Raccogliere i log di MobileIron

Supportato in:

Google secops SIEM

Nota: questa funzionalità è coperta dai Termini delle offerte pre-GA dei Termini specifici del servizio Google Security Operations. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche alle funzionalità pre-GA potrebbero non essere compatibili con altre versioni pre-GA. Per saperne di più, consulta le linee guida per i servizi di assistenza tecnica di Google SecOps e i Termini di servizio specifici di Google SecOps.

Questo documento spiega come importare i log di MobileIron in Google Security Operations utilizzando un agente Bindplane. Il parser trasforma i log formattati in JSON in un modello UDM (Unified Data Model). Estrae i campi dal JSON non elaborato, li mappa agli attributi UDM corrispondenti e arricchisce i dati con dettagli specifici della piattaforma e contesto dell'evento di sicurezza.

Prima di iniziare

• Assicurati di avere un'istanza Google SecOps.
• Assicurati di utilizzare Windows 2016 o versioni successive oppure un host Linux con systemd.
• Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
• Assicurati di disporre dell'accesso con privilegi a MobileIron.

Recuperare il file di autenticazione importazione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

• Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   1. Individua il file config.yaml. In genere si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
   2. Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <customer_id>
       # Select the appropriate regional endpoint based on where your Google SecOps instance is provisioned
       # For regional endpoints, see: https://cloud.google.com/chronicle/docs/reference/ingestion-api#regional_endpoints
       endpoint: malachiteingestion-pa.googleapis.com
       # Set the log_type to ensure the correct parser is applied
       log_type: MOBILEIRON
       raw_log_field: body
       # You can optionally add other custom ingestion labels here if needed
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart bindplane-agent
  

• Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurazione dei server Syslog in MobileIron

1. Accedi a System Manager.
2. Vai a Impostazioni > Esportazione dati > Server SysLog.
3. Fai clic su Aggiungi.
4. Dovrebbe aprirsi la finestra Aggiungi SysLog.
5. Fornisci i seguenti dettagli di configurazione:
   • Server: inserisci l'indirizzo IP e la porta di Bindplane.
   • Protocollo: seleziona UDP (puoi anche selezionare TCP o TLS su TCP a seconda della configurazione di Bindplane).
   • (Facoltativo) Certificato server attendibile: questo campo viene visualizzato solo se selezioni TLS su TCP in Protocollo.
   • Stato amministratore: seleziona Attiva.
   • Gravità (facility.level): inserisci *.info per tutti i messaggi con gravità pari o superiore a info.
6. Fai clic su Applica > Ok per salvare le modifiche.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logic
complianceViolationTypeToReason.BLACKLIST_APPS	security_result.description	Valore del campo complianceViolationTypeToReason.BLACKLIST_APPS, preceduto dal prefisso Compliance Violation Type To Reason BLACKLIST APPS -.
complianceViolationTypeToReason.PC	security_result.description	Valore del campo complianceViolationTypeToReason.PC, preceduto dal prefisso Compliance Violation Type To Reason PC -.
complianceViolationTypeToReason.SA	security_result.description	Valore del campo complianceViolationTypeToReason.SA, preceduto dal prefisso Compliance Violation Type To Reason SA -.
displayName	principal.user.user_display_name	Mappato direttamente da displayName.
emailAddress	principal.user.email_addresses	Mappato direttamente da emailAddress.
firstName	principal.user.first_name	Mappato direttamente da firstName.
id	principal.asset.product_object_id	Mappato direttamente da id.
lastName	principal.user.last_name	Mappato direttamente da lastName.
platformType	principal.asset.platform_software.platform	Mappato da platformType con la seguente logica: - Se platformType corrisponde a Windows (senza distinzione tra maiuscole e minuscole), imposta WINDOWS. : se platformType corrisponde a MAC, OS X o IOS (senza distinzione tra maiuscole e minuscole), imposta su MAC. : se platformType corrisponde a Linux (senza distinzione tra maiuscole e minuscole), imposta su LINUX. : in caso contrario, imposta su UNKNOWN_PLATFORM.
platformType	principal.asset.platform_software.platform_version	Concatenazione di platformType e platformVersion con un delimitatore -.
platformVersion	principal.asset.platform_software.platform_version	Concatenazione di platformType e platformVersion con un delimitatore -.
policyViolatedAt	metadata.event_timestamp	Convertito in un timestamp da millisecondi trascorsi da epoca.
policyViolatedAt	security_result.about.labels.value	Mappato direttamente da policyViolatedAt dopo la conversione in una stringa.
policyViolatedID	security_result.rule_id	Mappato direttamente da policyViolatedID.
prettyModel	principal.asset.hardware.model	Mappato direttamente da prettyModel.
N/D	metadata.event_type	Codificato in USER_UNCATEGORIZED.
N/D	metadata.log_type	Codificato in MOBILEIRON.
N/D	metadata.product_name	Codificato in MOBILEIRON.
N/D	metadata.vendor_name	Codificato in MOBILEIRON.
N/D	principal.asset.type	Codificato in MOBILE.
N/D	security_result.about.labels.key	Codificato in Policy Violated At.
N/D	security_result.category	Codificato in POLICY_VIOLATION.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.