicle:
      receivers:
        - syslog
      exporters:
        - chronicle/claroty_xdome

Parametri di configurazione

  • Sostituisci i seguenti segnaposto:

    • Configurazione del destinatario:

      • Il ricevitore è configurato per syslog TCP utilizzando il protocollo RFC 5424
      • L'indirizzo di ascolto 0.0.0.0:514 accetta connessioni su tutte le interfacce sulla porta 514
      • Per le installazioni non root di Linux, utilizza la porta 1514 anziché 514

    • Configurazione dell'esportatore:

    • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:

      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • customer_id: sostituisci YOUR_CUSTOMER_ID con l'ID cliente del passaggio precedente

    • endpoint: URL endpoint regionale:

      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

    • log_type: impostato su MEDIGATE_IOT (supporta i formati di log Claroty e Medigate)

  • Configurazione di esempio per Linux

    receivers:
syslog:
  tcp:
    listen_address: "0.0.0.0:1514"
  protocol: rfc5424

exporters:
chronicle/claroty_xdome:
  compression: gzip
  creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
  customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
  endpoint: malachiteingestion-pa.googleapis.com
  log_type: MEDIGATE_IOT
  raw_log_field: body
  ingestion_labels:
    env: production
    source: claroty_xdome

service:
pipelines:
  logs/claroty_to_chronicle:
    receivers:
      - syslog
    exporters:
      - chronicle/claroty_xdome

Salva il file di configurazione

Dopo la modifica, salva il file:

  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare l'inoltro di syslog di Claroty xDome for Healthcare

Accedere a Claroty xDome for Healthcare

  1. Accedi alla console web di Claroty xDome for Healthcare.
  2. Vai a Impostazioni > Impostazioni di sistema > Le mie integrazioni.

Crea una nuova integrazione syslog

  1. Fai clic su Aggiungi integrazione.
  2. Nel menu a discesa Tipo di integrazione, seleziona Syslog.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome integrazione: inserisci un nome descrittivo (ad esempio, Chronicle-SIEM).
    • (Facoltativo) Descrizione: inserisci Integration with Google Chronicle SIEM.

Configurare le impostazioni del server syslog

Nella sezione Syslog Server, fornisci i seguenti dettagli:

  • Host: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
  • Porta: inserisci 514 (o 1514 se utilizzi l'installazione Linux non root).
  • Protocollo: seleziona TCP.
  • Formato messaggio: seleziona CEF (Common Event Format).
  • Standard del protocollo Syslog: seleziona RFC 5424.

Seleziona i tipi di log da esportare

Nella sezione Tipi di esportazione, seleziona i tipi di log da inoltrare a Google SecOps:

  • Avvisi: avvisi di sicurezza e avvisi di rischio
  • Vulnerabilità: dati CVE e informazioni sulle vulnerabilità
  • Modifiche ai dispositivi: modifiche all'inventario degli asset
  • Eventi di attività OT: eventi di comunicazione della tecnologia operativa

Configura le impostazioni del fuso orario

  1. Nella sezione Fuso orario, seleziona UTC dal menu a discesa.

Testare e salvare la configurazione

  1. Fai clic su Prova connessione per verificare la connettività all'agente Bindplane.
  2. Verifica che il test mostri Connessione riuscita.
  3. Fai clic su Salva per attivare l'integrazione syslog.

Verificare l'inoltro dei log

  1. Attendi 5-10 minuti prima che i log inizino a essere visualizzati.

  2. Controlla i log dell'agente Bindplane per verificare che i messaggi syslog vengano ricevuti:

    • Linux:
    sudo journalctl -u observiq-otel-collector -f | grep -i claroty
    • Windows:
    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i claroty

