Recolha registos do MobileIron

Suportado em:

Google secops SIEM

Nota: esta funcionalidade está abrangida pelos Termos das Ofertas de Pré-DG dos Termos Específicos do serviço Google Security Operations. As funcionalidades de pré-DG podem ter suporte limitado e as alterações às funcionalidades de pré-DG podem não ser compatíveis com outras versões de pré-DG. Para mais informações, consulte as diretrizes dos serviços de apoio técnico do Google SecOps e os Termos Específicos dos Serviços do Google SecOps.

Este documento explica como carregar registos do MobileIron para o Google Security Operations através de um agente do Bindplane. O analisador transforma os registos formatados em JSON num modelo de dados unificado (UDM). Extrai campos do JSON não processado, mapeia-os para atributos da UDM correspondentes e enriquece os dados com detalhes específicos da plataforma e contexto de eventos de segurança.

Antes de começar

• Certifique-se de que tem uma instância do Google SecOps.
• Certifique-se de que está a usar o Windows 2016 ou posterior, ou um anfitrião Linux com systemd.
• Se estiver a executar o serviço através de um proxy, certifique-se de que as portas da firewall estão abertas.
• Certifique-se de que tem acesso privilegiado ao MobileIron.

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Agentes de recolha.
3. Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

1. Inicie sessão na consola Google SecOps.
2. Aceda a Definições do SIEM > Perfil.
3. Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação de janelas

1. Abra a Linha de comandos ou o PowerShell como administrador.

2. Execute o seguinte comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute o seguinte comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalação adicionais

• Para ver opções de instalação adicionais, consulte este guia de instalação.

Configure o agente Bindplane para carregar o Syslog e enviá-lo para o Google SecOps

1. Aceda ao ficheiro de configuração:

   1. Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
   2. Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

2. Edite o ficheiro config.yaml da seguinte forma:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <customer_id>
       # Select the appropriate regional endpoint based on where your Google SecOps instance is provisioned
       # For regional endpoints, see: https://cloud.google.com/chronicle/docs/reference/ingestion-api#regional_endpoints
       endpoint: malachiteingestion-pa.googleapis.com
       # Set the log_type to ensure the correct parser is applied
       log_type: MOBILEIRON
       raw_log_field: body
       # You can optionally add other custom ingestion labels here if needed
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

Reinicie o agente do Bindplane para aplicar as alterações

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart bindplane-agent
  

• Para reiniciar o agente Bindplane no Windows, pode usar a consola Serviços ou introduzir o seguinte comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configurar servidores Syslog no MobileIron

1. Inicie sessão no System Manager.
2. Aceda a Definições > Exportação de dados > Servidores SysLog.
3. Clique em Adicionar.
4. A janela Adicionar SysLog deve ser aberta.
5. Forneça os seguintes detalhes de configuração:
   • Servidor: introduza o endereço IP e a porta do Bindplane.
   • Protocolo: selecione UDP (também pode selecionar TCP ou TLS sobre TCP, consoante a configuração do Bindplane).
   • Opcional: Certificado do servidor fidedigno: este campo é apresentado apenas se selecionar TLS sobre TCP no Protocolo.
   • Estado de administrador: selecione Ativar.
   • Gravidade (facility.level): introduza *.info para todas as mensagens com uma gravidade de info ou superior.
6. Clique em Aplicar > OK para guardar as alterações.

Tabela de mapeamento da UDM

Campo de registo	Mapeamento da UDM	Lógica
complianceViolationTypeToReason.BLACKLIST_APPS	security_result.description	Valor do campo complianceViolationTypeToReason.BLACKLIST_APPS, com o prefixo Compliance Violation Type To Reason BLACKLIST APPS -.
complianceViolationTypeToReason.PC	security_result.description	Valor do campo complianceViolationTypeToReason.PC, com o prefixo Compliance Violation Type To Reason PC -.
complianceViolationTypeToReason.SA	security_result.description	Valor do campo complianceViolationTypeToReason.SA, com o prefixo Compliance Violation Type To Reason SA -.
displayName	principal.user.user_display_name	Mapeado diretamente a partir de displayName.
emailAddress	principal.user.email_addresses	Mapeado diretamente a partir de emailAddress.
firstName	principal.user.first_name	Mapeado diretamente a partir de firstName.
id	principal.asset.product_object_id	Mapeado diretamente a partir de id.
lastName	principal.user.last_name	Mapeado diretamente a partir de lastName.
platformType	principal.asset.platform_software.platform	Mapeado a partir de platformType com a seguinte lógica: – Se platformType corresponder a Windows (sem distinção entre maiúsculas e minúsculas), defina como WINDOWS. : se platformType corresponder a MAC, OS X ou IOS (não sensível a maiúsculas e minúsculas), defina como MAC. – Se platformType corresponder a Linux (não sensível a maiúsculas e minúsculas), defina como LINUX. – Caso contrário, defina como UNKNOWN_PLATFORM.
platformType	principal.asset.platform_software.platform_version	Concatenação de platformType e platformVersion com um delimitador -.
platformVersion	principal.asset.platform_software.platform_version	Concatenação de platformType e platformVersion com um delimitador -.
policyViolatedAt	metadata.event_timestamp	Convertido numa indicação de tempo a partir de milissegundos desde a época.
policyViolatedAt	security_result.about.labels.value	Mapeado diretamente a partir de policyViolatedAt após a conversão para uma string.
policyViolatedID	security_result.rule_id	Mapeado diretamente a partir de policyViolatedID.
prettyModel	principal.asset.hardware.model	Mapeado diretamente a partir de prettyModel.
N/A	metadata.event_type	Codificado para USER_UNCATEGORIZED.
N/A	metadata.log_type	Codificado para MOBILEIRON.
N/A	metadata.product_name	Codificado para MOBILEIRON.
N/A	metadata.vendor_name	Codificado para MOBILEIRON.
N/A	principal.asset.type	Codificado para MOBILE.
N/A	security_result.about.labels.key	Codificado para Policy Violated At.
N/A	security_result.category	Codificado para POLICY_VIOLATION.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.