Collecter les journaux OpenLDAP

Compatible avec :

Ce document explique comment ingérer des journaux OpenLDAP dans Google Security Operations à l'aide de Bindplane.

OpenLDAP est un serveur d'annuaire LDAP Open Source qui génère des journaux d'accès, d'audit et de réplication. L'analyseur extrait les champs des entrées de journaux OpenLDAP et les mappe au modèle de données unifié (UDM), en capturant l'identité de l'utilisateur, les événements d'authentification, les opérations LDAP et les résultats de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et le serveur OpenLDAP
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié au serveur OpenLDAP avec des autorisations root ou d'administrateur

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.

  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo systemctl status observiq-otel-collector

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/openldap:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: OPENLDAP
        raw_log_field: body

service:
    pipelines:
        logs/openldap:
            receivers:
                - udplog
            exporters:
                - chronicle/openldap

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • udplog : type de récepteur basé sur le protocole :
      • udplog pour syslog UDP
      • tcplog pour syslog TCP
      • syslog pour le syslog RFC 3164/5424
    • 0.0.0.0 : adresse IP à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Adresse IP spécifique pour écouter sur une interface
    • 514 : numéro de port à écouter (par exemple, 514, 1514, 6514)

  • Configuration de l'exportateur :

    • <customer_id> : ID client de l'étape précédente
    • malachiteingestion-pa.googleapis.com : URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe : europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • Ajustez creds_file_path en fonction de la plate-forme :
      • Linux : /etc/bindplane-agent/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog OpenLDAP

OpenLDAP (slapd) peut être configuré pour enregistrer les journaux via syslog. Configurez le démon syslog pour qu'il transfère les journaux OpenLDAP à l'agent Bindplane.

  1. Vérifiez qu'OpenLDAP est configuré pour consigner les informations dans syslog. Vérifiez la présence de la directive loglevel dans le fichier slapd.conf ou cn=config :

    loglevel stats conns

  2. Par défaut, OpenLDAP consigne les journaux dans la fonctionnalité syslog local4. Configurez rsyslog pour transférer ces journaux à l'agent BindPlane. Créez un fichier de configuration :

    sudo nano /etc/rsyslog.d/openldap-forward.conf

  3. Ajoutez le contenu suivant :

    local4.* @BINDPLANE_AGENT_IP:514

  4. Redémarrez le service rsyslog :

    sudo systemctl restart rsyslog

Table de mappage UDM

Champ de journal Mappage UDM Logique
op, fd, ou, cn, dc, dc1, base1, base2, base3, scope_data, valueData, method, filter, tag_data, err, attrData, ou_2, ou_1, syslog_message, immutable_user_id, resource additional.fields Fusionné avec les libellés créés à partir de ces champs
extensions.auth.type Définissez cette option sur "AUTHTYPE_UNSPECIFIED".
caller_ip, proxy1_ip, proxy2_ip intermédiaire Fusionné à partir de intermediary, proxy_1, proxy_2
msg1, inner_message metadata.description Valeur de msg1 ou inner_message
metadata.event_type Définissez-le sur "GENERIC_EVENT" au départ, puis sur "STATUS_UPDATE" si l'adresse IP principale est présente, sur "USER_UNCATEGORIZED" si l'utilisateur est présent, sur "USER_LOGIN" si le code temporel ou inner_ts est présent.
ldap_action metadata.product_event_type Valeur de ldap_action en minuscules
ldap_conn metadata.product_log_id Valeur de ldap_conn après suppression de "conn="
user_agent network.http.user_agent Valeur copiée directement
session_id network.session_id Valeur copiée directement
principal_ip, prin_ip, caller_ip, r_ip_or_host, proxy_client_ip, src_ip, client_ip principal.asset.ip Fusionné à partir de principal_ip (après avoir remplacé - par .), prin_ip, caller_ip, r_ip_or_host (si IP), proxy_client_ip, src_ip, client_ip
r_ip_or_host, src_host principal.hostname Valeur de r_ip_or_host si nom d'hôte, sinon src_host
principal_ip, prin_ip, caller_ip, r_ip_or_host, proxy_client_ip, src_ip, client_ip principal.ip Fusionné à partir de principal_ip (après avoir remplacé - par .), prin_ip, caller_ip, r_ip_or_host (si IP), proxy_client_ip, src_ip, client_ip
pays principal.location.country_or_region Valeur copiée directement
prin_port, port, src_port principal.port Valeur de prin_port, port ou src_port, convertie en entier
syslog_process principal.process.file.full_path Valeur copiée directement
syslog_pid principal.process.pid Valeur copiée directement
org_name principal.user.company_name Valeur copiée directement
user, cn, uid principal.user.userid Valeur provenant de l'utilisateur, du cn ou de l'uid
security_result security_result Fusionné directement
action, sec_action security_result.action Valeur de l'action (basée sur les codes d'erreur) ou sec_action (basée sur login_status)
resource, immutable_user_id security_result.detection_fields Fusionné avec les libellés de la ressource et immutable_user_id
inner_descrption, security_description security_result.description Valeur issue de inner_descrption ou security_description
tuser, username, userid target.user.userid Valeur de tuser, username ou userid
metadata.product_name Défini sur "OpenLDAP"
metadata.vendor_name Défini sur "OpenLDAP"
eventType event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
cn event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sequenceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dc_2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dc_3 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dc event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dc_1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
path event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
ip1 principal.ip Mappé à partir du journal des modifications
base", "err", "attr", "tag", "scope", and "valueData additional.fields Mappé à partir du journal des modifications
security_result.action ALLOW Mappé à partir du journal des modifications
security_result.action BLOCK Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.