  3. Accedi alla console Google SecOps e verifica che i log di Claroty xDome for Healthcare vengano visualizzati nei risultati di ricerca.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
info_ip_desc about.labels Etichette associate all'evento
info.as_org about.labels
info.org about.labels
info.isp about.labels
info.country_code about.labels
info.malicious_anomali_info.itype about.labels
info.malicious_anomali_info.ip about.labels
info.malicious_anomali_info.source about.labels
info.malicious_anomali_info.org about.labels
info.malicious_anomali_info.country about.labels
info.malicious_anomali_info.classification about.labels
info.malicious_anomali_info.maltype about.labels
info.malicious_anomali_info.stream_id about.labels
info.malicious_anomali_info.threat_type about.labels
info.malicious_anomali_info.resource_uri about.labels
info.malicious_anomali_info.threatscore about.labels
info.malicious_anomali_info.confidence about.labels
info.malicious_anomali_info.source_reported_confidence about.labels
info.protocol about.labels
info.human_name about.labels
info.dest.human_name about.labels
info.network about.labels
info.parent_human_name about.labels
info.parent_uid about.labels
target_ip_desc about.labels
label_resource_uri about.labels
label_threatscore about.labels
label_confidence about.labels
label_source_reported_confidence about.labels
alert.mitre_technique_ids additional.fields Metadati aggiuntivi in formato libero sull'evento
alert.mitre_technique_names additional.fields
alert.mitre_technique_enterprise_ids additional.fields
alert.mitre_technique_enterprise_names additional.fields
affected_device.device_type_family additional.fields
affected_device.connection_type_list additional.fields
affected_device.network_list additional.fields
msg_category additional.fields
interface_name additional.fields
interface_type additional.fields
stato additional.fields
alert_info.certificate_thumbprint additional.fields
alert_info.certificate_expiry_date additional.fields
alert_info.certificate_start_date additional.fields
alert_info.certificate_type additional.fields
affected_device.management_status additional.fields
affected_device.labels additional.fields
affected_device.site_name additional.fields
events_extra_info.client_id additional.fields
extensions.auth.type extensions.auth.type Tipo di autenticazione
nome host intermediary.hostname Nome host dell'intermediario
events_extra_info.malicious_ip_info.malicious_ip intermediary.ip Indirizzo IP dell'intermediario
incident_type metadata.description Descrizione dell'evento
testo metadata.description
events.description metadata.description
metadata.event_type metadata.event_type Tipo di evento
event_type metadata.product_event_type Tipo di evento prodotto
events.type metadata.product_event_type
incident_id metadata.product_log_id ID log prodotto
events.id metadata.product_log_id
network.application_protocol network.application_protocol Protocollo applicazione
network.direction network.direction Direzione della connessione di rete
protocol_number_src network.ip_protocol Protocollo IP
server_name network.tls.client.server_name Nome del server indicato dal client durante l'handshake TLS
alert_info.certificate_thumbprint network.tls.server.certificate.sha256 Hash SHA256 del certificato del server
versione network.tls.version Versione TLS
proto network.tls.version_protocol Protocollo della versione TLS
info.domain principal.administrative_domain Dominio amministrativo del preside
events_extra_info.domain principal.administrative_domain
affected_device.asset_id principal.asset.asset_id ID asset dell'asset
hardware principal.asset.hardware Hardware dell'asset
affected_device.device_name principal.asset.hostname Nome host dell'asset
events_extra_info.certificate_info.CN principal.asset.hostname
management_ip principal.asset.ip Indirizzo IP dell'asset
info.ip principal.asset.ip
comm_tuple.src_ip principal.asset.ip
info.tuple.2 principal.asset.ip
info.tuple.3 principal.asset.ip
affected_device.ip_list principal.asset.ip
info.subject_components.CN principal.hostname Nome host dell'entità
affected_device.device_name principal.hostname
events_extra_info.certificate_info.CN principal.hostname
management_ip principal.ip Indirizzo IP del principale
info.ip principal.ip
comm_tuple.src_ip principal.ip
info.tuple.2 principal.ip
info.tuple.3 principal.ip
affected_device.ip_list principal.ip
info.subject_components.L principal.location.city Città della località
events_extra_info.certificate_info.L principal.location.city
località principal.location.country_or_region Paese o regione della località
info.subject_components.C principal.location.country_or_region
events_extra_info.certificate_info.C principal.location.country_or_region
