Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux OpenLDAP

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux OpenLDAP dans Google Security Operations à l'aide de Bindplane.

OpenLDAP est un serveur d'annuaire LDAP Open Source qui génère des journaux d'accès, d'audit et de réplication. L'analyseur extrait les champs des entrées de journal OpenLDAP et les mappe au modèle de données unifié (UDM), en capturant l'identité de l'utilisateur, les événements d'authentification, les opérations LDAP et les résultats de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Connectivité réseau entre l'agent BindPlane et le serveur OpenLDAP
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
Un accès privilégié au serveur OpenLDAP avec des autorisations racine ou d'administration

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Remarque : L'ID client est requis pour configurer l'exportateur de l'agent Bindplane.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```

Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

Ouvrez un terminal avec des droits d'accès racine ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```

Le service doit s'afficher comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/openldap:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: OPENLDAP
    raw_log_field: body

service:
  pipelines:
    logs/openldap:
      receivers:
        - udplog
      exporters:
        - chronicle/openldap

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- udplog : type de récepteur basé sur le protocole :
  - udplog pour syslog UDP
  - tcplog pour syslog TCP
  - syslog pour syslog RFC 3164/5424
- 0.0.0.0 : adresse IP sur laquelle écouter :
  - 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
  - Adresse IP spécifique pour écouter sur une interface
- 514 : numéro de port à écouter (par exemple, 514, 1514, 6514)
Configuration de l'exportateur :
- <customer_id> : ID client de l'étape précédente
- location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
- project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
- endpoint : laissez la valeur définie sur chronicle.googleapis.com.
- Remplacez creds_file_path par le chemin d'accès au fichier de clé JSON de votre compte de service (option 1), en fonction de la plate-forme :
  - Linux : /opt/observiq-otel-collector/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/openldap:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: OPENLDAP
    raw_log_field: body
```

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

Exécutez la commande suivante :

sudo systemctl restart observiq-otel-collector

Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

Choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit et sélectionnez Redémarrer.
Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog OpenLDAP

OpenLDAP (slapd) peut être configuré pour consigner les journaux via syslog. Configurez le daemon syslog pour transférer les journaux OpenLDAP à l'agent Bindplane.

Vérifiez qu'OpenLDAP est configuré pour consigner les informations dans syslog. Vérifiez la présence de la directive loglevel dans le fichier slapd.conf ou cn=config :
```
loglevel stats conns
```
Remarque : Les niveaux de journalisation courants incluent stats (statistiques de connexion/d'opération), conns (gestion des connexions) et ACL (traitement du contrôle des accès). Ajustez le niveau de journalisation pour capturer les événements dont vous avez besoin.
Par défaut, OpenLDAP consigne les journaux dans la fonctionnalité syslog local4. Configurez rsyslog pour transférer ces journaux à l'agent BindPlane. Créez un fichier de configuration :
```
sudo nano /etc/rsyslog.d/openldap-forward.conf
```
Ajoutez le contenu suivant :
```
local4.* @BINDPLANE_AGENT_IP:514
```
Remarque : Remplacez BINDPLANE_AGENT_IP par l'adresse IP de l'hôte de l'agent Bindplane. Utilisez @@ au lieu de @ pour TCP.
Redémarrez le service rsyslog :
```
sudo systemctl restart rsyslog
```

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
op, fd, ou, cn, dc, dc1, base1, base2, base3, scope_data, valueData, method, filter, tag_data, err, attrData, ou_2, ou_1, syslog_message, immutable_user_id, resource	additional.fields	Fusionné avec les libellés créés à partir de ces champs
	extensions.auth.type	Définissez cette option sur "AUTHTYPE_UNSPECIFIED".
caller_ip, proxy1_ip, proxy2_ip	intermédiaire	Fusionné à partir de intermediary, proxy_1, proxy_2
msg1, inner_message	metadata.description	Valeur issue de msg1 ou inner_message
	metadata.event_type	Définissez initialement sur "GENERIC_EVENT", puis sur "STATUS_UPDATE" si l'adresse IP principale est présente, sur "USER_UNCATEGORIZED" si l'utilisateur est présent, et sur "USER_LOGIN" si le code temporel ou inner_ts est présent.
ldap_action	metadata.product_event_type	Valeur de ldap_action en minuscules
ldap_conn	metadata.product_log_id	Valeur de ldap_conn après la suppression de "conn="
user_agent	network.http.user_agent	Valeur copiée directement
session_id	network.session_id	Valeur copiée directement
principal_ip, prin_ip, caller_ip, r_ip_or_host, proxy_client_ip, src_ip, client_ip	principal.asset.ip	Fusionné à partir de principal_ip (après avoir remplacé - par .), prin_ip, caller_ip, r_ip_or_host (si IP), proxy_client_ip, src_ip, client_ip
r_ip_or_host, src_host	principal.hostname	Valeur de r_ip_or_host s'il s'agit d'un nom d'hôte, sinon src_host
principal_ip, prin_ip, caller_ip, r_ip_or_host, proxy_client_ip, src_ip, client_ip	principal.ip	Fusionné à partir de principal_ip (après avoir remplacé - par .), prin_ip, caller_ip, r_ip_or_host (si IP), proxy_client_ip, src_ip, client_ip
pays	principal.location.country_or_region	Valeur copiée directement
prin_port, port, src_port	principal.port	Valeur de prin_port, port ou src_port, convertie en entier
syslog_process	principal.process.file.full_path	Valeur copiée directement
syslog_pid	principal.process.pid	Valeur copiée directement
org_name	principal.user.company_name	Valeur copiée directement
user, cn, uid	principal.user.userid	Valeur de l'utilisateur, cn ou uid
security_result	security_result	Fusionné directement
action, sec_action	security_result.action	Valeur de l'action (basée sur les codes d'erreur) ou sec_action (basée sur login_status)
resource, immutable_user_id	security_result.detection_fields	Fusionné avec les libellés de la ressource et immutable_user_id
inner_descrption, security_description	security_result.description	Valeur de inner_descrption ou security_description
tuser, username, userid	target.user.userid	Valeur de tuser, username ou userid
	metadata.product_name	Définissez cette option sur "OpenLDAP".
	metadata.vendor_name	Défini sur "OpenLDAP"
`eventType`	`event.idm.read_only_udm.metadata.product_event_type`	Mappé à partir du journal des modifications
`cn`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`sequenceId`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`dc_2`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`dc_3`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`dc`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`dc_1`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`user`	`event.idm.read_only_udm.principal.user.userid`	Mappé à partir du journal des modifications
`path`	`event.idm.read_only_udm.principal.process.file.full_path`	Mappé à partir du journal des modifications
`ip1`	`principal.ip`	Mappé à partir du journal des modifications
`base", "err", "attr", "tag", "scope", and "valueData`	`additional.fields`	Mappé à partir du journal des modifications
`security_result.action`	`ALLOW`	Mappé à partir du journal des modifications
`security_result.action`	`BLOCK`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.