info.subject_components.ST principal.location.state Stato della località
events_extra_info.certificate_info.ST principal.location.state
principal.platform principal.platform Piattaforma del preside
affected_device.os principal.platform_version Versione della piattaforma dell'entità di servizio
device_uid principal.resource.id ID della risorsa
info.device_type_family principal.resource.name Nome della risorsa
affected_device.device_type principal.resource.name
affected_device.uid principal.resource.product_object_id ID oggetto prodotto della risorsa
affected_device.device_category principal.resource.resource_subtype Sottotipo della risorsa
principal.resource.resource_type principal.resource.resource_type Il tipo di risorsa
info.device_category principal.resource.type Il tipo di risorsa
updated_by principal.user.userid Userid dell'utente
info.login_username principal.user.userid
events_extra_info.sender_id principal.user.userid
events_extra_info.username principal.user.userid
info.malicious_anomali_info.itype security_result.about.labels Etichette associate al risultato di sicurezza
info.malicious_anomali_info.ip security_result.about.labels
info.malicious_anomali_info.source security_result.about.labels
info.malicious_anomali_info.org security_result.about.labels
info.malicious_anomali_info.country security_result.about.labels
info.malicious_anomali_info.classification security_result.about.labels
info.malicious_anomali_info.maltype security_result.about.labels
info.malicious_anomali_info.stream_id security_result.about.labels
info.malicious_anomali_info.threat_type security_result.about.labels
events_extra_info.malicious_ip_info.source security_result.about.labels
events_extra_info.malicious_ip_info.threat_type security_result.about.labels
security_result.category security_result.category Categoria del risultato di sicurezza
alert.category security_result.category_details Dettagli della categoria del risultato di sicurezza
events_extra_info.malicious_ip_info.type security_result.category_details
events_extra_info.malicious_ip_info.confidence security_result.confidence_details Dettagli dell'affidabilità del risultato di sicurezza
alert.description security_result.description Descrizione del risultato di sicurezza
alert.type_name security_result.detection_fields Campi di rilevamento associati al risultato di sicurezza
alert.device_status security_result.detection_fields
alert.category security_result.detection_fields
alert.description security_result.detection_fields
vulnerability_info.name security_result.detection_fields
vulnerability_info.type security_result.detection_fields
vulnerability_info.release_date security_result.detection_fields
vulnerability_info.cves security_result.detection_fields
vulnerability_info.cvssv3_base_score security_result.detection_fields
vulnerability_info.description security_result.detection_fields
vulnerability_info.affected_products security_result.detection_fields
vulnerability_info.is_known_exploited security_result.detection_fields
vulnerability_device_info.relevance_source security_result.detection_fields
vulnerability_info.cvssv2_base_score security_result.detection_fields
affected_device.device_subcategory security_result.detection_fields
affected_device.retired security_result.detection_fields
affected_device.app_version security_result.detection_fields
events_extra_info.communication_type security_result.detection_fields
events_extra_info.malicious_ip_info.tags security_result.detection_fields
alert_info.certificate_thumbprint security_result.detection_fields
alert_info.certificate_expiry_date security_result.detection_fields
alert_info.certificate_start_date security_result.detection_fields
alert_info.certificate_type security_result.detection_fields
alert.id security_result.rule_id ID regola del risultato di sicurezza
events.alert_id security_result.rule_id
alert.name security_result.rule_name Nome della regola del risultato di sicurezza
info.malicious_anomali_info.severity security_result.severity Gravità del risultato di sicurezza
affected_device.risk_score security_result.severity_details Dettagli della gravità del risultato di sicurezza
info.malicious_anomali_info.threat_type security_result.threat_name Nome della minaccia del risultato di sicurezza
events_extra_info.malicious_ip_info.threat_type security_result.threat_name
target.asset.hostname target.asset.hostname Nome host dell'asset di destinazione
info.tuple.3 target.asset.ip Indirizzo IP dell'asset di destinazione
info.tuple.2 target.asset.ip
comm_tuple.dst_ip target.asset.ip
info.file_name target.file.full_path Percorso completo del file di destinazione
events_extra_info.file_name target.file.full_path
events_extra_info.file_type target.file.mime_type Tipo MIME del file di destinazione
info.fqdn target.hostname Nome host della destinazione
info.tuple.3 target.ip Indirizzo IP della destinazione
info.tuple.2 target.ip
comm_tuple.dst_ip target.ip
country target.location.country_or_region Il paese o la regione della località di destinazione
info.geolocation target.location.country_or_region
country target.location.country_or_region
events_extra_info.geo_location target.location.country_or_region
state target.location.state Stato della località target
state target.location.state
target_mac target.mac Indirizzo MAC della destinazione
comm_tuple.dst_mac target.mac
comm_tuple.dst_port target.port Porta della destinazione
dest_device_uid target.resource.id ID della risorsa di destinazione
info.login_username target.user.userid Userid dell'utente target
events_extra_info.username target.user.userid
metadata.product_name metadata.product_name Nome del prodotto
metadata.vendor_name metadata.vendor_name Nome fornitore
events.id event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
affected_device.device_name event.idm.read_only_udm.principal.hostname Mappato dal log delle modifiche
affected_device.device_name event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
management_ip event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
management_ip event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
updated_by event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
affected_device.os event.idm.read_only_udm.principal.platform_version Mappato dal log delle modifiche
affected_device.management_status event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
affected_device.labels event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
events_extra_info.direction event.idm.read_only_udm.network.direction Mappato dal log delle modifiche
events_extra_info.ip_protocol event.idm.read_only_udm.network.ip_protocol Mappato dal log delle modifiche
events.alert_id event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
affected_device.risk_score event.idm.read_only_udm.security_result.severity_details Mappato dal log delle modifiche
events_extra_info.communication_type event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
vulnerability_info.name", "vulnerability_info.type", "vulnerability_info.release_date", "cve", "vulnerability_info.cvssv3_base_score", "vulnerability_info.description", "vulnerability_info.affected_products", "vulnerability_info.is_known_exploited", "vulnerability_device_info.relevance", "vulnerability_device_info.relevance_source", "vulnerability_info.cvssv2_base_score", "affected_device.device_subcategory", "affected_device.retired", and "affected_device.app_version security_result.detection_fields Mappato dal log delle modifiche
alert.type_name", "alert.device_status", "alert_info.certificate_thumbprint", "alert_info.certificate_expiry_date", "alert_info.certificate_start_date", and "alert_info.certificate_type security_result.detection_fields Mappato dal log delle modifiche
alert.mitre_technique_ids", "alert.mitre_technique_names", "alert.mitre_technique_enterprise_ids", "alert.mitre_technique_enterprise_names", "affected_device.device_type_family", "affected_device.connection_type_list", and "affected_device.network_list additional.fields Mappato dal log delle modifiche
affected_device.mac_list principal.mac Mappato dal log delle modifiche
msg_category", "interface_name", "interface_type", and "status additional.fields Mappato dal log delle modifiche
event_extra_info.malicious_ip_info.confidence security_result.confidence_details Mappato dal log delle modifiche
event_extra_info.malicious_ip_info.last_update target.file.mime_type Mappato dal log delle modifiche
event_extra_info.malicious_ip_info.tags security_result.detection_fields Mappato dal log delle modifiche
event_extra_info.malicious_ip_info.type security_result.category_details Mappato dal log delle modifiche
events.timestamp metadata.event_timestamp Mappato dal log delle modifiche
events_extra_info.malicious_ip_info.severity security_result.severity Mappato dal log delle modifiche
events_extra_info.client_id" and "affected_device.site_name additional_fields Mappato dal log delle modifiche
comm_tuple.src_port principal.port Mappato dal log delle modifiche
comm_tuple.src_mac principal.mac Mappato dal log delle modifiche
affected_device.manufacturer hardware.manufacturer Mappato dal log delle modifiche
affected_device.model hardware.model Mappato dal log delle modifiche
metadata.event_type NETWORK_HTTP Mappato dal log delle modifiche
metadata.event_type NETWORK_FTP Mappato dal log delle modifiche
security_category NETWORK_MALICIOUS Mappato dal log delle modifiche
metadata.event_type USER_LOGIN Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.